🥇13. Check Point Ienākšana R80.20. Licencēšana

Sveicināti, draugi! Beidzot esam nonākuši līdz pēdējai, nobeiguma nodarbībai Check Point Getting Started. Šodien mēs runāsim par ļoti svarīgu tēmu — Licencēšana. Ātri brīdinu, ka šī nodarbība nav izsmeļošs ceļvedis aprīkojuma vai licenču izvēlē. Tā ir tikai īsa svarīgāko punktu kopsavilkums, ko jāzina katram Check Point administratoram. Ja jūs patiešām esat apjucis licenču vai ierīču izvēlē, labāk vērsieties pie profesionāļiem, proti, pie mums :). Ir daudz slēptu nianses, kuras ir grūti izstāstīt šajā kursā, un to uzreiz arī atcerēties nebūs viegli.
Mūsu nodarbība būs pilnībā teorētiska, tāpēc varat izslēgt savus testēšanas serverus un atpūsties. Raksta beigās jūs atradīsiet video nodarbību, kurā es stāstu visu detalizētāk.

Vārtejas licencēšana

Sāksim ar drošības vārteju licencēšanas īpatnību aprakstu. Un tas attiecas gan uz aparatūras ierīcēm, gan uz virtuālajām mašīnām. Pieņemsim, ka jūs esat izlēmuši iegādāties vārteju. Nepietiek vienkārši iegādāties aparatūru vai virtuālo mašīnu bez "abonementiem" — tas nav iespējams! Ir trīs abonementu varianti:

Un tagad pirmais interesantais fakts! Ierīci vai virtuālo mašīnu jūs varat iegādāties tikai ar NGTP vai NGTX abonementiem. Bet, kad jūs atjaunosiet savu abonementu, tad jau varēsiet izvēlēties NGFW paketi, ja jums nav vajadzīgi AV, AB, URL, AS, TE un TX bļadi. Tas ir tāds moments. Paši abonementi ir pieejami uz gadu, diviem vai trim gadiem.

Es varu paredzēt jūsu pirmo jautājumu! “Kas notiks, ja abonementu nepagarinās?”. Es speciāli izcēlu zaļā krāsā tos bļadus, kuri darbosies vienmēr, un BEZ atjaunojumiem. Tādi saucamie mūžīgie bļadi. Pārējie bļadi, kuriem nepieciešami pastāvīgi atjauninājumi, vienkārši pārstās darboties. Nu, vienīgi IPS paliks pieejamas daļas paraksta (bet to ir ļoti maz). Tas attiecas gan uz aparatūrām, gan uz virtuālajām mašīnām, proti, vSec.

Atsevišķi es izcēlu trīs bļadus, kuri neietilpst nevienā komplektā, tie ir: DLP, MAB un Capsule.

Arī atcerieties, ka, ja pērkat klastera risinājumu, tad kā otro ierīci izvēlieties modeli ar sufiksu HA (proti, Augsta pieejamība). Attēlā ir piemērs vārtejai 5400. Tas attiecās uz vārtejam. Tagad par pārvaldības serveri.

Pārvaldības servera licencēšana

Kā jau pieminējām pirmajos sapratu lekcijās, Check Point ieviešanai ir divas iespējas: Standalone (kad gan vārti, gan pārvaldība ir vienā ierīcē) un Distributed (kad pārvaldības serveris tiek pārvietots uz atsevišķu ierīci). Tomēr varianti uz to nebeidzas. Apskatīsim trīs tipiskus scenārijus pārvaldības servera ieviešanai:

Izsniegtā NGSM iegāde. Vispopulārākais variants. Izvēlaties vai nu iekārtu Smart-1, vai virtuālo serveri. Protams, izvēlaties atkarībā no tā, cik daudz vārtu jūs plānojat administrēt — 5, 10, 25 utt. Ieviešot šo ierīci, jūs varat izmantot četras galvenās pārvaldības servera blda: NPM (t.i., politiku pārvaldība), Logging and Status (t.i., žurnāla veidošana), Smart Event (Check Point SIEM, kas sniedz visu ziņojumu) un Compliance (kvalitātes novērtēšana, vai nu atbilstībai noteiktiem regulatīviem standartiem, piemēram, PCI DSS, vai vienkārši Labākās prakses noteikumiem). Šeit redzams, ka NPM un LS bldi ir pastāvīgi bldi, t.i., tie darbosies pat bez abonementa pagarināšanas, bet Smart Event un Compliance bldi ir pieejami tikai pirmajā gadā! Pēc tam tos jāpagarinā par atsevišķu maksu. Tas ir svarīgs punkts, neaizmirstiet. Un, ja bez Compliance blda vēl iespējams iztikt, tad Smart Event noteikti nepieciešams visiem.
Izsniegtā Event Management servera iegāde KĀ PAPILDINĀJUMU esošajai serverim NGSM pārvaldībai. Kāpēc tas nepieciešams? Jo žurnāla veidošanas funkcionalitāte, it īpaši Smart Event, serveri paņem diezgan ievērojamas sistēmas resursus. Un, ja žurnālu ir diezgan daudz, tas var novest pie “aizķeršanās” pārvaldībā. Tādēļ bieži tiek praktizēta šī funkcionalitātes pārvietošana uz atsevišķu ierīci, Smart-1 vai atkal virtuālo serveri. Lielas integrācijas ar lielu žurnālu skaitu gandrīz vienmēr prasa atsevišķu serveri Smart Event. Tas, savukārt, var pieņemt žurnālus. Tādā veidā jūsu pārvaldības serveris veiks tikai pārvaldības funkcijas. Tas ievērojami palielina sistēmas stabilitāti un reakcijas ātrumu. Kā var pamanīt, iegādājoties atsevišķu Smart Event serveri, jūs iegūstat šos divus bldi pastāvīgai lietošanai, pat bez pagarināšanas. 3-4 gadu perspektīvā tas būs pat ekonomiski izdevīgāk nekā katru gadu iegādāties Smart Event pagarinājumus par parasto NGSM serveri.
Izsniegtais Log management serveris, kas papildina NGSM un Smart Event serverus. Jēga, domāju, ir skaidra. Ļoti lielā žurnālu apjomā mēs varam iznest žurnālu funkcionālitāti uz atsevišķu serveri. Atsevišķs Log serveris arī ir ar pastāvīgu licenci un neprasa atjaunošanu.