Witajcie, szanowni czytelnicy Habr! To jest korporacyjny blog firmy . Jesteśmy integratorem systemów i w dużej mierze specjalizujemy się w rozwiązaniach zabezpieczeń IT (, ) oraz systemach analizy danych z maszyn (). Nasz blog zaczynamy od krótkiego wprowadzenia w technologie Check Point.
Długo zastanawialiśmy się, czy warto pisać ten artykuł, ponieważ nie ma w nim nic nowego, czego nie można by znaleźć w Internecie. Jednak mimo takiego bogactwa informacji, podczas pracy z klientami i partnerami wciąż często słyszymy te same pytania. Dlatego postanowiliśmy napisać pewne wprowadzenie do świata technologii Check Point i wyjaśnić istotę architektury ich rozwiązań. A wszystko to w ramach jednego "małego" posta, czyli swoistego szybkiego przeglądu. Postaramy się unikać wojen marketingowych, ponieważ nie jesteśmy dostawcą, a jedynie integratorem systemowym (choć bardzo lubimy Check Point) i po prostu omówimy kluczowe aspekty bez porównywania ich z innymi producentami (takimi jak Palo Alto, Cisco, Fortinet itd.). Artykuł jest dość obszerny, ale eliminuję dużą część pytań na etapie zapoznawania się z Check Point. Jeśli jesteś tym zainteresowany, zapraszamy do dalszej lektury…
UTM/NGFW
Rozpoczynając rozmowę o Check Point, warto zacząć od wyjaśnienia, czym są UTM i NGFW oraz jakie są między nimi różnice. Zrobimy to dość zwięźle, aby post nie był zbyt długi (możliwe, że w przyszłości omówimy ten temat nieco bardziej szczegółowo)
UTM — Unified Threat Management
W skrócie, istota UTM polega na konsolidacji kilku środków ochrony w jednym rozwiązaniu. To znaczy, wszystko w jednej skrzynce lub coś w rodzaju 'all inclusive'. Co rozumiemy przez 'kilka środków ochrony'? Najpowszechniejszym wariantem jest: zapora sieciowa, IPS, proxy (filtrowanie URL), antywirus na poziomie strumienia, antyspam, VPN i tak dalej. Wszystko to łączy się w ramach jednego rozwiązania UTM, co jest prostsze z punktu widzenia integracji, konfiguracji, administracji i monitorowania, a to z kolei pozytywnie wpływa na ogólne bezpieczeństwo sieci. Kiedy rozwiązania UTM pojawiły się na rynku, były postrzegane głównie jako usługi dla małych firm, ponieważ UTM nie radziły sobie z dużymi wolumenami ruchu. Było to spowodowane dwoma przyczynami:
- Sposób przetwarzania pakietów. Pierwsze wersje rozwiązań UTM przetwarzały pakiety sekwencyjnie, każdym „modułem”. Przykład: najpierw pakiet jest przetwarzany przez zaporę sieciową, potem przez IPS, następnie sprawdzany przez program antywirusowy itd. Oczywiście taki mechanizm wprowadzał poważne opóźnienia w ruchu i mocno obciążał zasoby systemu (procesor, pamięć).
- Słabe „podzespoły”. Jak wspomniano wcześniej, sekwencyjne przetwarzanie pakietów mocno obciążało zasoby, a podzespoły z tamtych lat (1995-2005) po prostu nie radziły sobie z dużym ruchem.
Jednak postęp nie stoi w miejscu. Od tamtej pory znacznie zwiększyła się moc sprzętowa, a przetwarzanie pakietów uległo zmianie (trzeba przyznać, że nie u wszystkich dostawców) i zaczęło pozwalać na praktycznie jednoczesną analizę w kilku modułach (MÉ, IPS, AntiVirus itd.). Nowoczesne rozwiązania UTM mogą „przetwarzać” dziesiątki, a nawet setki gigabitów w trybie głębokiej analizy, co pozwala używać ich w segmencie dużych firm lub nawet centrów danych.
Poniżej przedstawiony jest słynny magiczny kwadrant Gartnera dla rozwiązań UTM na sierpień 2016 roku:
Nie będę mocno komentować tego obrazu, po prostu powiem, że w prawym górnym rogu znajdują się liderzy.
