Check Point Gaia R80.40. Რა არის ახალი?

ოპერაციული სისტემის შემდეგი გამოშვება ახლოვდება Gaia R80.40. Რამდენიმე კვირის წინ ადრეული წვდომის პროგრამა დაიწყო, სადაც შეგიძლიათ წვდომა განაწილების შესამოწმებლად. ჩვეულებისამებრ, ჩვენ ვაქვეყნებთ ინფორმაციას სიახლეების შესახებ და ასევე გამოვყოფთ იმ პუნქტებს, რომლებიც ყველაზე საინტერესოა ჩვენი თვალსაზრისით. რაც შეეხება მომავალს, შემიძლია ვთქვა, რომ ინოვაციები ნამდვილად მნიშვნელოვანია. ამიტომ, ღირს მომზადება ადრეული განახლების პროცედურისთვის. ადრე უკვე გვქონდა გამოაქვეყნა სტატია როგორ გავაკეთოთ ეს (დამატებითი ინფორმაციისთვის ეწვიეთ დაუკავშირდით აქ). გადავიდეთ თემაში...

რა არის ახალი

მოდით შევხედოთ აქ ოფიციალურად გამოცხადებულ სიახლეებს. ინფორმაცია აღებულია საიტიდან შეამოწმეთ მათეები (ოფიციალური Check Point საზოგადოება). თქვენი ნებართვით ამ ტექსტს არ ვთარგმნი, საბედნიეროდ ჰაბრის აუდიტორია ამის საშუალებას იძლევა. ამის ნაცვლად, მე დავტოვებ ჩემს კომენტარებს შემდეგი თავისთვის.

1. IoT უსაფრთხოება. ნივთების ინტერნეტთან დაკავშირებული ახალი ფუნქციები

• შეაგროვეთ IoT მოწყობილობები და ტრაფიკის ატრიბუტები სერტიფიცირებული IoT აღმოჩენის ძრავებიდან (ამჟამად მხარს უჭერს Medigate, CyberMDX, Cynerio, Claroty, Indegy, SAM და Armis).
• დააკონფიგურირეთ ახალი IoT გამოყოფილი პოლიტიკის ფენა პოლიტიკის მენეჯმენტში.
• უსაფრთხოების წესების კონფიგურაცია და მართვა, რომლებიც დაფუძნებულია IoT მოწყობილობების ატრიბუტებზე.

2.TLS ინსპექტირებაHTTP/2:

• HTTP/2 არის HTTP პროტოკოლის განახლება. განახლება უზრუნველყოფს სიჩქარის, ეფექტურობისა და უსაფრთხოების გაუმჯობესებას და შედეგებს უკეთესი მომხმარებლის გამოცდილებით.
• Check Point-ის უსაფრთხოების კარიბჭე ახლა მხარს უჭერს HTTP/2-ს და სარგებლობს უკეთესი სიჩქარითა და ეფექტურობით სრული უსაფრთხოების მიღებისას, ყველა საფრთხის პრევენციისა და წვდომის კონტროლის პირებით, ასევე ახალი დაცვით HTTP/2 პროტოკოლისთვის.
• მხარდაჭერა არის როგორც სუფთა, ისე SSL დაშიფრული ტრაფიკისთვის და სრულად არის ინტეგრირებული HTTPS/TLS-თან
• ინსპექტირების შესაძლებლობები.

TLS ინსპექტირების ფენა. ინოვაციები HTTPS ინსპექტირების შესახებ:

• ახალი პოლიტიკის ფენა SmartConsole-ში, რომელიც ეძღვნება TLS ინსპექტირებას.
• TLS ინსპექტირების სხვადასხვა ფენა შეიძლება გამოყენებულ იქნას სხვადასხვა პოლიტიკის პაკეტში.
• TLS ინსპექტირების ფენის გაზიარება პოლიტიკის მრავალ პაკეტში.
• API TLS ოპერაციებისთვის.

