13. Check Point Getting Start R80.20. ლიცენზირება

მოგესალმებით, მეგობრებო! და ბოლოს მივედით ბოლოზე, Check Point-ის დასაწყებად ბოლო გაკვეთილი. დღეს ჩვენ ვისაუბრებთ ძალიან მნიშვნელოვან თემაზე - ლიცენზირება. მე ვაჩქარებ გაგაფრთხილოთ, რომ ეს გაკვეთილი არ არის ამომწურავი სახელმძღვანელო აღჭურვილობის ან ლიცენზიების არჩევისთვის. ეს არის მხოლოდ ძირითადი პუნქტების შეჯამება, რომელიც უნდა იცოდეს Check Point-ის ნებისმიერმა ადმინისტრატორმა. თუ მართლა გაწუხებთ ლიცენზიის ან მოწყობილობის არჩევანი, მაშინ სჯობს პროფესიონალებს მიმართოთ, ე.ი. ჩვენთვის :). ბევრი ხარვეზია, რომლებზეც ძალიან რთულია ლაპარაკი კურსზე და ვერც მაშინვე გაიხსენებ.
ჩვენი გაკვეთილი იქნება სრულიად თეორიული, ასე რომ თქვენ შეგიძლიათ გამორთოთ თქვენი იმიტირებული სერვერები და დაისვენოთ. სტატიის ბოლოს ნახავთ ვიდეო გაკვეთილს, სადაც ყველაფერს უფრო დეტალურად აგიხსნით.

კარიბჭის ლიცენზირება

დავიწყოთ უსაფრთხოების კარიბჭეების ლიცენზირების მახასიათებლების აღწერით. უფრო მეტიც, ეს ეხება როგორც აპარატურულ ხაზებს, ასევე ვირტუალურ მანქანებს. ვთქვათ, გადაწყვიტეთ კარიბჭის ყიდვა. შეუძლებელია უბრალოდ იყიდო აპარატურა ან ვირტუალური მანქანა "გამოწერის" გარეშე! გამოწერის სამი ვარიანტია:

ახლა კი პირველი საინტერესო ფუნქცია! თქვენ შეგიძლიათ შეიძინოთ მოწყობილობა ან ვირტუალური მანქანა მხოლოდ NGTP ან NGTX გამოწერებით. მაგრამ როდესაც განაახლებთ გამოწერას, უკვე შეგიძლიათ აირჩიოთ NGFW პაკეტი, თუ არ გჭირდებათ AV, AB, URL, AS, TE და TX blades. Ეს ის მომენტია. თავად ხელმოწერების შეძენა შესაძლებელია ერთი, ორი ან სამი წლის განმავლობაში.

შემიძლია ვიწინასწარმეტყველო შენი პირველი შეკითხვა! "რა მოხდება, თუ ხელმოწერა არ განახლდება?" მე კონკრეტულად ხაზგასმით ავღნიშნე ის პირები, რომლებიც ყოველთვის იმუშავებენ და გაფართოების გარეშე. მუდმივი ფერმკრთალი ე.წ. დარჩენილი პირები, რომლებიც საჭიროებენ მუდმივ განახლებას, უბრალოდ შეწყვეტენ მუშაობას. კარგად, შესაძლოა IPS-ს კვლავ ჰქონდეს საკვანძო ხელმოწერები (მაგრამ მათგან ძალიან ცოტაა). ეს ეხება როგორც აპარატურულ, ასევე ვირტუალურ მანქანებს, ე.ი. vSec.

როგორც ცალკე პუნქტი, მე ხაზგასმით აღვნიშნე სამი დანა, რომელიც არ შედის არცერთ კომპლექტში: DLP, MAB და კაფსულა.

ასევე გახსოვდეთ, რომ თუ ყიდულობთ კლასტერულ ხსნარს, მაშინ აირჩიეთ მოდელი სუფიქსით HA (ანუ მაღალი ხელმისაწვდომობა) მეორე მოწყობილობად. სურათზე ნაჩვენებია კარიბჭე 5400-ის მაგალითი. ეს ეხება კარიბჭეებს. ახლა მართვის სერვერი.