NGFW — Firewall następnej generacji
Nazwa mówi sama za siebie — zapora sieciowa następnej generacji. Koncepcja ta pojawiła się znacznie później niż UTM. Główna idea NGFW — głęboka analiza pakietów (DPI) za pomocą wbudowanego IPS oraz kontrola dostępu na poziomie aplikacji (Application Control). W tym przypadku IPS jest potrzebne, aby w strumieniu pakietów wykrywać konkretne aplikacje, co pozwala je zezwolić lub zablokować. Na przykład: Możemy zezwolić na działanie Skype, ale zablokować przesyłanie plików. Możemy zabronić korzystania z Torrent lub RDP. Obsługiwane są również aplikacje webowe: Można zezwolić na dostęp do VK.com, ale zablokować gry, wiadomości lub oglądanie wideo. W zasadzie jakość NGFW zależy od liczby aplikacji, które może wykryć. Wielu uważa, że pojawienie się pojęcia NGFW było zwykłym posunięciem marketingowym, w ramach którego szybko rozwinęła się firma Palo Alto.
Magic Quadrant Garta dla NGFW z maja 2016:
UTM vs NGFW
Bardzo często pojawia się pytanie, co jest lepsze? Nie ma jednoznacznej odpowiedzi, a zwłaszcza jeśli weźmiemy pod uwagę fakt, że prawie wszystkie nowoczesne rozwiązania UTM zawierają funkcje NGFW, a większość NGFW ma funkcje charakterystyczne dla UTM (antywirus, VPN, anty-bot itp.). Jak zawsze, „diabeł tkwi w szczegółach”, dlatego przede wszystkim trzeba określić, co dokładnie jest potrzebne, i ustalić budżet. Na podstawie tych decyzji można wybrać kilka opcji. Wszystko należy jednoznacznie przetestować, nie wierząc materiałom promocyjnym.
W ramach kilku artykułów postaramy się opowiedzieć o Check Point, jak można go wypróbować i co w zasadzie można spróbować (praktycznie cała funkcjonalność).
Trzy komponenty Check Point
Podczas pracy z Check Point koniecznie napotkasz trzy elementy tego produktu:
- Security Gateway (SG) — właściwe brama bezpieczeństwa, która zazwyczaj jest umieszczana na peryferiach sieci i pełni rolę zapory ogniowej, antywirusowego skanera w czasie rzeczywistym, antybota, IPS itp.
- Security Management Server (SMS) — serwer zarządzający bramkami. Praktycznie wszystkie ustawienia na bramie (SG) są konfigurowane za pośrednictwem tego serwera. SMS może również działać jako serwer logów i przetwarzać je za pomocą wbudowanego systemu analizy i korelacji zdarzeń — Smart Event (podobnie jak SIEM dla Check Point), ale o tym później. SMS jest używany do centralnego zarządzania wieloma bramami (liczba bram zależy od modelu SMS lub od licencji), jednak musisz go używać, nawet jeśli masz tylko jedną bramę. Warto zauważyć, że Check Point jako jeden z pierwszych wprowadził taką zcentralizowaną system zarządzania, który od wielu lat uznawany jest za „złoty standard” według raportów firmy Gartner. Jest nawet żart: „Gdyby Cisco miało normalny system zarządzania, Check Point nigdy by nie powstał”.
- Smart Console — konsola kliencka do łączenia z serwerem zarządzania (SMS). Zwykle jest instalowana na komputerze administratora. Za pośrednictwem tej konsoli wprowadza się wszystkie zmiany na serwerze zarządzania, a następnie można zastosować ustawienia do bram bezpieczeństwa (Install Policy).
System operacyjny Check Point
Mówiąc o systemie operacyjnym Check Point, można od razu wspomnieć o trzech: IPSO, SPLAT i GAIA.
- IPSO — system operacyjny firmy Ipsilon Networks, która należała do firmy Nokia. W 2009 roku Check Point kupił ten biznes. Nie rozwija się już.
- SPLAT — autorski rozwój Check Point, oparty na jądrze RedHat. Nie rozwija się już.
- Gaia — aktualny system operacyjny od Check Point, który powstał w wyniku fuzji IPSO i SPLAT, łącząc w sobie wszystko, co najlepsze. Pojawił się w 2012 roku i nadal intensywnie się rozwija.
Mówiąc o Gaia, należy zaznaczyć, że obecnie najpopularniejszą wersją jest R77.30. Stosunkowo niedawno ukazała się wersja R80, która znacznie różni się od poprzedniej (zarówno pod względem funkcjonalności, jak i zarządzania). Wspólnie poświęcimy oddzielny post tematyce ich różnic. Inną istotną kwestią jest to, że na chwilę obecną certyfikat FSTEK posiada jedynie wersja R77.10 i trwa certyfikacja wersji R77.30.