3. საფრთხის პრევენცია

• საფრთხის პრევენციის პროცესებისა და განახლებების საერთო ეფექტურობის გაზრდა.
• Threat Extraction Engine-ის ავტომატური განახლებები.
• დინამიური, დომენის და განახლებადი ობიექტები ახლა შეიძლება გამოყენებულ იქნას საფრთხეების პრევენციისა და TLS ინსპექტირების პოლიტიკაში. განახლებადი ობიექტები არის ქსელის ობიექტები, რომლებიც წარმოადგენს გარე სერვისს ან IP მისამართების ცნობილ დინამიურ სიას, მაგალითად - Office365 / Google / Azure / AWS IP მისამართები და Geo ობიექტები.
• ანტივირუსი ახლა იყენებს SHA-1 და SHA-256 საფრთხის მითითებებს, რათა დაბლოკოს ფაილები მათი ჰეშების საფუძველზე. ახალი ინდიკატორების იმპორტი SmartConsole Threat Indicators ხედიდან ან Custom Intelligence Feed CLI-დან.
• Anti-Virus და SandBlast Threat Emulation ახლა მხარს უჭერს ელ.ფოსტის ტრაფიკის შემოწმებას POP3 პროტოკოლით, ისევე როგორც ელექტრონული ფოსტის ტრაფიკის გაუმჯობესებული ინსპექტირება IMAP პროტოკოლით.
• ანტივირუსული და SandBlast Threat Emulation ახლა იყენებს ახლად შემოღებულ SSH ინსპექტირების ფუნქციას SCP და SFTP პროტოკოლებით გადაცემული ფაილების შესამოწმებლად.
• ანტივირუსული და SandBlast Threat Emulation ახლა უზრუნველყოფს SMBv3 ინსპექტირების გაუმჯობესებულ მხარდაჭერას (3.0, 3.0.2, 3.1.1), რომელიც მოიცავს მრავალარხიანი კავშირების შემოწმებას. Check Point ახლა ერთადერთი გამყიდველია, რომელიც მხარს უჭერს ფაილის გადაცემის ინსპექტირებას მრავალი არხით (ფუნქცია, რომელიც ნაგულისხმევია Windows-ის ყველა გარემოში). ეს საშუალებას აძლევს მომხმარებელს დარჩეს უსაფრთხოდ მუშაობის გაუმჯობესების ამ ფუნქციით.

4. იდენტობის ცნობიერება

• დატყვევებული პორტალის ინტეგრაციის მხარდაჭერა SAML 2.0-თან და მესამე მხარის პირადობის პროვაიდერებთან.
• Identity Broker-ის მხარდაჭერა PDP-ებს შორის საიდენტიფიკაციო ინფორმაციის მასშტაბური და მარცვლოვანი გაზიარებისთვის, ასევე დომენებს შორის გაზიარებისთვის.
• ტერმინალური სერვერების აგენტის გაუმჯობესებები უკეთესი მასშტაბისა და თავსებადობისთვის.

5. IPsec VPN

• დააკონფიგურირეთ VPN დაშიფვრის სხვადასხვა დომენები უსაფრთხოების კარიბჭეზე, რომელიც არის მრავალი VPN საზოგადოების წევრი. ეს უზრუნველყოფს:
• გაუმჯობესებული კონფიდენციალურობა — შიდა ქსელები არ არის გამჟღავნებული IKE პროტოკოლის მოლაპარაკებებში.
• გაუმჯობესებული უსაფრთხოება და დეტალურობა — მიუთითეთ რომელი ქსელებია ხელმისაწვდომი VPN-ის მითითებულ საზოგადოებაში.
• გაუმჯობესებული თავსებადობა — გამარტივებული მარშრუტზე დაფუძნებული VPN განმარტებები (რეკომენდებულია, როდესაც მუშაობთ VPN დაშიფვრის ცარიელ დომენთან).
• შექმენით და შეუფერხებლად იმუშავეთ ფართომასშტაბიანი VPN (LSV) გარემოსთან LSV პროფილების დახმარებით.

