{"id":29991,"date":"2019-10-31T21:33:06","date_gmt":"2019-10-31T18:33:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/check-point-chto-eto-s-chem-ego-edyat-ili-korotko-o-glavnom\/"},"modified":"2019-10-31T21:33:06","modified_gmt":"2019-10-31T18:33:06","slug":"check-point-chto-eto-s-chem-ego-edyat-ili-korotko-o-glavnom","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/check-point-chto-eto-s-chem-ego-edyat-ili-korotko-o-glavnom","title":{"rendered":"Check Point. Co to jest, z czym si\u0119 to je lub kr\u00f3tko o g\u0142\u00f3wnych kwestiach","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Check
\nWitajcie, szanowni czytelnicy Habr! To jest korporacyjny blog firmy TS Solution<\/a><\/noindex>. Jeste\u015bmy integratorem system\u00f3w i w du\u017cej mierze specjalizujemy si\u0119 w rozwi\u0105zaniach zabezpiecze\u0144 IT (Check Point<\/a><\/noindex>, Fortinet<\/a><\/noindex>) oraz systemach analizy danych z maszyn (Splunk<\/a><\/noindex>). Nasz blog zaczynamy od kr\u00f3tkiego wprowadzenia w technologie Check Point.<\/p>\n

D\u0142ugo zastanawiali\u015bmy si\u0119, czy warto pisa\u0107 ten artyku\u0142, poniewa\u017c nie ma w nim nic nowego, czego nie mo\u017cna by znale\u017a\u0107 w Internecie. Jednak mimo takiego bogactwa informacji, podczas pracy z klientami i partnerami wci\u0105\u017c cz\u0119sto s\u0142yszymy te same pytania. Dlatego postanowili\u015bmy napisa\u0107 pewne wprowadzenie do \u015bwiata technologii Check Point i wyja\u015bni\u0107 istot\u0119 architektury ich rozwi\u0105za\u0144. A wszystko to w ramach jednego \"ma\u0142ego\" posta, czyli swoistego szybkiego przegl\u0105du. Postaramy si\u0119 unika\u0107 wojen marketingowych, poniewa\u017c nie jeste\u015bmy dostawc\u0105, a jedynie integratorem systemowym (cho\u0107 bardzo lubimy Check Point) i po prostu om\u00f3wimy kluczowe aspekty bez por\u00f3wnywania ich z innymi producentami (takimi jak Palo Alto, Cisco, Fortinet itd.). Artyku\u0142 jest do\u015b\u0107 obszerny, ale eliminuj\u0119 du\u017c\u0105 cz\u0119\u015b\u0107 pyta\u0144 na etapie zapoznawania si\u0119 z Check Point. Je\u015bli jeste\u015b tym zainteresowany, zapraszamy do dalszej lektury\u2026
\n<\/a><\/noindex>
\nUTM\/NGFW<\/b><\/p>\n

Rozpoczynaj\u0105c rozmow\u0119 o Check Point, warto zacz\u0105\u0107 od wyja\u015bnienia, czym s\u0105 UTM i NGFW oraz jakie s\u0105 mi\u0119dzy nimi r\u00f3\u017cnice. Zrobimy to do\u015b\u0107 zwi\u0119\u017ale, aby post nie by\u0142 zbyt d\u0142ugi (mo\u017cliwe, \u017ce w przysz\u0142o\u015bci om\u00f3wimy ten temat nieco bardziej szczeg\u00f3\u0142owo)<\/p>\n

