צ'ק פוינט. מה זה, עם מה אוכלים, או בקצרה על העיקר

שלום, קוראים יקרים של הבר! זהו הבלוג הארגוני של החברה פתרון TS. אנו אינטגרטור מערכות ומתמחים בעיקר בפתרונות אבטחת תשתיות IT (צק פוינט, פורטינט) ומערכות ניתוח נתוני מכונה (מתיז). נתחיל את הבלוג שלנו בהיכרות קצרה עם טכנולוגיות צ'ק פוינט.

חשבנו הרבה זמן אם כדאי לכתוב את המאמר הזה, כי... אין בו שום דבר חדש שלא ניתן היה למצוא באינטרנט. עם זאת, למרות שפע כזה של מידע, כאשר עובדים עם לקוחות ושותפים, אנו שומעים לעתים קרובות את אותן שאלות. לכן, הוחלט לכתוב איזשהו מבוא לעולם הטכנולוגיות של צ'ק פוינט ולחשוף את מהות הארכיטקטורה של הפתרונות שלהן. וכל זה במסגרת פוסט "קטן" אחד, טיול מהיר, כביכול. יתרה מכך, נשתדל לא להיכנס למלחמות שיווק, כי... אנחנו לא ספקים, רק אינטגרטור מערכות (למרות שאנחנו מאוד אוהבים את צ'ק פוינט) ופשוט נסתכל על הנקודות העיקריות מבלי להשוות ביצרניות אחרות (כמו פאלו אלטו, סיסקו, פורטינט וכו'). המאמר התברר כארך למדי, אך הוא מכסה את רוב השאלות בשלב ההיכרות עם צ'ק פוינט. אם אתה מעוניין, אז ברוך הבא לחתול...

UTM/NGFW

כאשר מתחילים שיחה על צ'ק פוינט, המקום הראשון להתחיל הוא עם הסבר על מה הם UTM ו-NGFW וכיצד הם שונים. נעשה זאת בצורה מאוד תמציתית כדי שהפוסט לא יתברר כארך מדי (אולי בעתיד נשקול את הנושא הזה בפירוט קטן יותר)

UTM - Unified Threat Management

בקיצור, המהות של UTM היא איחוד של כמה כלי אבטחה בפתרון אחד. הָהֵן. הכל בקופסה אחת או סוג של הכל כלול. מה הכוונה ב"ריבוי תרופות"? האפשרות הנפוצה ביותר היא: חומת אש, IPS, פרוקסי (סינון כתובות אתרים), הזרמת אנטי וירוס, אנטי ספאם, VPN וכן הלאה. כל זה משולב בתוך פתרון UTM אחד, שקל יותר מבחינת אינטגרציה, תצורה, ניהול וניטור, וזה בתורו משפיע לטובה על האבטחה הכוללת של הרשת. כשהופיעו לראשונה פתרונות UTM, הם נחשבו אך ורק לחברות קטנות, כי... UTMs לא יכלו להתמודד עם כמויות גדולות של תעבורה. זה היה משתי סיבות:

1. שיטת עיבוד מנות. הגרסאות הראשונות של פתרונות UTM עיבדו מנות ברצף, כל "מודול". דוגמה: תחילה החבילה מעובדת על ידי חומת האש, לאחר מכן IPS, לאחר מכן היא נסרקת על ידי אנטי וירוס, וכן הלאה. באופן טבעי, מנגנון כזה הציג עיכובים רציניים בתעבורה וצרך מאוד משאבי מערכת (מעבד, זיכרון).
2. חומרה חלשה. כפי שהוזכר לעיל, עיבוד רציף של מנות צרך מאוד משאבים והחומרה של אותם זמנים (1995-2005) פשוט לא יכלה להתמודד עם תעבורה גדולה.