6. URL ფილტრაცია

• გაუმჯობესებული მასშტაბურობა და ელასტიურობა.
• პრობლემების მოგვარების გაფართოებული შესაძლებლობები.

7. ნატ

• NAT პორტების განაწილების გაძლიერებული მექანიზმი — უსაფრთხოების კარიბჭეებზე CoreXL Firewall-ის 6 ან მეტი ინსტანციით, ყველა ინსტანცია იყენებს NAT პორტების ერთსა და იმავე აუზს, რაც ოპტიმიზებს პორტის გამოყენებას და ხელახლა გამოყენებას.
• NAT პორტის გამოყენების მონიტორინგი CPView-ში და SNMP-ით.

8. ხმა IP-ზე (VoIP)CoreXL Firewall-ის მრავალი მაგალითი ამუშავებს SIP პროტოკოლს მუშაობის გასაუმჯობესებლად.

9. დისტანციური წვდომის VPNგამოიყენეთ მანქანის სერთიფიკატი კორპორატიული და არაკორპორაციული აქტივების გასარჩევად და მხოლოდ კორპორატიული აქტივების გამოყენების პოლიტიკის დასაყენებლად. აღსრულება შეიძლება იყოს წინასწარ შესვლა (მხოლოდ მოწყობილობის ავთენტიფიკაცია) ან შესვლის შემდგომ (მოწყობილობისა და მომხმარებლის ავტორიზაცია).

10. მობილური წვდომის პორტალის აგენტიგაძლიერებული ბოლო წერტილის უსაფრთხოება მოთხოვნით მობილური წვდომის პორტალის აგენტის ფარგლებში ყველა ძირითადი ვებ ბრაუზერის მხარდასაჭერად. დამატებითი ინფორმაციისთვის იხილეთ sk113410.

11.CoreXL და Multi-Queue

• CoreXL SND-ების და Firewall-ის ინსტანციების ავტომატური განაწილების მხარდაჭერა, რომელიც არ საჭიროებს უსაფრთხოების კარიბჭის გადატვირთვას.
• გაუმჯობესებული გამოცდილება - უსაფრთხოების კარიბჭე ავტომატურად ცვლის CoreXL SND-ების და Firewall-ის შემთხვევების რაოდენობას და Multi-Queue-ის კონფიგურაციას მიმდინარე ტრაფიკის დატვირთვის საფუძველზე.

12. კლასტერირება

• კლასტერული კონტროლის პროტოკოლის მხარდაჭერა Unicast რეჟიმში, რაც გამორიცხავს CCP-ის საჭიროებას

მაუწყებლობის ან Multicast რეჟიმები:

• კლასტერული კონტროლის პროტოკოლის დაშიფვრა ახლა ჩართულია ნაგულისხმევად.
• ახალი ClusterXL რეჟიმი - Active/Active, რომელიც მხარს უჭერს კლასტერების წევრებს სხვადასხვა გეოგრაფიულ ადგილას, რომლებიც განლაგებულია სხვადასხვა ქვექსელზე და აქვთ სხვადასხვა IP მისამართები.
• ClusterXL Cluster წევრების მხარდაჭერა, რომლებიც აწარმოებენ სხვადასხვა პროგრამული ვერსიებს.
• აღმოფხვრილია MAC Magic-ის კონფიგურაციის საჭიროება, როდესაც რამდენიმე კლასტერი დაკავშირებულია იმავე ქვექსელთან.

13. VSX

• მხარდაჭერა VSX განახლებისთვის CPUSE-ით Gaia პორტალში.
• აქტიური Up რეჟიმის მხარდაჭერა VSLS-ში.
• CPView სტატისტიკური ანგარიშების მხარდაჭერა თითოეული ვირტუალური სისტემისთვის

14. ნულოვანი შეხებამარტივი Plug & Play დაყენების პროცესი მოწყობილობის ინსტალაციისთვის - აღმოფხვრის ტექნიკური ექსპერტიზის საჭიროებას და მოწყობილობასთან დაკავშირებას საწყისი კონფიგურაციისთვის.