Opcje wykonania (Check Point Appliance, Virtual machine, OpenServer)
Nie ma w tym nic dziwnego, jak wielu dostawców, Check Point oferuje kilka wariantów produktu:
- Appliance — urządzenie sprzętowo-programowe, czyli własna „maszynka”. Jest wiele modeli, które różnią się wydajnością, funkcjonalnością i wykonaniem (są opcje dla sieci przemysłowych).
- Virtual Machine — maszyna wirtualna Check Point z systemem Gaia. Obsługiwane są hipernadzorcy ESXi, Hyper-V, KVM. Licencjonowane w zależności od liczby rdzeni procesora.
- OpenServer — instalacja Gaia bezpośrednio na serwerze jako główny system operacyjny (tzw. „Bare metal”). Obsługiwane jest tylko określone „sprzęt”. Istnieją zalecenia dotyczące tego sprzętu, które należy przestrzegać, w przeciwnym razie mogą wystąpić problemy z sterownikami, a wsparcie techniczne może odmówić serwisu.
Opcje wdrożenia (Distributed lub Standalone)
Nieco wyżej już omówiliśmy, czym jest brama (SG) oraz serwer zarządzania (SMS). Teraz omówimy warianty ich wdrożenia. Istnieją dwa główne sposoby:
- Standalone (SG+SMS) — wariant, w którym zarówno brama, jak i serwer zarządzania są instalowane w ramach jednego urządzenia (lub maszyny wirtualnej).
Ten wariant pasuje, gdy masz tylko jedną bramkę, która jest słabo obciążona ruchem użytkowników. Jest to najbardziej ekonomiczna opcja, ponieważ nie ma potrzeby zakupu serwera zarządzania (SMS). Jednak przy poważnym obciążeniu bramki możesz napotkać system zarządzania, który będzie 'spowolniony'. Dlatego przed wyborem rozwiązania Standalone najlepiej skonsultować się lub nawet przetestować tę opcję. - Rozproszony — serwer zarządzania instalowany jest oddzielnie od bramki.
Optymalna opcja pod względem wygody i wydajności. Stosowana, gdy konieczne jest zarządzanie kilkoma bramkami, na przykład centralną i filią. W tym przypadku wymagana jest zakup serwera zarządzania (SMS), który może być również w formie appliance (sprzętowej) lub maszyny wirtualnej.
Jak już wspomniałem wcześniej, Check Point ma własny system SIEM — Smart Event. Możesz go używać tylko w przypadku instalacji rozproszonej.
Tryby pracy (Bridge, Routed)
Bramka bezpieczeństwa (SG) może pracować w dwóch podstawowych trybach:
- Routed — najczęściej stosowana opcja. W tym przypadku bramka używana jest jako urządzenie L3 i kieruje ruchem przez siebie, tzn. Check Point jest domyślną bramką dla chronionej sieci.
- Bridge — tryb przezroczysty. W tym przypadku bramka instalowana jest jak zwykły 'most' i przepuszcza ruch na drugim poziomie (OSI). Ta opcja jest zazwyczaj stosowana, gdy nie ma możliwości (lub chęci) zmieniania już istniejącej infrastruktury. Prawie nie będziesz musiał zmieniać topologii sieci i nie będziesz musiał martwić się o zmianę adresacji IP.
Chciałbym zauważyć, że w trybie Bridge istnieją pewne ograniczenia funkcjonalne, dlatego jako integrator doradzamy wszystkim naszym klientom, aby używali właśnie trybu Routed, oczywiście jeśli to możliwe.
Programowe blade'y (Check Point Software Blades)
Dotarliśmy prawie do najważniejszego tematu Check Point, który budzi najwięcej pytań u klientów. Czym są te 'programowe blade'y'? Przez blade'y rozumie się określone funkcje Check Point.
Te funkcje mogą być włączane lub wyłączane w zależności od potrzeb. Istnieją jednak blade'y, które są aktywowane wyłącznie na bramce (Network Security) oraz tylko na serwerze zarządzania (Management). Na poniższych obrazkach przedstawione są przykłady dla obu przypadków:
1) Dla bezpieczeństwa sieci (funkcjonalność bramy)
Opisujemy krótko, ponieważ każdy blade zasługuje na osobny artykuł.