אבל ההתקדמות לא עומדת מלכת. מאז, קיבולת החומרה גדלה משמעותית, ועיבוד המנות השתנה (חייבים להודות שלא לכל הספקים יש את זה) והתחיל לאפשר ניתוח כמעט בו-זמני במספר מודולים בו זמנית (ME, IPS, AntiVirus וכו'). פתרונות UTM מודרניים יכולים "לעכל" עשרות ואף מאות גיגה-ביט במצב ניתוח עמוק, מה שמאפשר להשתמש בהם בפלח של עסקים גדולים או אפילו מרכזי נתונים.

להלן ה-Gartner Magic Quadrant המפורסם לפתרונות UTM לאוגוסט 2016:

אני לא אתייחס הרבה לתמונה הזו, אני רק אגיד שהמנהיגים נמצאים בפינה הימנית העליונה.

NGFW - חומת האש של הדור הבא

השם מדבר בעד עצמו - חומת האש של הדור הבא. מושג זה הופיע מאוחר בהרבה מ-UTM. הרעיון המרכזי של NGFW הוא ניתוח מנות עמוק (DPI) באמצעות IPS מובנה ובקרת גישה ברמת האפליקציה (Application Control). במקרה זה, IPS הוא בדיוק מה שצריך כדי לזהות אפליקציה זו או אחרת בזרם החבילות, מה שמאפשר לאפשר או לשלול זאת. דוגמה: אנו יכולים לאפשר לסקייפ לעבוד, אך לאסור על העברת קבצים. אנו יכולים לאסור את השימוש ב- Torrent או RDP. אפליקציות אינטרנט נתמכות גם: אתה יכול לאפשר גישה ל-VK.com, אך לאסור משחקים, הודעות או צפייה בסרטונים. בעיקרו של דבר, האיכות של NGFW תלויה במספר היישומים שהוא יכול לזהות. רבים מאמינים כי הופעתה של תפיסת ה-NGFW הייתה תכסיס שיווקי נפוץ שעל רקע החלה חברת פאלו אלטו בצמיחתה המהירה.

Gartner Magic Quadrant עבור NGFW למאי 2016:

UTM לעומת NGFW

שאלה נפוצה מאוד היא, מה עדיף? אין כאן תשובה חד משמעית ולא יכולה להיות. במיוחד בהתחשב בעובדה שכמעט כל פתרונות ה-UTM המודרניים מכילים פונקציונליות של NGFW ורוב ה-NGFWs מכילים פונקציות הטבועות ב-UTM (אנטי וירוס, VPN, אנטי-בוט וכו'). כמו תמיד, "השטן נמצא בפרטים הקטנים", אז קודם כל אתה צריך להחליט מה אתה צריך ספציפית ולהחליט על התקציב שלך. על סמך החלטות אלו, ניתן לבחור במספר אפשרויות. והכל צריך להיבדק באופן חד משמעי, בלי להאמין לחומרים שיווקיים.

אנחנו, בתורנו, במסגרת של מספר מאמרים, ננסה לספר על צ'ק פוינט, איך אתה יכול לנסות את זה ומה, באופן עקרוני, אתה יכול לנסות (כמעט כל הפונקציונליות).

שלוש ישויות צ'ק פוינט

כשאתה עובד עם צ'ק פוינט, אתה בהחלט תיתקל בשלושה מרכיבים של המוצר הזה:

1. שער אבטחה (SG) - שער האבטחה עצמו, המותקן בדרך כלל על היקף הרשת ומבצע את הפונקציות של חומת אש, אנטי וירוס סטרימינג, אנטיבוט, IPS וכו'.
2. שרת ניהול אבטחה (SMS) - שרת ניהול שערים. כמעט כל ההגדרות בשער (SG) מבוצעות באמצעות שרת זה. SMS יכול לשמש גם כשרת יומן ולעבד אותם עם מערכת ניתוח וקורלציה מובנית של אירועים - Smart Event (בדומה ל-SIEM עבור צ'ק פוינט), אך על כך בהמשך. SMS משמש לניהול מרוכז של מספר שערים (מספר השערים תלוי בדגם ה-SMS או ברישיון), אך אתה נדרש להשתמש בו גם אם יש לך שער אחד בלבד. יצוין כאן כי צ'ק פוינט הייתה מהראשונות שהשתמשו במערכת ניהול ריכוזית שכזו, אשר הוכרה כ"תקן הזהב" על פי דוחות גרטנר במשך שנים רבות ברציפות. יש אפילו בדיחה: "אם לסיסקו הייתה מערכת ניהול נורמלית, אז צ'ק פוינט לעולם לא הייתה מופיעה".
3. קונסולה חכמה - מסוף לקוח לחיבור לשרת הניהול (SMS). מותקן בדרך כלל במחשב של מנהל המערכת. כל השינויים בשרת הניהול מתבצעים דרך המסוף הזה, ולאחר מכן ניתן להחיל את ההגדרות על שערי האבטחה (Install Policy).

   

מערכת הפעלה צ'ק פוינט

אם כבר מדברים על מערכת ההפעלה צ'ק פוינט, אנחנו יכולים להיזכר בשלוש בבת אחת: IPSO, SPLAT ו-GAIA.

1. IPSO - מערכת הפעלה של Ipsilon Networks, שהייתה שייכת לנוקיה. בשנת 2009, צ'ק פוינט רכשה את העסק הזה. כבר לא מתפתח.
2. SPLAT - פיתוח עצמי של צ'ק פוינט, המבוסס על ליבת RedHat. כבר לא מתפתח.
3. גאיה - מערכת ההפעלה הנוכחית מבית צ'ק פוינט, שהופיעה כתוצאה ממיזוג של IPSO ו-SPLAT, המשלבת את כל הטובים ביותר. הוא הופיע בשנת 2012 וממשיך להתפתח באופן פעיל.

אם כבר מדברים על גאיה, יש לומר שכרגע הגרסה הנפוצה ביותר היא R77.30. לאחרונה, יחסית, הופיעה גרסת ה-R80, השונה משמעותית מהקודמת (הן מבחינת הפונקציונליות והן מבחינת השליטה). נקדיש פוסט נפרד לנושא ההבדלים ביניהם. נקודה חשובה נוספת היא שכרגע רק לגרסה R77.10 יש תעודת FSTEC, וגרסה R77.30 מאושרת.

אפשרויות ביצוע (Check Point Appliance, מכונה וירטואלית, OpenServer)

אין כאן שום דבר מפתיע, כמו ספקים רבים, לצ'ק פוינט יש מספר אפשרויות מוצר:

1. מַכשִׁיר - מכשיר חומרה ותוכנה, כלומר. "חתיכת ברזל" משלו. ישנם הרבה דגמים שונים בביצועים, בפונקציונליות ובעיצוב (יש אפשרויות לרשתות תעשייתיות).

   

2. מכונה וירטואלית - מכונה וירטואלית של צ'ק פוינט עם מערכת ההפעלה Gaia. Hypervisors ESXi, Hyper-V, KVM נתמכים. מורשה לפי מספר ליבות המעבד.
3. שרת פתוח - התקנת Gaia ישירות על השרת כמערכת ההפעלה הראשית (מה שנקרא "Bare Metal"). רק חומרה מסוימת נתמכת. ישנן המלצות לחומרה זו שיש לפעול לפיהן, אחרת עלולות להיווצר בעיות עם מנהלי התקנים וציוד טכני. התמיכה עשויה לסרב לתת לך שירות.

אפשרויות יישום (מבוזר או עצמאי)

קצת יותר גבוה כבר דנו במה הם שער (SG) ושרת ניהול (SMS). עכשיו בואו נדון באפשרויות ליישומם. ישנן שתי דרכים עיקריות:

1. עצמאי (SG+SMS) - אפשרות כאשר גם השער וגם שרת הניהול מותקנים בתוך מכשיר אחד (או מכונה וירטואלית).

