पोइन्ट R80.10 API जाँच गर्नुहोस्। CLI, स्क्रिप्ट र थप मार्फत व्यवस्थापन

म विश्वस्त छु कि सबैजनासँग काम गरेको छ चेक प्वाइन्ट,बारे गुनासो आएको थियो आदेश रेखाबाट कन्फिगरेसन सम्पादन गर्न असम्भव। यो विशेष गरी तिनीहरूका लागि अनौठो छ जसले पहिले सिस्को एएसएसँग काम गरेका छन्, जहाँ सबै कुरा CLI मा कन्फिगर गर्न सकिन्छ। चेक पोइन्टको साथ यो अर्को तरिका हो - सबै सुरक्षा सेटिङहरू ग्राफिकल इन्टरफेसबाट विशेष रूपमा प्रदर्शन गरिएको थियो। जे होस्, केहि चीजहरू GUI मार्फत गर्न पूर्ण रूपमा असुविधाजनक छन् (एक चेक पोइन्टको रूपमा पनि सुविधाजनक)। उदाहरण को लागी, 100 नयाँ होस्ट वा सञ्जालहरू थप्ने कार्य लामो र कठिन प्रक्रियामा परिणत हुन्छ। प्रत्येक वस्तुको लागि तपाईले धेरै पटक माउस क्लिक गर्नुपर्नेछ र IP ठेगाना प्रविष्ट गर्नुपर्नेछ। साइटहरूको समूह सिर्जना गर्न वा IPS हस्ताक्षरहरू सक्षम/असक्षम पार्ने कार्यको लागि पनि यही हो। यस अवस्थामा, गल्ती गर्ने उच्च सम्भावना छ।

एक "चमत्कार" अपेक्षाकृत हालै भयो। नयाँ संस्करण को रिलीज संग Gaia R80 अवसर घोषणा गरिएको थियो API प्रयोग, जसले स्वचालित सेटिङहरू, प्रशासन, निगरानी, ​​इत्यादिका लागि व्यापक अवसरहरू खोल्छ। अब तपाईं सक्नुहुन्छ:

• वस्तुहरू सिर्जना गर्नुहोस्;
• पहुँच सूचीहरू थप्नुहोस् वा सम्पादन गर्नुहोस्;
• ब्लेड सक्षम / असक्षम गर्नुहोस्;
• नेटवर्क इन्टरफेसहरू कन्फिगर गर्नुहोस्;
• नीतिहरू स्थापना गर्नुहोस्;
• र धेरै बढी।

इमानदारीपूर्वक भन्नुपर्दा, मैले बुझिन कि यो समाचार हब्रद्वारा कसरी पारित भयो। यस लेखमा हामी एपीआई कसरी प्रयोग गर्ने र धेरै व्यावहारिक उदाहरणहरू प्रदान गर्ने छोटकरीमा वर्णन गर्नेछौं। लिपिहरू प्रयोग गरेर चेकपोइन्ट सेटिङहरू.

म तुरुन्तै रिजर्भेसन गर्न चाहन्छु कि API व्यवस्थापन सर्भरको लागि मात्र प्रयोग गरिन्छ। ती। व्यवस्थापन सर्भर बिना गेटवेहरू व्यवस्थापन गर्न अझै असम्भव छ।

सिद्धान्तमा यो API कसले प्रयोग गर्न सक्छ?

1. प्रणाली प्रशासकहरू जो नियमित चेक पोइन्ट कन्फिगरेसन कार्यहरू सरल वा स्वचालित गर्न चाहन्छन्;
2. अन्य समाधानहरू (भर्चुअलाइजेशन प्रणालीहरू, टिकट प्रणालीहरू, कन्फिगरेसन व्यवस्थापन प्रणालीहरू, आदि) सँग चेक पोइन्ट एकीकृत गर्न चाहने कम्पनीहरू;
3. प्रणाली इन्टिग्रेटरहरू जो सेटिङहरू मानकीकरण गर्न वा थप चेक पोइन्ट-सम्बन्धित उत्पादनहरू सिर्जना गर्न चाहन्छन्।

