Check Point Gaia R80.40. Wat is er nieuw?

Een nieuwe release van het besturingssysteem staat voor de deur Gaia R80.40. Enkele weken geleden is het Early Access-programma van start gegaan, waarmee je toegang kunt krijgen tot het testen van de distributie. Zoals gewoonlijk publiceren we informatie over wat er nieuw is, en lichten we punten uit die wij vanuit ons perspectief het meest interessant vinden. Om vooruit te lopen, kan ik zeggen dat de vernieuwingen echt significant zijn. Daarom is het goed om je voor te bereiden op de komende update. Eerder hebben we al een artikel gepubliceerd over hoe dit te doen (voor meer informatie kan je hierheen gaan). Laten we nu naar het onderwerp…

Wat is nieuw

Laten we de officieel aangekondigde vernieuwingen hier bekijken. De informatie is afkomstig van de Check Mates (officiële Check Point-community). Met uw goedkeuring zal ik deze tekst niet vertalen, aangezien het publiek van Habr dat toelaat. In plaats daarvan laat ik mijn opmerkingen in het volgende hoofdstuk achter.

1. IoT-beveiliging. Nieuwe functies met betrekking tot het Internet of Things

• Verzamel IoT-apparaten en verkeersattributen van gecertificeerde IoT-ontdekkingsmotoren (ondersteunt momenteel Medigate, CyberMDX, Cynerio, Claroty, Indegy, SAM en Armis).
• Configureer een nieuwe IoT-specifieke beleidslaag in het beleidsbeheer.
• Configureer en beheer beveiligingsregels die zijn gebaseerd op de attributen van de IoT-apparaten.

2. TLS-inspectieHTTP/2:

• HTTP/2 is een update van het HTTP-protocol. De update biedt verbeteringen in snelheid, efficiëntie en beveiliging, wat resulteert in een betere gebruikerservaring.
• De Security Gateway van Check Point ondersteunt nu HTTP/2 en profiteert van betere snelheid en efficiëntie terwijl het volledige beveiliging biedt, met alle Dreigingspreventie- en Toegangscontrolebladen, evenals nieuwe beschermingen voor het HTTP/2-protocol.
• Ondersteuning is er voor zowel open als SSL-geëncrypteerd verkeer en is volledig geïntegreerd met HTTPS/TLS
• inspectiecapaciteiten.

TLS-inspectielaag. Vernieuwingen met betrekking tot HTTPS-inspectie:

• Een nieuwe beleidslaag in SmartConsole die is gewijd aan TLS-inspectie.
• Verschillende TLS-inspectielagen kunnen in verschillende beleidspakketten worden gebruikt.
• Delen van een TLS-inspectielaag over meerdere beleidspakketten.
• API voor TLS-operaties.

3. Dreigingspreventie

• Algemene efficiëntieverbetering voor dreigingspreventieprocessen en updates.
• Automatische updates voor de DreigingssExtractie-engine.
• Dynamische, domein- en updatable objecten kunnen nu worden gebruikt in dreigingspreventie- en TLS-inspectiebeleid. Updatable objecten zijn netwerkobjecten die een externe service of een bekende dynamische lijst van IP-adressen vertegenwoordigen, bijvoorbeeld — Office365 / Google / Azure / AWS IP-adressen en Geo-objecten.
• Anti-virus maakt nu gebruik van SHA-1 en SHA-256 dreigingsindicaties om bestanden te blokkeren op basis van hun hashes. Import de nieuwe indicatoren vanuit de SmartConsole-Dreigingsindicatorenweergave of de Custom Intelligence Feed CLI.
• Anti-virus en SandBlast Threat Emulation ondersteunen nu de inspectie van e-mailverkeer via het POP3-protocol, evenals een verbeterde inspectie van e-mailverkeer via het IMAP-protocol.
• Anti-virus en SandBlast Threat Emulation maken nu gebruik van de nieuw geïntroduceerde SSH-inspectiefunctie om bestanden te inspecteren die worden overgedragen via de SCP- en SFTP-protocollen.
• Anti-Virus en SandBlast Threat Emulation bieden nu verbeterde ondersteuning voor SMBv3-inspectie (3.0, 3.0.2, 3.1.1), wat inspectie van multikanaalverbindingen omvat. Check Point is nu de enige leverancier die inspectie van een bestandsoverdracht via meerdere kanalen ondersteunt (een functie die standaard aan staat in alle Windows-omgevingen). Dit stelt klanten in staat om veilig te blijven werken met deze prestatieverbeterende functie.