   
   
   אפשרות זו מתאימה כאשר יש לך רק שער אחד שעמוס קלות בתעבורת משתמשים. אפשרות זו היא החסכונית ביותר, כי... אין צורך לקנות שרת ניהול (SMS). עם זאת, אם השער עמוס בכבדות, אתה עלול להסתיים עם מערכת בקרה "איטית". לכן, לפני שבוחרים בפתרון עצמאי, עדיף להתייעץ או אפילו לבדוק אפשרות זו.

2. מופץ - שרת הניהול מותקן בנפרד מהשער.

   
   
   האפשרות הטובה ביותר מבחינת נוחות וביצועים. משמש כאשר יש צורך בניהול מספר שערים בו-זמנית, למשל מרכזי וסניף. במקרה זה, עליך לרכוש שרת ניהול (SMS), שיכול להיות גם בצורת מכשיר או מכונה וירטואלית.

כפי שאמרתי למעלה, לצ'ק פוינט יש מערכת SIEM משלה - אירוע חכם. אתה יכול להשתמש בו רק במקרה של התקנה מבוזרת.

מצבי הפעלה (גשר, מנותב)
שער האבטחה (SG) יכול לפעול בשני מצבים עיקריים:

• מנותב - האפשרות הנפוצה ביותר. במקרה זה, השער משמש כמכשיר L3 ומנתב את התנועה דרך עצמו, כלומר. Check Point הוא שער ברירת המחדל עבור הרשת המוגנת.
• גשר - מצב שקוף. במקרה זה, השער מותקן כ"גשר" רגיל ועובר בתנועה ברמה השנייה (OSI). בדרך כלל משתמשים באפשרות זו כאשר אין אפשרות (או רצון) לשנות את התשתית הקיימת. אתה כמעט לא צריך לשנות את טופולוגיית הרשת ולא צריך לחשוב על שינוי כתובת IP.

ברצוני לציין שבמצב Bridge ישנן מגבלות מסוימות מבחינת פונקציונליות, ולכן אנו, כאינטגרטור, ממליצים לכל הלקוחות שלנו להשתמש ב-Route, כמובן, במידת האפשר.

להבי תוכנת צ'ק פוינט

כמעט הגענו לנושא הכי חשוב של צ'ק פוינט, שמעלה הכי הרבה שאלות בקרב הלקוחות. מהם "להבי התוכנה" האלה? להבים מתייחסים לפונקציות מסוימות של Check Point.

ניתן להפעיל או לכבות פונקציות אלה בהתאם לצרכים שלך. יחד עם זאת, ישנם להבים המופעלים אך ורק בשער (Network Security) ורק בשרת הניהול. התמונות שלהלן מציגות דוגמאות לשני המקרים:

1) לאבטחת רשת (פונקציונליות שער)

בואו נתאר את זה בקצרה, כי... לכל להב מגיע מאמר משלו.

• חומת אש - פונקציונליות חומת אש;
• IPSec VPN - בניית רשתות וירטואליות פרטיות;
• גישה ניידת - גישה מרחוק ממכשירים ניידים;
• IPS - מערכת למניעת חדירות;
• Anti-Bot - הגנה מפני רשתות בוטנט;
• אנטי וירוס - אנטי וירוס זורם;
• AntiSpam & Email Security - הגנה על דואר אלקטרוני ארגוני;
• מודעות לזהות - אינטגרציה עם שירות Active Directory;
• ניטור - ניטור כמעט כל פרמטרי השער (עומס, רוחב פס, מצב VPN וכו')
• בקרת יישום - חומת אש ברמת יישום (פונקציונליות NGFW);
• סינון כתובת URL - אבטחת אינטרנט (+פונקציונליות פרוקסי);
• מניעת אובדן נתונים - הגנה מפני דליפות מידע (DLP);
• אמולציית איומים - טכנולוגיית ארגז חול (SandBox);
• חילוץ איומים - טכנולוגיית ניקוי קבצים;
• QoS - תעדוף תעבורה.

בכמה מאמרים בלבד נסקור את להבי הדמיית איומים וחילוץ איומים, אני בטוח שזה יהיה מעניין.