15. Gaia REST APIGaia REST API გთავაზობთ ახალ გზას ინფორმაციის წაკითხვისა და გაგზავნისთვის სერვერებზე, რომლებიც მუშაობენ Gaia ოპერაციული სისტემა. იხილეთ sk143612.

16. გაფართოებული მარშრუტიზაცია

• OSPF-ისა და BGP-ის გაუმჯობესებები იძლევა საშუალებას გადატვირთოთ და გადატვირთოთ OSPF მეზობელი CoreXL Firewall-ის თითოეული ინსტანციისთვის მარშრუტირებული დემონის გადატვირთვის საჭიროების გარეშე.
• მარშრუტის განახლების გაძლიერება BGP მარშრუტიზაციის შეუსაბამობების გაუმჯობესებული მართვისთვის.

17. ბირთვის ახალი შესაძლებლობები

• განახლებული Linux ბირთვი
• დანაყოფის ახალი სისტემა (gpt):
• მხარს უჭერს 2 ტბ-ზე მეტ ფიზიკურ/ლოგიკურ დისკებს
• უფრო სწრაფი ფაილური სისტემა (xfs)
• უფრო დიდი სისტემის მეხსიერების მხარდაჭერა (ტესტირებულია 48 ტბ-მდე)
• I/O დაკავშირებული შესრულების გაუმჯობესება
• მრავალ რიგში:
• სრული Gaia Clish მხარდაჭერა Multi-Queue ბრძანებებისთვის
• ავტომატური "ჩართვა ნაგულისხმევად" კონფიგურაცია
• SMB v2/3 სამონტაჟო მხარდაჭერა Mobile Access blade-ში
• დამატებულია NFSv4 (კლიენტის) მხარდაჭერა (NFS v4.2 არის გამოყენებული ნაგულისხმევი NFS ვერსია)
• სისტემის ახალი ინსტრუმენტების მხარდაჭერა სისტემის გამართვის, მონიტორინგისა და კონფიგურაციისთვის

18. CloudGuard Controller

• შესრულების გაუმჯობესება გარე მონაცემთა ცენტრებთან კავშირებისთვის.
• ინტეგრაცია VMware NSX-T-თან.
• დამატებითი API ბრძანებების მხარდაჭერა მონაცემთა ცენტრის სერვერის ობიექტების შესაქმნელად და რედაქტირებისთვის.

19. მრავალდომენიანი სერვერი

• შექმენით სარეზერვო ასლები და აღადგინეთ ინდივიდუალური დომენის მენეჯმენტის სერვერი მრავალ დომენურ სერვერზე.
• გადაიტანეთ დომენის მენეჯმენტის სერვერი ერთ მრავალ დომენურ სერვერზე სხვადასხვა მულტიდომენის უსაფრთხოების მენეჯმენტში.
• გადაიტანეთ უსაფრთხოების მართვის სერვერი, რომ გახდეთ დომენის მართვის სერვერი მრავალ დომენურ სერვერზე.
• გადაიტანეთ დომენის მართვის სერვერი, რომ გახდეთ უსაფრთხოების მართვის სერვერი.
• დააბრუნეთ დომენი მრავალ დომენურ სერვერზე, ან უსაფრთხოების მართვის სერვერი წინა ვერსიაზე შემდგომი რედაქტირებისთვის.

20. SmartTasks და API

• მენეჯმენტის API ავთენტიფიკაციის ახალი მეთოდი, რომელიც იყენებს ავტომატურად გენერირებულ API კლავიშს.
• ახალი მართვის API ბრძანებები კასეტური ობიექტების შესაქმნელად.
• Jumbo Hotfix Accumulator-ისა და Hotfix-ების ცენტრალური განლაგება SmartConsole-დან ან API-ით საშუალებას გაძლევთ დააინსტალიროთ ან განაახლოთ მრავალი უსაფრთხოების კარიბჭე და კლასტერი პარალელურად.
• SmartTasks — დააკონფიგურირეთ ავტომატური სკრიპტები ან HTTPS მოთხოვნები, რომლებიც გამოწვეულია ადმინისტრატორის ამოცანებით, როგორიცაა სესიის გამოქვეყნება ან პოლიტიკის დაყენება.