4. Identiteitsbewustzijn

• Ondersteuning voor integratie van Captive Portal met SAML 2.0 en externe Identiteitsproviders.
• Ondersteuning voor Identity Broker voor schaalbare en gedetailleerde gedeelde identiteitsinformatie tussen PDP's, evenals cross-domain delen.
• Verbeteringen aan de Terminal Servers Agent voor betere schaalbaarheid en compatibiliteit.

5. IPsec VPN

• Configureer verschillende VPN-encryptiedomeinen op een beveiligingsgateway die lid is van meerdere VPN-gemeenschappen. Dit biedt:
• Verbeterde privacy — Interne netwerken worden niet onthuld in IKE-protocolonderhandelingen.
• Verbeterde beveiliging en granulariteit — Geef aan welke netwerken toegankelijk zijn in een bepaalde VPN-gemeenschap.
• Verbeterde interoperabiliteit — Vereenvoudigde op route gebaseerde VPN-definities (aanbevolen wanneer u werkt met een lege VPN-encryptiedomein).
• Maak en werk naadloos met een Grootschalige VPN (LSV) omgeving met behulp van LSV-profielen.

6. URL-filtering

• Verbeterde schaalbaarheid en veerkracht.
• Uitgebreide foutopsporingsmogelijkheden.

7. NAT

• Verbeterd NAT-poorttoewijzingsmechanisme — op beveiligingsgateways met 6 of meer CoreXL Firewall-instanties, gebruiken alle instanties dezelfde pool van NAT-poorten, wat de poortbenutting en hergebruik optimaliseert.
• Monitoring van NAT-poortbenutting in CPView en met SNMP.

8. Voice over IP (VoIP)Meerdere CoreXL Firewall-instanties beheren het SIP-protocol om de prestaties te verbeteren.

9. Remote Access VPNGebruik machinecertificaten om onderscheid te maken tussen bedrijfs- en niet-bedrijfsmiddelen en om een beleid vast te stellen dat het gebruik van alleen bedrijfsactiva afdwingt. Handhaving kan vóór inloggen (apparaatauthenticatie alleen) of na inloggen (apparaat- en gebruiker-authenticatie) plaatsvinden.

10. Mobiele Toegangsportaal AgentVerbeterde Endpoint Security on Demand binnen de Mobiele Toegangsportaal Agent ter ondersteuning van alle belangrijke webbrowsers. Voor meer informatie, zie sk113410.

11. CoreXL en Multi-Queue

• Ondersteuning voor automatische toewijzing van CoreXL SND's en Firewall-instanties die geen herstart van de beveiligingsgateway vereisen.
• Verbeterde gebruikservaring direct na installatie — Beveiligingsgateway verandert automatisch het aantal CoreXL SND's en Firewall-instanties en de Multi-Queue-configuratie op basis van de huidige verkeersbelasting.

12. Clustering

• Ondersteuning voor Cluster Control Protocol in Unicast-modus die de behoefte aan CCP elimineert.

Broadcast of Multicast-modus:

• Cluster Control Protocol-encryptie is nu standaard ingeschakeld.
• Nieuwe ClusterXL-modus - Actief/Aktief, die Clusterleden ondersteunt op verschillende geografische locaties die op verschillende subnets zijn gelegen en verschillende IP-adressen hebben.
• Ondersteuning voor ClusterXL Clusterleden die verschillende softwareversies draaien.
• De noodzaak voor MAC Magic-configuratie is geëlimineerd wanneer meerdere clusters zijn verbonden met hetzelfde subnet.