2) להנהלה (שליטה בפונקציונליות השרת)

• ניהול מדיניות רשת - ניהול מדיניות מרכזי;
• ניהול מדיניות קצה - ניהול מרוכז של סוכני צ'ק פוינט (כן, צ'ק פוינט מייצרת פתרונות לא רק להגנת רשת, אלא גם להגנה על תחנות עבודה (מחשבים אישיים) וסמארטפונים);
• רישום ומצב - איסוף ועיבוד מרוכזים של יומנים;
• פורטל ניהול - ניהול אבטחה מהדפדפן;
• זרימת עבודה - בקרה על שינויי מדיניות, ביקורת שינויים וכו';
• User Directory - אינטגרציה עם LDAP;
• אספקה ​​- אוטומציה של ניהול שערים;
• Smart Reporter - מערכת דיווח;
• אירוע חכם - ניתוח ומתאם של אירועים (SIEM);
• תאימות - בודק אוטומטית הגדרות ומציע המלצות.

לא נשקול כעת בפירוט את סוגיות הרישוי, כדי לא לנפח את המאמר ולא לבלבל את הקורא. סביר להניח שנפרסם זאת בפוסט נפרד.

הארכיטקטורה של הלהבים מאפשרת לך להשתמש רק בפונקציות שאתה באמת צריך, מה שמשפיע על תקציב הפתרון והביצועים הכוללים של המכשיר. זה הגיוני שככל שאתה מפעיל יותר להבים, אתה יכול "לנהוג דרכו" פחות תנועה. לכן מצורפת טבלת הביצועים הבאה לכל דגם של צ'ק פוינט (לקחנו את המאפיינים של דגם ה-5400 כדוגמה):

כפי שניתן לראות, יש כאן שתי קטגוריות של מבחנים: על תעבורה סינתטית ועל תעבורה אמיתית - מעורבת. באופן כללי, צ'ק פוינט פשוט נאלצת לפרסם בדיקות סינתטיות, כי... חלק מהספקים משתמשים במבחנים כאלה כמדדים, מבלי לבחון את ביצועי הפתרונות שלהם על תעבורה אמיתית (או להסתיר נתונים כאלה בכוונה בשל אופיים הלא משביע רצון).

בכל סוג של בדיקה ניתן להבחין במספר אפשרויות:

1. בדוק רק עבור חומת אש;
2. בדיקת חומת אש+IPS;
3. בדיקת חומת אש+IPS+NGFW (בקרת יישומים);
4. בדוק חומת אש+בקרת יישומים+סינון כתובת URL+IPS+אנטי וירוס+אנטי-בוט+SandBlast (ארגז חול)

בדוק היטב את הפרמטרים הללו בעת בחירת הפתרון שלך, או צור קשר יִעוּץ.

אני חושב שכאן נוכל לסיים את מאמר המבוא על טכנולוגיות צ'ק פוינט. לאחר מכן, נבחן כיצד ניתן לבדוק את צ'ק פוינט וכיצד להתמודד עם איומי אבטחת מידע מודרניים (וירוסים, פישינג, תוכנות כופר, zero-day).

נ.ב נקודה חשובה. למרות מוצאו הזר (הישראלי), הפתרון מאושר בפדרציה הרוסית על ידי רשויות רגולטוריות, מה שמכשיר באופן אוטומטי את נוכחותו במוסדות ממשלתיים (הערה מאת דנימאל).

רק משתמשים רשומים יכולים להשתתף בסקר. להתחברבבקשה.

באילו כלי UTM/NGFW אתה משתמש?

• צק פוינט

• Cisco Firepower

• פורטינט

• פאלו אלטו

• Sophos

• Dell SonicWALL

• Huawei

• WatchGuard

• ערער

• משתמש

• בודק תנועה

• רוביקון

• אידיקו

• פתרון OpenSource

• אחר

134 משתמשים הצביעו. 78 משתמשים נמנעו.

מקור: www.habr.com