21. განლაგებაJumbo Hotfix Accumulator-ისა და Hotfix-ების ცენტრალური განლაგება SmartConsole-დან ან API-ით საშუალებას გაძლევთ დააინსტალიროთ ან განაახლოთ მრავალი უსაფრთხოების კარიბჭე და კლასტერი პარალელურად.

22. SmartEventგაუზიარეთ SmartView ხედები და ანგარიშები სხვა ადმინისტრატორებთან.

23.ლოგის ექსპორტიორიველების მნიშვნელობების მიხედვით გაფილტრული ჟურნალების ექსპორტი.

24. ბოლო წერტილის უსაფრთხოება

• BitLocker დაშიფვრის მხარდაჭერა სრული დისკის დაშიფვრისთვის.
• მხარდაჭერა გარე Certificate Authority სერთიფიკატები Endpoint Security კლიენტისთვის
• ავტორიზაცია და კომუნიკაცია Endpoint Security Management სერვერთან.
• Endpoint Security Client პაკეტების დინამიური ზომის მხარდაჭერა არჩეულზე დაყრდნობით
• განლაგების მახასიათებლები.
• პოლიტიკას ახლა შეუძლია აკონტროლოს საბოლოო მომხმარებლების შეტყობინებების დონე.
• მუდმივი VDI გარემოს მხარდაჭერა Endpoint Policy Management-ში.

რა მოგვწონდა ყველაზე მეტად (მომხმარებლის ამოცანებიდან გამომდინარე)

როგორც ხედავთ, ბევრი სიახლეა. მაგრამ ჩვენთვის, რაც შეეხება სისტემის ინტეგრატორი, არის რამდენიმე ძალიან საინტერესო პუნქტი (რომელიც ასევე საინტერესოა ჩვენი კლიენტებისთვის). ჩვენი ტოპ 10:

1. საბოლოოდ, გამოჩნდა IoT მოწყობილობების სრული მხარდაჭერა. უკვე საკმაოდ რთულია ისეთი კომპანიის პოვნა, რომელსაც არ ჰქონდეს ასეთი მოწყობილობები.
2. TLS ინსპექტირება ახლა მოთავსებულია ცალკეულ ფენაში (Layer). ეს ბევრად უფრო მოსახერხებელია, ვიდრე ახლა (80.30 საათზე). აღარ მუშაობს ძველი Legasy Dashboard. გარდა ამისა, ახლა შეგიძლიათ გამოიყენოთ განახლების ობიექტები HTTPS ინსპექტირების პოლიტიკაში, როგორიცაა Office365, Google, Azure, AWS და ა.შ. სერვისები. ეს ძალიან მოსახერხებელია, როდესაც საჭიროა გამონაკლისების დაყენება. თუმცა, ჯერ კიდევ არ არის მხარდაჭერა tls 1.3-ისთვის. როგორც ჩანს, ისინი "დაეწიებიან" შემდეგ ცხელ გამოსწორებას.
3. მნიშვნელოვანი ცვლილებები Anti-Virus-ისა და SandBlast-ისთვის. ახლა თქვენ შეგიძლიათ შეამოწმოთ პროტოკოლები, როგორიცაა SCP, SFTP და SMBv3 (სხვათა შორის, ამ მრავალარხიან პროტოკოლს ვეღარავინ შეამოწმებს).
4. უამრავი გაუმჯობესებაა Site-to-Site VPN-თან დაკავშირებით. ახლა თქვენ შეგიძლიათ დააკონფიგურიროთ რამდენიმე VPN დომენი კარიბჭეზე, რომელიც რამდენიმე VPN საზოგადოების ნაწილია. ეს არის ძალიან მოსახერხებელი და ბევრად უფრო უსაფრთხო. გარდა ამისა, Check Point-მა საბოლოოდ გაიხსენა Route Based VPN და ოდნავ გააუმჯობესა მისი სტაბილურობა/თავსებადობა.
5. გამოჩნდა ძალიან პოპულარული ფუნქცია დისტანციური მომხმარებლებისთვის. ახლა თქვენ შეგიძლიათ დაადასტუროთ არა მხოლოდ მომხმარებელი, არამედ მოწყობილობა, საიდანაც ის აკავშირებს. მაგალითად, ჩვენ გვინდა VPN კავშირების დაშვება მხოლოდ კორპორატიული მოწყობილობებიდან. ეს კეთდება, რა თქმა უნდა, სერთიფიკატების დახმარებით. ასევე შესაძლებელია ავტომატურად დაამონტაჟოთ (SMB v2/3) ფაილების გაზიარება დისტანციური მომხმარებლებისთვის VPN კლიენტით.
6. კლასტერის მუშაობაში ბევრი ცვლილებაა. მაგრამ, ალბათ, ერთ-ერთი ყველაზე საინტერესო არის კლასტერის ფუნქციონირების შესაძლებლობა, სადაც კარიბჭეებს აქვთ Gaia-ს სხვადასხვა ვერსია. ეს მოსახერხებელია განახლების დაგეგმვისას.
7. გაუმჯობესებული Zero Touch შესაძლებლობები. სასარგებლო რამ მათთვის, ვინც ხშირად აყენებს "პატარა" კარიბჭეებს (მაგალითად, ბანკომატებისთვის).
8. ჟურნალებისთვის, ახლა მხარდაჭერილია 48 ტბ-მდე მეხსიერება.
9. შეგიძლიათ გაუზიაროთ თქვენი SmartEvent დაფები სხვა ადმინისტრატორებს.
10. ჟურნალის ექსპორტიორი ახლა საშუალებას გაძლევთ წინასწარ გაფილტროთ გაგზავნილი შეტყობინებები საჭირო ველების გამოყენებით. იმათ. მხოლოდ საჭირო ჟურნალები და მოვლენები გადაეცემა თქვენს SIEM სისტემებს

განახლება

ალბათ ბევრი უკვე ფიქრობს განახლებაზე. არ არის საჭირო აჩქარება. დასაწყისისთვის, ვერსია 80.40 უნდა გადავიდეს ზოგადი ხელმისაწვდომობაზე. მაგრამ ამის შემდეგაც კი, დაუყოვნებლივ არ უნდა განაახლოთ. ჯობია დაელოდოთ სულ მცირე პირველ ცხელ გამოსწორებას.
ალბათ ბევრი "ზის" ძველ ვერსიებზე. შემიძლია ვთქვა, რომ მინიმუმამდე უკვე შესაძლებელია (და აუცილებელიც კი) განახლება 80.30-მდე. ეს უკვე სტაბილური და აპრობირებული სისტემაა!

თქვენ ასევე შეგიძლიათ გამოიწეროთ ჩვენი საჯარო გვერდები (დეპეშა, Facebook, VK, TS Solution ბლოგი), სადაც შეგიძლიათ თვალი ადევნოთ ახალი მასალების გაჩენას Check Point-ზე და უსაფრთხოების სხვა პროდუქტებზე.

გამოკითხვაში მონაწილეობა შეუძლიათ მხოლოდ დარეგისტრირებულ მომხმარებლებს. Შებრძანდითგთხოვთ

Gaia-ს რომელ ვერსიას იყენებ?

• R77.10

• R77.30

• R80.10

• R80.20

• R80.30

• სხვა

მისცა ხმა 13 მომხმარებელმა. 6-მა მომხმარებელმა თავი შეიკავა.

წყარო: www.habr.com