सामान्य योजना

त्यसोभए, चेक पोइन्टको साथ एक सामान्य योजनाको कल्पना गरौं:

सामान्य रूपमा हामीसँग एउटा गेटवे छ (SG), व्यवस्थापन सर्भर (एसएमएस) र एडमिन कन्सोल (SmartConsole)। यस अवस्थामा, सामान्य गेटवे कन्फिगरेसन प्रक्रिया यस्तो देखिन्छ:

ती। पहिले तपाईंले प्रशासकको कम्प्युटरमा चलाउन आवश्यक छ SmartConsole, जसको साथ हामी व्यवस्थापन सर्भरमा जडान गर्छौं (एसएमएस)। सुरक्षा सेटिङहरू एसएमएसमा बनाइन्छ, र त्यसपछि मात्र लागू हुन्छ (नीति स्थापना गर्नुहोस्) गेटवे (SG).

प्रयोग गर्दै व्यवस्थापन API, हामी मूल रूपमा पहिलो बिन्दु छोड्न सक्छौं (स्मार्ट कन्सोल सुरु गर्नुहोस्) र प्रयोग गर्नुहोस् API आदेशहरू सीधा व्यवस्थापन सर्भर (SMS) मा।

API प्रयोग गर्ने तरिकाहरू

API को प्रयोग गरेर कन्फिगरेसन सम्पादन गर्न चार मुख्य तरिकाहरू छन्:

1) mgmt_cli उपयोगिता प्रयोग गर्दै

उदाहरण - # mgmt_cli होस्ट नाम host1 ip-ठेगाना 192.168.2.100 थप्नुहोस्
यो आदेश व्यवस्थापन सर्भर (SMS) कमाण्ड लाइनबाट चलाइएको छ। मलाई लाग्छ कमाण्डको सिन्ट्याक्स स्पष्ट छ - host1 ठेगाना 192.168.2.100 सँग सिर्जना गरिएको छ।

2) clish मार्फत API आदेशहरू प्रविष्ट गर्नुहोस् (विशेषज्ञ मोडमा)

सामान्यतया, तपाईले गर्नु पर्ने भनेको कमाण्ड लाइनमा लग इन गर्नु हो (mgmt लगइन) खाता अन्तर्गत जुन SmartConsole (वा रूट खाता) मार्फत जडान गर्दा प्रयोग गरिन्छ। त्यसपछि तपाइँ प्रविष्ट गर्न सक्नुहुन्छ API आदेशहरू (यस अवस्थामा प्रत्येक आदेश अघि उपयोगिता प्रयोग गर्न आवश्यक छैन mgmt_cli)। तपाईं पूर्ण बन्न सक्नुहुन्छ BASH लिपिहरू। होस्टले सिर्जना गर्ने लिपिको उदाहरण:

ब्यास लिपि

#!/bin/bash

main() {
    clear

    #LOGIN (don't ask for username and password, user is already logged in to Management server as 'root' user)
    mgmt_cli login --root true > id_add_host.txt
    on_error_print_and_exit "Error: Failed to login, check that the server is up and running (run 'api status')"

    #READ HOST NAME
    printf "Enter host name:n"
    read -e host_name
    on_empty_input_print_and_exit "$host_name" "Error: The host's name cannot be empty."

    #READ IP ADDRESS
    printf "nEnter host IP address:n"
    read -e ip
    on_empty_input_print_and_exit "$ip" "Error: The host's IP address cannot be empty."

    #CREATE HOST
    printf "Creating new host: $host_name with IP address: $ipn"
    new_host_response=$(mgmt_cli add host name $host_name ip-address $ip -s id_add_host.txt 2> /dev/null)
    on_error_print_and_exit "Error: Failed to create host object. n$new_host_response"

    #PUBLISH THE CHANGES
    printf "nPublishing the changesn"
    mgmt_cli publish --root true -s id_add_host.txt &> /dev/null
    on_error_print_and_exit "Error: Failed to publish the changes."