UTM \u2014 Unified Threat Management<\/b><\/p>\n

W skr\u00f3cie, istota UTM polega na konsolidacji kilku \u015brodk\u00f3w ochrony w jednym rozwi\u0105zaniu. To znaczy, wszystko w jednej skrzynce lub co\u015b w rodzaju 'all inclusive'. Co rozumiemy przez 'kilka \u015brodk\u00f3w ochrony'? Najpowszechniejszym wariantem jest: zapora sieciowa, IPS, proxy (filtrowanie URL), antywirus na poziomie strumienia, antyspam, VPN i tak dalej. Wszystko to \u0142\u0105czy si\u0119 w ramach jednego rozwi\u0105zania UTM, co jest prostsze z punktu widzenia integracji, konfiguracji, administracji i monitorowania, a to z kolei pozytywnie wp\u0142ywa na og\u00f3lne bezpiecze\u0144stwo sieci. Kiedy rozwi\u0105zania UTM pojawi\u0142y si\u0119 na rynku, by\u0142y postrzegane g\u0142\u00f3wnie jako us\u0142ugi dla ma\u0142ych firm, poniewa\u017c UTM nie radzi\u0142y sobie z du\u017cymi wolumenami ruchu. By\u0142o to spowodowane dwoma przyczynami:<\/p>\n

    \n
  1. Spos\u00f3b przetwarzania pakiet\u00f3w. Pierwsze wersje rozwi\u0105za\u0144 UTM przetwarza\u0142y pakiety sekwencyjnie, ka\u017cdym \u201emodu\u0142em\u201d. Przyk\u0142ad: najpierw pakiet jest przetwarzany przez zapor\u0119 sieciow\u0105, potem przez IPS, nast\u0119pnie sprawdzany przez program antywirusowy itd. Oczywi\u015bcie taki mechanizm wprowadza\u0142 powa\u017cne op\u00f3\u017anienia w ruchu i mocno obci\u0105\u017ca\u0142 zasoby systemu (procesor, pami\u0119\u0107).<\/li>\n
  2. S\u0142abe \u201epodzespo\u0142y\u201d. Jak wspomniano wcze\u015bniej, sekwencyjne przetwarzanie pakiet\u00f3w mocno obci\u0105\u017ca\u0142o zasoby, a podzespo\u0142y z tamtych lat (1995-2005) po prostu nie radzi\u0142y sobie z du\u017cym ruchem.<\/li>\n<\/ol>\n

    \nJednak post\u0119p nie stoi w miejscu. Od tamtej pory znacznie zwi\u0119kszy\u0142a si\u0119 moc sprz\u0119towa, a przetwarzanie pakiet\u00f3w uleg\u0142o zmianie (trzeba przyzna\u0107, \u017ce nie u wszystkich dostawc\u00f3w) i zacz\u0119\u0142o pozwala\u0107 na praktycznie jednoczesn\u0105 analiz\u0119 w kilku modu\u0142ach (M\u00c9, IPS, AntiVirus itd.). Nowoczesne rozwi\u0105zania UTM mog\u0105 \u201eprzetwarza\u0107\u201d dziesi\u0105tki, a nawet setki gigabit\u00f3w w trybie g\u0142\u0119bokiej analizy, co pozwala u\u017cywa\u0107 ich w segmencie du\u017cych firm lub nawet centr\u00f3w danych.<\/p>\n

    Poni\u017cej przedstawiony jest s\u0142ynny magiczny kwadrant Gartnera dla rozwi\u0105za\u0144 UTM na sierpie\u0144 2016 roku:<\/p>\n

    \"Check
    \n
    \nNie b\u0119d\u0119 mocno komentowa\u0107 tego obrazu, po prostu powiem, \u017ce w prawym g\u00f3rnym rogu znajduj\u0105 si\u0119 liderzy.<\/p>\n