მენეჯმენტის სერვერის ლიცენზირება

როგორც უკვე ვთქვით პირველ გაკვეთილებში, არსებობს Check Point-ის განხორციელების ორი სცენარი: დამოუკიდებელი (როდესაც კარიბჭე და მენეჯმენტი ერთ მოწყობილობაზეა) და განაწილებული (როდესაც მართვის სერვერი განთავსდება ცალკე მოწყობილობაზე). თუმცა, ვარიანტები ამით არ მთავრდება. მოდით გადავხედოთ მართვის სერვერის განლაგების სამ ტიპურ სცენარს:

1. სპეციალური NGSM-ის შეძენა. ყველაზე პოპულარული ვარიანტი. აირჩიეთ Smart-1 აპარატურა ან ვირტუალური აპარატურა. თქვენ ირჩევთ, რა თქმა უნდა, იმის მიხედვით, თუ რამდენ კარიბჭეს მართავთ, 5, 10, 25 და ა.შ. ამ მოწყობილობის განლაგებით შეგიძლიათ გამოიყენოთ მართვის სერვერის 4 საკვანძო დანა: NPM (ანუ პოლიტიკის მენეჯმენტი), შესვლა და სტატუსი (მაგ. შესვლა), ჭკვიანი მოვლენა (SIEM Check Point-დან, რომელიც გვაწვდის ყველა ანგარიშს) და შესაბამისობა (ეს არის პარამეტრების ხარისხის შეფასება, ან ზოგიერთ მარეგულირებელ მოთხოვნასთან, იგივე PCI DSS, ან უბრალოდ საუკეთესო პრაქტიკის შესაბამისად). თქვენ დაუყოვნებლივ ხედავთ, რომ NPM და LS პირები არის მუდმივი პირები, ე.ი. იმუშავებს ხელმოწერების განახლების გარეშე, მაგრამ Smart Event და Compliance blades შედის მხოლოდ პირველი წლისთვის! შემდეგ ისინი უნდა განახლდეს ცალკე ფულით. ეს მნიშვნელოვანი წერტილია, არ დაგავიწყდეთ. და თუ თქვენ მაინც შეგიძლიათ იცხოვროთ შესაბამისობის blade-ის გარეშე, მაშინ აბსოლუტურად ყველას სჭირდება Smart Event.
2. ივენთ მენეჯმენტის გამოყოფილი სერვერის შეძენა არსებული NGSM მართვის სერვერის გარდა. რატომ არის ეს საჭირო? ფაქტია, რომ ლოგის ფუნქციონირება და განსაკუთრებით Smart Event "ჭამს" საკმაოდ ღირსეულ სისტემის რესურსებს. და თუ საკმაოდ ბევრი ჟურნალია, მაშინ ამან შეიძლება გამოიწვიოს "მუხრუჭები" საკონტროლო სერვერზე. ამიტომ, ხშირად გამოიყენება ამ ფუნქციის გადატანა ცალკე მოწყობილობაზე, Smart-1 აპარატურაზე ან, ისევ, ვირტუალურ მანქანაზე. ლოგების დიდი რაოდენობით დიდი ინტეგრაცია თითქმის ყოველთვის მოითხოვს გამოყოფილი სერვერს Smart Event-ისთვის. მას ასევე შეუძლია მორების მიღება. ამ გზით თქვენი მართვის სერვერი შეასრულებს მხოლოდ მართვის ფუნქციებს. ეს მნიშვნელოვნად აუმჯობესებს სისტემის სტაბილურობას და რეაგირებას. როგორც ხედავთ, როდესაც ყიდულობთ ერთგულ Smart Event სერვერს, თქვენ მიიღებთ ამ ორ პირს მუდმივი გამოყენებისთვის, თუნდაც განახლების გარეშე. 3-4 წლის ჰორიზონტზე ეს კიდევ უფრო მომგებიანი იქნება, ვიდრე ყოველწლიურად ჩვეულებრივი NGSM სერვერისთვის Smart Event გაფართოებების ყიდვა.
3. გამოყოფილი ჟურნალის მართვის სერვერი, რომელიც მოყვება NGSM და Smart Event სერვერების დამატებით. ვფიქრობ, აზრი გასაგებია. თუ ჟურნალების ძალიან დიდი რაოდენობაა, ჩვენ შეგვიძლია გადავიტანოთ ჟურნალის ფუნქცია ცალკე სერვერზე. ერთგულ Log სერვერს ასევე აქვს მუდმივი ლიცენზია და არ საჭიროებს განახლებას.

ვიდეო გაკვეთილი

იპოვეთ მეტი ინფორმაცია ლიცენზიის მართვისა და Check Point ტექნიკური მხარდაჭერის შესახებ აქ:

წყარო: www.habr.com