    #LOGOUT
    logout
	
	printf "Done.n"
}

logout(){
	mgmt_cli logout --root true -s id_add_host.txt &> /dev/null
}

on_error_print_and_exit(){
    if [ $? -ne 0 ]; then
        handle_error "$1" 
	fi
}

handle_error(){
    printf "n$1n" #print error message
    mgmt_cli discard --root true -s id_add_host.txt &> /dev/null
    logout
    exit 1
}

on_empty_input_print_and_exit(){
	if [ -z "$1" ]; then
		printf "$2n" #print error message
		logout
		exit 0
	fi
}

# Script starts here. Call function "main".
main

यदि तपाइँ इच्छुक हुनुहुन्छ भने, तपाइँ सम्बन्धित भिडियो हेर्न सक्नुहुन्छ:

3) CLI विन्डो खोलेर SmartConsole मार्फत

तपाईले गर्नु पर्ने भनेको विन्डो खोल्नु हो CLI सीधा देखि SmartConsole, तल चित्रमा देखाइएको रूपमा।

यस विन्डोमा, तपाइँ तुरुन्तै API आदेशहरू प्रविष्ट गर्न सुरु गर्न सक्नुहुन्छ।

4) वेब सेवाहरू। HTTPS पोस्ट अनुरोध प्रयोग गर्नुहोस् (REST API)

हाम्रो विचारमा, यो सबैभन्दा आशाजनक विधिहरू मध्ये एक हो, किनभने मा आधारित सम्पूर्ण अनुप्रयोगहरू "निर्माण" गर्न अनुमति दिन्छ व्यवस्थापन सर्भर व्यवस्थापन (टाटोलोजीको लागि माफ गर्नुहोस्)। तल हामी यस विधिलाई थोरै विस्तारमा हेर्नेछौं।

संक्षेप गर्न:

1. API + cli सिस्को प्रयोग गर्ने व्यक्तिहरूको लागि अधिक उपयुक्त;
2. API + शेल लिपिहरू लागू गर्न र नियमित कार्यहरू प्रदर्शन गर्नको लागि;
3. REST API स्वचालनको लागि।

API सक्षम गर्दै

पूर्वनिर्धारित रूपमा, RAM को 4GB भन्दा बढी र 8GB RAM भन्दा बढीको साथ स्ट्यान्डअलोन कन्फिगरेसनहरू भएका व्यवस्थापन सर्भरहरूमा API सक्षम गरिएको छ। तपाईं आदेश प्रयोग गरेर स्थिति जाँच गर्न सक्नुहुन्छ: एपीआई स्थिति

यदि यो पत्ता लाग्यो कि एपीआई असक्षम गरिएको छ, तब यसलाई SmartConsole मार्फत सक्षम गर्न एकदम सजिलो छ: व्यवस्थापन र सेटिङहरू > ब्लेड > व्यवस्थापन API > उन्नत सेटिङहरू

त्यसपछि प्रकाशित (प्रकाशित) परिवर्तन गर्नुहोस् र आदेश चलाउनुहोस् एपीआई पुन: सुरु गर्नुहोस्.

वेब अनुरोधहरू + पाइथन

API आदेशहरू कार्यान्वयन गर्न, तपाइँ वेब अनुरोधहरू प्रयोग गरेर प्रयोग गर्न सक्नुहुन्छ अजगर र पुस्तकालयहरू अनुरोधहरू, JSON। सामान्यतया, वेब अनुरोधको संरचनामा तीन भागहरू हुन्छन्:

१)ठेगाना

(https://<managemenet server>:<port>/web_api/<command>) 

2) HTTP हेडरहरू

content-Type: application/json
x-chkp-sid: <session ID token as returned by the login command>

3) पेलोड अनुरोध गर्नुहोस्

विभिन्न प्यारामिटरहरू भएको JSON ढाँचामा पाठ

विभिन्न आदेशहरू कल गर्नको लागि उदाहरण:

def api_call(ip_addr, port, command, json_payload, sid):
    url = 'https://' + ip_addr + ':' + str(port) + '/web_api/' + command
    if sid == “”:
        request_headers = {'Content-Type' : 'application/json'}
    else:
        request_headers = {'Content-Type' : 'application/json', 'X-chkp-sid' : sid}
    r = requests.post(url,data=json.dumps(json_payload), headers=request_headers,verify=False)
    return r.json()                                        
'xxx.xxx.xxx.xxx' -> Ip address GAIA