    NGFW \u2014 Firewall nast\u0119pnej generacji<\/b><\/p>\n

    Nazwa m\u00f3wi sama za siebie \u2014 zapora sieciowa nast\u0119pnej generacji. Koncepcja ta pojawi\u0142a si\u0119 znacznie p\u00f3\u017aniej ni\u017c UTM. G\u0142\u00f3wna idea NGFW \u2014 g\u0142\u0119boka analiza pakiet\u00f3w (DPI) za pomoc\u0105 wbudowanego IPS oraz kontrola dost\u0119pu na poziomie aplikacji (Application Control). W tym przypadku IPS jest potrzebne, aby w strumieniu pakiet\u00f3w wykrywa\u0107 konkretne aplikacje, co pozwala je zezwoli\u0107 lub zablokowa\u0107. Na przyk\u0142ad: Mo\u017cemy zezwoli\u0107 na dzia\u0142anie Skype, ale zablokowa\u0107 przesy\u0142anie plik\u00f3w. Mo\u017cemy zabroni\u0107 korzystania z Torrent lub RDP. Obs\u0142ugiwane s\u0105 r\u00f3wnie\u017c aplikacje webowe: Mo\u017cna zezwoli\u0107 na dost\u0119p do VK.com, ale zablokowa\u0107 gry, wiadomo\u015bci lub ogl\u0105danie wideo. W zasadzie jako\u015b\u0107 NGFW zale\u017cy od liczby aplikacji, kt\u00f3re mo\u017ce wykry\u0107. Wielu uwa\u017ca, \u017ce pojawienie si\u0119 poj\u0119cia NGFW by\u0142o zwyk\u0142ym posuni\u0119ciem marketingowym, w ramach kt\u00f3rego szybko rozwin\u0119\u0142a si\u0119 firma Palo Alto.<\/p>\n

    Magic Quadrant Garta dla NGFW z maja 2016:<\/p>\n

    \"Check
    \n
    \nUTM vs NGFW<\/b><\/p>\n

    Bardzo cz\u0119sto pojawia si\u0119 pytanie, co jest lepsze? Nie ma jednoznacznej odpowiedzi, a zw\u0142aszcza je\u015bli we\u017amiemy pod uwag\u0119 fakt, \u017ce prawie wszystkie nowoczesne rozwi\u0105zania UTM zawieraj\u0105 funkcje NGFW, a wi\u0119kszo\u015b\u0107 NGFW ma funkcje charakterystyczne dla UTM (antywirus, VPN, anty-bot itp.). Jak zawsze, \u201ediabe\u0142 tkwi w szczeg\u00f3\u0142ach\u201d, dlatego przede wszystkim trzeba okre\u015bli\u0107, co dok\u0142adnie jest potrzebne, i ustali\u0107 bud\u017cet. Na podstawie tych decyzji mo\u017cna wybra\u0107 kilka opcji. Wszystko nale\u017cy jednoznacznie przetestowa\u0107, nie wierz\u0105c materia\u0142om promocyjnym.<\/p>\n

    W ramach kilku artyku\u0142\u00f3w postaramy si\u0119 opowiedzie\u0107 o Check Point, jak mo\u017cna go wypr\u00f3bowa\u0107 i co w zasadzie mo\u017cna spr\u00f3bowa\u0107 (praktycznie ca\u0142a funkcjonalno\u015b\u0107).<\/p>\n

    Trzy komponenty Check Point<\/b><\/p>\n

    Podczas pracy z Check Point koniecznie napotkasz trzy elementy tego produktu:<\/p>\n