- Firewall — funkcjonalność zapory sieciowej;
- IPSec VPN — budowanie prywatnych sieci wirtualnych;
- Dostęp mobilny — zdalny dostęp z urządzeń mobilnych;
- IPS — system zapobiegania włamaniom;
- Anti-Bot — ochrona przed botnetami;
- AntiVirus — antywirus działający w trybie ciągłym;
- AntiSpam & Email Security — ochrona poczty korporacyjnej;
- Identity Awareness — integracja z usługą Active Directory;
- Monitoring — monitorowanie prawie wszystkich parametrów bramy (obciążenie, przepustowość, status VPN itd.)
- Application Control — zapora na poziomie aplikacji (funkcjonalność NGFW);
- URL Filtering — bezpieczeństwo sieci Web (+funkcjonalność proxy);
- Data Loss Prevention — ochrona przed wyciekiem danych (DLP);
- Threat Emulation — technologia piaskownicy (SandBox);
- Threat Extraction — technologia ekstrakcji plików;
- QoS — priorytetyzacja ruchu.
Już wkrótce, w kilku artykułach, dokładnie przyjrzymy się blade'om Threat Emulation i Threat Extraction, jestem pewien, że będzie to interesujące.
2) Dla zarządzania (funkcjonalność serwera zarządzania)
- Zarządzanie politykami sieciowymi — centralne zarządzanie politykami;
- Zarządzanie politykami punktów końcowych — centralne zarządzanie agentami Check Point (tak, Check Point produkuje rozwiązania nie tylko do zabezpieczenia sieci, ale także do ochrony stanowisk roboczych (PC) i smartfonów);
- Rejestrowanie i status — centralne zbieranie i przetwarzanie logów;
- Portal zarządzania — zarządzanie bezpieczeństwem z przeglądarki;
- Workflow — kontrola nad zmianą polityk, audyty zmian itd.;
- Katalog użytkowników — integracja z LDAP;
- Provisioning — automatyzacja zarządzania bramami;
- Smart Reporter — system raportowania;
- Smart Event — analiza i korelacja zdarzeń (SIEM);
- Compliance — automatyczna kontrola ustawień i wydawanie rekomendacji.
Nie będziemy teraz szczegółowo omawiać kwestii licencjonowania, aby nie wydłużać artykułu i nie mylić czytelnika. Najprawdopodobniej poruszymy to w osobnym wpisie.
Architektura blade'ów pozwala na korzystanie tylko z rzeczywiście potrzebnych funkcji, co wpływa na budżet rozwiązania i ogólną wydajność urządzenia. Logicznym jest, że im więcej blade'ów aktywujesz, tym mniej ruchu można 'przepuścić'. Dlatego do każdego modelu Check Point dołączona jest następująca tabela wydajności (na przykład wzięliśmy charakterystyki modelu 5400):
Jak widać, mamy tutaj dwie kategorie testów: z ruchu syntetycznego i rzeczywistego – mieszanych. Ogólnie rzecz biorąc, Check Point jest zmuszony publikować testy syntetyczne, ponieważ niektórzy dostawcy wykorzystują takie testy jako referencyjne, nie badając wydajności swoich rozwiązań w rzeczywistym ruchu (lub celowo ukrywają takie dane z powodu ich niezadowalających wyników).
W każdym typie testu można zauważyć kilka wariantów:
- test tylko dla zapory (Firewall);
- test zapory (Firewall) + IPS;
- test zapory (Firewall) + IPS + NGFW (kontrola aplikacji);
- test zapory (Firewall) + kontrola aplikacji + filtracja URL + IPS + Antywirus + Anti-Bot + SandBlast (laboratorium);
Zwróć uwagę na te parametry przy wyborze swojego rozwiązania lub skontaktuj się z .
Myślę, że na tym możemy zakończyć wprowadzenie do technologii Check Point. Następnie omówimy, jak można przetestować Check Point i jak radzić sobie z nowoczesnymi zagrożeniami bezpieczeństwa informacyjnego (wirusy, phishing, ransomware, zero-day).
P.S. Ważny punkt. Mimo zagranicznego (izraelskiego) pochodzenia, rozwiązanie ma certyfikację w RF w organach nadzoru, co automatycznie legalizuje jego obecność w instytucjach publicznych (komentarz autorstwa ).
Tylko zarejestrowani użytkownicy mogą brać udział w ankiecie. , proszę.
Jakie narzędzia UTM/NGFW stosujecie?
Check Point
Cisco Firepower
Fortinet
Palo Alto
Sophos
Dell SonicWALL
Huawei
WatchGuard
Juniper
UserGate
Inspektor ruchu
Rubikon
Ideco
Rozwiązanie OpenSource
Inne
Głosowało 134 użytkowników. Wstrzymało się 78 użytkowników.
Źródło: habr.com