13. VSX

• Ondersteuning voor VSX-upgrade met CPUSE in Gaia Portal.
• Ondersteuning voor Active Up-modus in VSLS.
• Ondersteuning voor CPView-statistische rapporten voor elk Virtueel Systeem.

14. Zero TouchEen eenvoudige Plug & Play-installatieprocedure voor het installeren van een apparaat — wat de noodzaak voor technische expertise en verbinding met het apparaat voor de initiële configuratie elimineert.

15. Gaia REST APIGaia REST API biedt een nieuwe manier om informatie naar en van servers die op het Gaia-besturingssysteem draaien te lezen en te verzenden. Zie sk143612.

16. Geavanceerde Routering

• Verbeteringen aan OSPF en BGP maken het mogelijk om OSPF-burens te resetten en opnieuw op te starten voor elke CoreXL Firewall-instantie zonder de gerouteerde daemon opnieuw te hoeven starten.
• Verbetering van route-refresh voor een betere afhandeling van inconsistenties in BGP-routering.

17. Nieuwe kernelcapaciteiten

• Geüpgradede Linux-kernel
• Nieuw partitioneringsysteem (gpt):
• Ondersteunt meer dan 2TB fysieke/logische schijven
• Sneller bestandssysteem (xfs)
• Ondersteuning voor grotere systeemopslag (tot 48TB getest)
• Prestatieverbeteringen gerelateerd aan I/O
• Multi-Queue:
• Volledige ondersteuning van Gaia Clish voor Multi-Queue-opdrachten
• Automatische configuratie «standaard ingeschakeld»
• SMB v2/3 koppeling ondersteuning in Mobile Access blade
• Toevoeging van NFSv4 (client) ondersteuning (NFS v4.2 is de standaard NFS-versie)
• Ondersteuning voor nieuwe systeemt tools voor debuggen, monitoren en configureren van het systeem

18. CloudGuard Controller

• Prestatieverbeteringen voor verbindingen met externe Datacenters.
• Integratie met VMware NSX-T.
• Ondersteuning voor extra API-opdrachten om Data Center Server-objecten te maken en te bewerken.

19. Multi-Domain Server

• Maak een back-up en herstel een individueel Domain Management Server op een Multi-Domain Server.
• Migreer een Domain Management Server op één Multi-Domain Server naar een andere Multi-Domain Security Management.
• Migreer een Security Management Server om een Domain Management Server te worden op een Multi-Domain Server.
• Migreer een Domain Management Server om een Security Management Server te worden.
• Herstel een Domain op een Multi-Domain Server, of een Security Management Server naar een vorige versie voor verdere bewerking.

20. SmartTasks en API

• Nieuwe Management API-authenticatiemethode die een automatisch gegenereerde API-sleutel gebruikt.
• Nieuwe Management API-opdrachten om clusterobjecten te maken.
• Centrale implementatie van Jumbo Hotfix Accumulator en hotfixes vanuit SmartConsole of met een API maakt het mogelijk meerdere Security Gateways en Clusters parallel te installeren of bij te werken.
• SmartTasks — Configureer automatische scripts of HTTPS-verzoeken die worden geactiveerd door taken van de beheerder, zoals het publiceren van een sessie of het installeren van een beleid.

21. ImplementatieCentrale implementatie van Jumbo Hotfix Accumulator en hotfixes vanuit SmartConsole of met een API maakt het mogelijk meerdere Security Gateways en Clusters parallel te installeren of bij te werken.

22. SmartEventDeel SmartView-weergaven en rapporten met andere beheerders.

23. Log ExporterExporteer logs gefilterd op basis van veldwaarden.

24. Endpoint Security

• Ondersteuning voor BitLocker-encryptie voor volledige schijfversleuteling.
• Ondersteuning voor externe Certificate Authority-certificaten voor de Endpoint Security-client
• authenticatie en communicatie met de Endpoint Security Management Server.
• Ondersteuning voor dynamische grootte van Endpoint Security Client-pakketten op basis van de geselecteerde
• functies voor implementatie.
• Beleid kan nu het niveau van meldingen aan eindgebruikers controleren.
• Ondersteuning voor een persistente VDI-omgeving in Endpoint Policy Management.