यहाँ केहि सामान्य कार्यहरू छन् जुन तपाईले प्रायः चेक पोइन्ट व्यवस्थापन गर्दा सामना गर्नु हुन्छ।

1) प्राधिकरण र लगआउट कार्यहरूको उदाहरण:

लिपि

    payload = {‘user’: ‘your_user’, ‘password’ : ‘your_password’}
    response = api_call('xxx.xxx.xxx.xxx', 443, 'login',payload, '')
    return response["sid"]

    response = api_call('xxx.xxx.xxx.xxx', 443,'logout', {} ,sid)
    return response["message"]

2) ब्लेडहरू खोल्दै र नेटवर्क सेटअप गर्दै:

लिपि

new_gateway_data = {'name':'CPGleb','anti-bot':True,'anti-virus' : True,'application-control':True,'ips':True,'url-filtering':True,'interfaces':
                    [{'name':"eth0",'topology':'external','ipv4-address': 'xxx.xxx.xxx.xxx',"ipv4-network-mask": "255.255.255.0"},
                     {'name':"eth1",'topology':'internal','ipv4-address': 'xxx.xxx.xxx.xxx',"ipv4-network-mask": "255.255.255.0"}]}
new_gateway_result = api_call('xxx.xxx.xxx.xxx', 443,'set-simple-gateway', new_gateway_data ,sid)
print(json.dumps(new_gateway_result))

3) फायरवाल नियमहरू परिवर्तन गर्दै:

लिपि

new_access_data={'name':'Cleanup rule','layer':'Network','action':'Accept'}
new_access_result = api_call('xxx.xxx.xxx.xxx', 443,'set-access-rule', new_access_data ,sid)
print(json.dumps(new_access_result))

4) आवेदन तह थप्दै:

लिपि

add_access_layer_application={ 'name' : 'application123',"applications-and-url-filtering" : True,"firewall" : False}
add_access_layer_application_result = api_call('xxx.xxx.xxx.xxx', 443,'add-access-layer', add_access_layer_application ,sid)
print(json.dumps(add_access_layer_application_result))

set_package_layer={"name" : "Standard","access":True,"access-layers" : {"add" : [ { "name" : "application123","position" :2}]} ,"installation-targets" : "CPGleb"}
set_package_layer_result = api_call('xxx.xxx.xxx.xxx', 443,'set-package', set_package_layer ,sid)
print(json.dumps(set_package_layer_result))

5) नीति प्रकाशित र सेट गर्नुहोस्, आदेशको कार्यान्वयन जाँच गर्नुहोस् (कार्य-आईडी):

लिपि

publish_result = api_call('xxx.xxx.xxx.xxx', 443,"publish", {},sid)
print("publish result: " + json.dumps(publish_result))
new_policy = {'policy-package':'Standard','access':True,'targets':['CPGleb']}
new_policy_result = api_call('xxx.xxx.xxx.xxx', 443,'install-policy', new_policy ,sid)
print(json.dumps(new_policy_result)

task_id=(json.dumps(new_policy_result ["task-id"]))
len_str=len(task_id)
task_id=task_id[1:(len_str-1)]
show_task_id ={'task-id':(task_id)}
show_task=api_call('xxx.xxx.xxx.xxx',443,'show-task',show_task_id,sid)
print(json.dumps(show_task))

6) होस्ट थप्नुहोस्:

लिपि

new_host_data = {'name':'JohnDoePc', 'ip-address': '192.168.0.10'}
new_host_result = api_call('xxx.xxx.xxx.xxx', 443,'add-host', new_host_data ,sid)
print(json.dumps(new_host_result))

7) खतरा रोकथाम क्षेत्र थप्नुहोस्:

लिपि

set_package_layer={'name':'Standard','threat-prevention' :True,'installation-targets':'CPGleb'}
set_package_layer_result = api_call('xxx.xxx.xxx.xxx', 443,'set-package',set_package_layer,sid)
print(json.dumps(set_package_layer_result))

8) सत्रहरूको सूची हेर्नुहोस्

लिपि

new_session_data = {'limit':'50', 'offset':'0','details-level' : 'standard'}
new_session_result = api_call('xxx.xxx.xxx.xxx', 443,'show-sessions', new_session_data ,sid)
print(json.dumps(new_session_result))

9) नयाँ प्रोफाइल सिर्जना गर्नुहोस्:

लिपि

add_threat_profile={'name':'Apeiron', "active-protections-performance-impact" : "low","active-protections-severity" : "low or above","confidence-level-medium" : "prevent",
  "confidence-level-high" : "prevent", "threat-emulation" : True,"anti-virus" : True,"anti-bot" : True,"ips" : True,
  "ips-settings" : { "newly-updated-protections" : "staging","exclude-protection-with-performance-impact" : True,"exclude-protection-with-performance-impact-mode" : "High or lower"},
  "overrides" : [ {"protection" : "3Com Network Supervisor Directory Traversal","capture-packets" : True,"action" : "Prevent","track" : "Log"},
                  {"protection" : "7-Zip ARJ Archive Handling Buffer Overflow", "capture-packets" : True,"action" : "Prevent","track" : "Log"} ]}
add_threat_profile_result=api_call('xxx.xxx.xxx.xxx',443,'add-threat-profile',add_threat_profile,sid)
print(json.dumps(add_threat_profile_result))  

10) IPS हस्ताक्षरको लागि कार्य परिवर्तन गर्नुहोस्:

लिपि

set_threat_protection={
  "name" : "3Com Network Supervisor Directory Traversal",
  "overrides" : [{ "profile" : "Apeiron","action" : "Detect","track" : "Log","capture-packets" : True},
    { "profile" : "Apeiron", "action" : "Detect", "track" : "Log", "capture-packets" : False} ]}
set_threat_protection_result=api_call('xxx.xxx.xxx.xxx',443,'set-threat-protection',set_threat_protection,sid)
print(json.dumps(set_threat_protection_result))

11) आफ्नो सेवा थप्नुहोस्:

लिपि

add_service_udp={    "name" : "Dota2_udp", "port" : '27000-27030',
"keep-connections-open-after-policy-installation" : False,
"session-timeout" : 0, "match-for-any" : True,
"sync-connections-on-cluster" : True,
"aggressive-aging" : {"enable" : True, "timeout" : 360,"use-default-timeout" : False  },
"accept-replies" : False}
add_service_udp_results=api_call('xxx.xxx.xxx.xxx',443,"add-service-udp",add_service_udp,sid)
print(json.dumps(add_service_udp_results))

१२) वर्ग, साइट वा समूह थप्नुहोस्:

लिपि

add_application_site_category={  "name" : "Valve","description" : "Valve Games"}
add_application_site_category_results=api_call('xxx.xxx.xxx.xxx',443,"add-application-site-category",add_application_site_category,sid)
print(json.dumps(add_application_site_category_results))

add_application_site={    "name" : "Dota2", "primary-category" : "Valve",  "description" : "Dotka",
  "url-list" : [ "www.dota2.ru" ], "urls-defined-as-regular-expression" : False}
add_application_site_results=api_call('xxx.xxx.xxx.xxx',443,"add-application-site " , 
add_application_site , sid)
print(json.dumps(add_application_site_results))

add_application_site_group={"name" : "Games","members" : [ "Dota2"]}
add_application_site_group_results=api_call('xxx.xxx.xxx.xxx',443,"add-application-site-group",add_application_site_group,sid)
print(json.dumps(add_application_site_group_results))

साथै, मद्दत संग वेब एपीआई तपाईं नेटवर्कहरू, होस्टहरू, पहुँच भूमिकाहरू, आदि थप्न र हटाउन सक्नुहुन्छ। ब्लेड अनुकूलित गर्न सकिन्छ एन्टिभाइरस, एन्टिबोट, आईपीएस, वीपीएन। आदेश प्रयोग गरेर इजाजतपत्रहरू स्थापना गर्न पनि सम्भव छ रन-स्क्रिप्ट। सबै चेक पोइन्ट API आदेशहरू यहाँ फेला पार्न सकिन्छ यहाँ.