    \"Check
    \n<\/p>\n

      \n
    1. Security Gateway (SG)<\/b> \u2014 w\u0142a\u015bciwe brama bezpiecze\u0144stwa, kt\u00f3ra zazwyczaj jest umieszczana na peryferiach sieci i pe\u0142ni rol\u0119 zapory ogniowej, antywirusowego skanera w czasie rzeczywistym, antybota, IPS itp.<\/li>\n
    2. Security Management Server (SMS)<\/b> \u2014 serwer zarz\u0105dzaj\u0105cy bramkami. Praktycznie wszystkie ustawienia na bramie (SG) s\u0105 konfigurowane za po\u015brednictwem tego serwera. SMS mo\u017ce r\u00f3wnie\u017c dzia\u0142a\u0107 jako serwer log\u00f3w i przetwarza\u0107 je za pomoc\u0105 wbudowanego systemu analizy i korelacji zdarze\u0144 \u2014 Smart Event (podobnie jak SIEM dla Check Point), ale o tym p\u00f3\u017aniej. SMS jest u\u017cywany do centralnego zarz\u0105dzania wieloma bramami (liczba bram zale\u017cy od modelu SMS lub od licencji), jednak musisz go u\u017cywa\u0107, nawet je\u015bli masz tylko jedn\u0105 bram\u0119. Warto zauwa\u017cy\u0107, \u017ce Check Point jako jeden z pierwszych wprowadzi\u0142 tak\u0105 zcentralizowan\u0105 system zarz\u0105dzania, kt\u00f3ry od wielu lat uznawany jest za \u201ez\u0142oty standard\u201d wed\u0142ug raport\u00f3w firmy Gartner. Jest nawet \u017cart: \u201eGdyby Cisco mia\u0142o normalny system zarz\u0105dzania, Check Point nigdy by nie powsta\u0142\u201d.<\/li>\n
    3. Smart Console<\/b> \u2014 konsola kliencka do \u0142\u0105czenia z serwerem zarz\u0105dzania (SMS). Zwykle jest instalowana na komputerze administratora. Za po\u015brednictwem tej konsoli wprowadza si\u0119 wszystkie zmiany na serwerze zarz\u0105dzania, a nast\u0119pnie mo\u017cna zastosowa\u0107 ustawienia do bram bezpiecze\u0144stwa (Install Policy).\n

      \"Check\n<\/li>\n<\/ol>\n

      \nSystem operacyjny Check Point<\/b><\/p>\n

      M\u00f3wi\u0105c o systemie operacyjnym Check Point, mo\u017cna od razu wspomnie\u0107 o trzech: IPSO, SPLAT i GAIA.<\/p>\n

        \n
      1. IPSO<\/b> \u2014 system operacyjny firmy Ipsilon Networks, kt\u00f3ra nale\u017ca\u0142a do firmy Nokia. W 2009 roku Check Point kupi\u0142 ten biznes. Nie rozwija si\u0119 ju\u017c.<\/li>\n
      2. SPLAT<\/b> \u2014 autorski rozw\u00f3j Check Point, oparty na j\u0105drze RedHat. Nie rozwija si\u0119 ju\u017c.<\/li>\n
      3. Gaia<\/b> \u2014 aktualny system operacyjny od Check Point, kt\u00f3ry powsta\u0142 w wyniku fuzji IPSO i SPLAT, \u0142\u0105cz\u0105c w sobie wszystko, co najlepsze. Pojawi\u0142 si\u0119 w 2012 roku i nadal intensywnie si\u0119 rozwija.<\/li>\n<\/ol>\n

        \nM\u00f3wi\u0105c o Gaia, nale\u017cy zaznaczy\u0107, \u017ce obecnie najpopularniejsz\u0105 wersj\u0105 jest R77.30. Stosunkowo niedawno ukaza\u0142a si\u0119 wersja R80, kt\u00f3ra znacznie r\u00f3\u017cni si\u0119 od poprzedniej (zar\u00f3wno pod wzgl\u0119dem funkcjonalno\u015bci, jak i zarz\u0105dzania). Wsp\u00f3lnie po\u015bwi\u0119cimy oddzielny post tematyce ich r\u00f3\u017cnic. Inn\u0105 istotn\u0105 kwesti\u0105 jest to, \u017ce na chwil\u0119 obecn\u0105 certyfikat FSTEK posiada jedynie wersja R77.10 i trwa certyfikacja wersji R77.30.<\/p>\n

        Opcje wykonania (Check Point Appliance, Virtual machine, OpenServer)<\/b><\/p>\n

        Nie ma w tym nic dziwnego, jak wielu dostawc\u00f3w, Check Point oferuje kilka wariant\u00f3w produktu:<\/p>\n

          \n
        1. Appliance<\/b> \u2014 urz\u0105dzenie sprz\u0119towo-programowe, czyli w\u0142asna \u201emaszynka\u201d. Jest wiele modeli, kt\u00f3re r\u00f3\u017cni\u0105 si\u0119 wydajno\u015bci\u0105, funkcjonalno\u015bci\u0105 i wykonaniem (s\u0105 opcje dla sieci przemys\u0142owych).\n