Wat we het leukst vonden (op basis van klanttaken)

Zoals je ziet, zijn er veel noviteiten. Maar voor ons, als systeemintegrator, zijn er een paar zeer interessante punten (die ook interessant zijn voor onze klanten). Onze top 10:

1. Volledige ondersteuning voor IoT-apparaten is eindelijk beschikbaar. Het is al behoorlijk moeilijk om een bedrijf te vinden dat dergelijke apparaten niet heeft.
2. TLS-inspectie is nu naar een aparte laag (Layer) verplaatst. Dit is veel handiger dan nu (in 80.30). Je hoeft de oude Legacy-dashboard niet meer te starten. Bovendien kunnen nu in het beleid voor HTTPS-inspectie Updatable-objecten worden gebruikt, zoals services van Office365, Google, Azure, AWS, enzovoort. Dit is heel handig als je uitzonderingen wilt instellen. Echter, er is nog steeds geen ondersteuning voor TLS 1.3. Blijkbaar wordt dat in de volgende hotfix opgelost.
3. Significante wijzigingen voor Anti-Virus en SandBlast. Nu kunnen protocollen zoals SCP, SFTP en SMBv3 worden gecontroleerd (overigens, dit multi-channel protocol kan nu niemand anders controleren).
4. Er zijn veel verbeteringen met betrekking tot Site-to-Site VPN. Nu is het mogelijk om meerdere VPN-domeinen in te stellen op een gateway die deel uitmaakt van meerdere VPN-gemeenschappen. Dit is erg handig en veel veiliger. Bovendien heeft Check Point eindelijk weer gedacht aan Route Based VPN en de stabiliteit/compatibiliteit ervan iets verbeterd.
5. Er is nu een zeer gewilde functie voor externe gebruikers. Het is nu mogelijk om niet alleen de gebruiker, maar ook het apparaat waarmee hij verbinding maakt, te authenticeren. Bijvoorbeeld, we willen alleen verbinding via VPN toestaan vanaf bedrijfsapparaten. Dit gebeurt uiteraard met certificaten. Ook is het mogelijk geworden om automatisch (SMB v2/3) bestandsshares te monteren voor externe gebruikers met een VPN-client.
6. Er zijn veel veranderingen in de werking van het cluster. Maar misschien wel een van de interessantste is de mogelijkheid om clusters te laten werken, waarbij de gateways verschillende versies van Gaia hebben. Dit is handig bij geplande updates.
7. De mogelijkheden van Zero Touch zijn verbeterd. Een nuttige functie voor degenen die vaak 'kleine' gateways installeren (bijvoorbeeld voor geldautomaten).
8. Voor logs wordt nu tot 48 TB opslag ondersteund.
9. Je kunt je SmartEvent-dashboards delen met andere beheerders.
10. Log Exporter maakt het nu mogelijk om vooraf filteren van verzonden berichten op benodigde velden. Dus alleen de relevante logs en gebeurtenissen komen bij je SIEM-systemen binnen.

Bijwerken

Velen overwegen misschien al een upgrade. Haast je niet. Eerst moet versie 80.40 beschikbaar komen voor algemeen gebruik. Maar ook daarna is het niet verstandig om direct te upgraden. Het is beter om ten minste te wachten op de eerste hotfix.
Misschien zitten velen nog op oudere versies. Ik kan zeggen dat je minimaal kunt (en zelfs moet) upgraden naar 80.30. Dit is al een stabiel en getest systeem!

Je kunt je ook abonneren op onze kanalen (Telegram, Facebook, VK, TS Solution Blog), waar je nieuwe materialen over Check Point en andere beveiligingsproducten kunt volgen.

Alleen geregistreerde gebruikers kunnen deelnemen aan de enquête. Log in, alstublieft.

Welke versie van Gaia gebruik je?

• R77.10
• R77.30
• R80.10
• R80.20
• R80.30
• Overig

13 gebruikers hebben gestemd. 6 gebruikers hebben zich onthouden.

Bron: habr.com