पोइन्ट API + पोस्टम्यान जाँच गर्नुहोस्

प्रयोग गर्न पनि सुविधाजनक बिन्दु वेब API जाँच गर्नुहोस् संग संयोजन मा हुलाकी। Postman सँग Windows, Linux र MacOS को लागि डेस्कटप संस्करणहरू छन्। थप रूपमा, त्यहाँ Google Chrome को लागी एक प्लगइन छ। यो हामीले प्रयोग गर्नेछौं। पहिले तपाईंले गुगल क्रोम स्टोरमा पोस्टम्यान फेला पार्न र स्थापना गर्न आवश्यक छ:

यो उपयोगिता प्रयोग गरेर, हामी चेक पोइन्ट API मा वेब अनुरोधहरू उत्पन्न गर्न सक्षम हुनेछौं। सबै एपीआई आदेशहरू याद नगर्नको लागि, तथाकथित संग्रहहरू (टेम्प्लेटहरू) आयात गर्न सम्भव छ, जसमा पहिले नै सबै आवश्यक आदेशहरू छन्:

यो छ तपाईं भेट्टाउनुहुनेछ संग्रह लागि R80.10। आयात गरेपछि, API आदेश टेम्प्लेटहरू हामीलाई उपलब्ध हुनेछन्:

मेरो विचारमा, यो धेरै सुविधाजनक छ। तपाईंले चेक प्वाइन्ट API प्रयोग गरेर अनुप्रयोगहरू विकास गर्न द्रुत रूपमा सुरु गर्न सक्नुहुन्छ।

जाँच बिन्दु + उत्तरयोग्य

त्यहाँ रहेको पनि म नोट गर्न चाहन्छु अज्ञात मोड्युल CheckPoint API को लागि। मोड्युलले तपाईंलाई कन्फिगरेसनहरू व्यवस्थापन गर्न अनुमति दिन्छ, तर यो विदेशी समस्याहरू समाधान गर्नको लागि त्यति सुविधाजनक छैन। कुनै पनि प्रोग्रामिङ भाषामा लिपि लेख्दा थप लचिलो र सुविधाजनक समाधानहरू प्रदान गर्दछ।

निष्कर्षमा

यो जहाँ हामी सम्भवतः चेक पोइन्ट API को हाम्रो छोटो समीक्षा समाप्त गर्नेछौं। मेरो विचारमा, यो सुविधा धेरै लामो-प्रतीक्षित र आवश्यक थियो। API को उदयले चेक प्वाइन्ट उत्पादनहरूसँग काम गर्ने प्रणाली प्रशासकहरू र प्रणाली एकीकरणकर्ताहरूका लागि धेरै फराकिलो अवसरहरू खोल्छ। अर्केस्ट्रेशन, स्वचालन, SIEM प्रतिक्रिया... यो सबै अब सम्भव छ।

PS बारे थप लेख चेक प्वाइन्ट जहिले पनि तपाईले हाम्रो ब्लगमा फेला पार्न सक्नुहुन्छ Habr वा ब्लग मा मा साइट.

PSS चेक पोइन्ट सेटअप गर्न सम्बन्धित प्राविधिक प्रश्नहरूको लागि, तपाईं सक्नुहुन्छ यहाँ

दर्ता भएका प्रयोगकर्ताहरूले मात्र सर्वेक्षणमा भाग लिन सक्छन्। साइन इन गर्नुहोस्कृपया

के तपाइँ API प्रयोग गर्ने योजनामा ​​हुनुहुन्छ?

• 70,6%हो 12

• 23,5%नम्बर ८०

• 5,9%पहिले नै 1 प्रयोग गर्दै

17 प्रयोगकर्ताहरूले मतदान गरे। २ प्रयोगकर्ताहरू रोकिए।

स्रोत: www.habr.com