          \"Check<\/li>\n

        2. Virtual Machine<\/b> \u2014 maszyna wirtualna Check Point z systemem Gaia. Obs\u0142ugiwane s\u0105 hipernadzorcy ESXi, Hyper-V, KVM. Licencjonowane w zale\u017cno\u015bci od liczby rdzeni procesora.<\/li>\n
        3. OpenServer<\/b> \u2014 instalacja Gaia bezpo\u015brednio na serwerze jako g\u0142\u00f3wny system operacyjny (tzw. \u201eBare metal\u201d). Obs\u0142ugiwane jest tylko okre\u015blone \u201esprz\u0119t\u201d. Istniej\u0105 zalecenia dotycz\u0105ce tego sprz\u0119tu, kt\u00f3re nale\u017cy przestrzega\u0107, w przeciwnym razie mog\u0105 wyst\u0105pi\u0107 problemy z sterownikami, a wsparcie techniczne mo\u017ce odm\u00f3wi\u0107 serwisu.<\/li>\n<\/ol>\n

          \nOpcje wdro\u017cenia (Distributed lub Standalone)<\/b><\/p>\n

          Nieco wy\u017cej ju\u017c om\u00f3wili\u015bmy, czym jest brama (SG) oraz serwer zarz\u0105dzania (SMS). Teraz om\u00f3wimy warianty ich wdro\u017cenia. Istniej\u0105 dwa g\u0142\u00f3wne sposoby:<\/p>\n

            \n
          1. Standalone (SG+SMS)<\/b> \u2014 wariant, w kt\u00f3rym zar\u00f3wno brama, jak i serwer zarz\u0105dzania s\u0105 instalowane w ramach jednego urz\u0105dzenia (lub maszyny wirtualnej).\n

            \"Check
            \n
            \nTen wariant pasuje, gdy masz tylko jedn\u0105 bramk\u0119, kt\u00f3ra jest s\u0142abo obci\u0105\u017cona ruchem u\u017cytkownik\u00f3w. Jest to najbardziej ekonomiczna opcja, poniewa\u017c nie ma potrzeby zakupu serwera zarz\u0105dzania (SMS). Jednak przy powa\u017cnym obci\u0105\u017ceniu bramki mo\u017cesz napotka\u0107 system zarz\u0105dzania, kt\u00f3ry b\u0119dzie 'spowolniony'. Dlatego przed wyborem rozwi\u0105zania Standalone najlepiej skonsultowa\u0107 si\u0119 lub nawet przetestowa\u0107 t\u0119 opcj\u0119.<\/p>\n<\/li>\n

          2. Rozproszony<\/b> \u2014 serwer zarz\u0105dzania instalowany jest oddzielnie od bramki.\n

            \"Check
            \n
            \nOptymalna opcja pod wzgl\u0119dem wygody i wydajno\u015bci. Stosowana, gdy konieczne jest zarz\u0105dzanie kilkoma bramkami, na przyk\u0142ad centraln\u0105 i fili\u0105. W tym przypadku wymagana jest zakup serwera zarz\u0105dzania (SMS), kt\u00f3ry mo\u017ce by\u0107 r\u00f3wnie\u017c w formie appliance (sprz\u0119towej) lub maszyny wirtualnej.<\/li>\n<\/ol>\n

            \nJak ju\u017c wspomnia\u0142em wcze\u015bniej, Check Point ma w\u0142asny system SIEM \u2014 Smart Event. Mo\u017cesz go u\u017cywa\u0107 tylko w przypadku instalacji rozproszonej.<\/p>\n

            Tryby pracy (Bridge, Routed)<\/b>
            \nBramka bezpiecze\u0144stwa (SG) mo\u017ce pracowa\u0107 w dw\u00f3ch podstawowych trybach:<\/p>\n