🥇Check Point Gaia R80.40. O que haverá de novo?

Está se aproximando mais um lançamento do sistema operacional Gaia R80.40. Algumas semanas atrás começou o programa Early Access, que permite o acesso para testar a distribuição. Como de costume, publicamos informações sobre as novidades, destacando os pontos que consideramos mais interessantes. Para não perder tempo, posso dizer que as inovações são realmente significativas. Portanto, é hora de se preparar para a iminente atualização. Anteriormente, já publicamos um artigo sobre como fazer isso (para mais informações, você pode entrar em contato aqui). Vamos ao assunto...

Novidades

Vamos considerar aqui as inovações oficialmente anunciadas. As informações foram retiradas do site Check Mates (comunidade oficial da Check Point). Com sua permissão, não vou traduzir este texto, já que a audiência do Habr permite isso. Em vez disso, deixarei meus comentários no próximo capítulo.

1. Segurança de IoT. Novas funcionalidades relacionadas à internet das coisas

Coletar dispositivos IoT e atributos de tráfego de motores de descoberta IoT certificados (atualmente suporta Medigate, CyberMDX, Cynerio, Claroty, Indegy, SAM e Armis).
Configurar um novo Camada de Políticas dedicada de IoT na gestão de políticas.
Configurar e gerenciar regras de segurança baseadas nos atributos dos dispositivos IoT.

2. Inspeção de TLSHTTP/2:

HTTP/2 é uma atualização do protocolo HTTP. A atualização proporciona melhorias em velocidade, eficiência e segurança, resultando em uma melhor experiência do usuário.
O Gateway de Segurança da Check Point agora suporta HTTP/2 e se beneficia de maior velocidade e eficiência, mantendo toda a segurança, com todas as lâminas de Prevenção de Ameaças e Controle de Acesso, assim como novas proteções para o protocolo HTTP/2.
O suporte é para tráfego limpo e criptografado em SSL e está totalmente integrado com as capacidades de inspeção HTTPS/TLS.
Camada de Inspeção de TLS

. Novidades em relação à inspeção HTTPS:Uma nova Camada de Políticas no SmartConsole dedicada à Inspeção de TLS.

Diferentes camadas de Inspeção de TLS podem ser usadas em diferentes pacotes de políticas.
Compartilhamento de uma camada de Inspeção de TLS entre múltiplos pacotes de políticas.
API para operações de TLS.
3. Prevenção de Ameaças

Aprimoramento geral da eficiência dos processos e atualizações de Prevenção de Ameaças.

Atualizações automáticas para o Motor de Extração de Ameaças.
Objetos Dinâmicos, de Domínio e Atualizáveis agora podem ser usados nas políticas de Prevenção de Ameaças e Inspeção de TLS. Objetos atualizáveis são objetos de rede que representam um serviço externo ou uma lista dinâmica conhecida de endereços IP, por exemplo — endereços IP da Office365 / Google / Azure / AWS e objetos Geo.
O Anti-Vírus agora utiliza indicações de ameaça SHA-1 e SHA-256 para bloquear arquivos com base em seus hashes. Importe os novos indicadores da visualização de Indicadores de Ameaças do SmartConsole ou pela CLI do Feed de Inteligência Personalizada.
O Anti-Vírus e a Emulação de Ameaças SandBlast agora suportam a inspeção de tráfego de e-mail sobre o protocolo POP3, assim como uma inspeção aprimorada do tráfego de e-mail sobre o protocolo IMAP.
O Anti-Vírus e a Emulação de Ameaças SandBlast agora utilizam o novo recurso de inspeção SSH para inspecionar arquivos transferidos pelos protocolos SCP e SFTP.
Anti-Virus and SandBlast Threat Emulation now use the newly introduced SSH inspection feature to inspect files transferred over the SCP and SFTP protocols.
As ferramentas Anti-Vírus e SandBlast Threat Emulation agora oferecem um suporte aprimorado para a inspeção SMBv3 (3.0, 3.0.2, 3.1.1), que inclui a inspeção de conexões de múltiplos canais. A Check Point é agora a única fornecedora a suportar a inspeção de transferências de arquivos através de múltiplos canais (um recurso que é ativado por padrão em todos os ambientes Windows). Isso permite que os clientes permaneçam seguros enquanto utilizam esse recurso que melhora o desempenho.

4. Consciência de Identidade

Suporte para integração de Portal Cativo com SAML 2.0 e provedores de identidade de terceiros.
Suporte para Broker de Identidade para compartilhamento escalável e granular de informações de identidade entre PDPs, bem como compartilhamento entre domínios.
Melhorias no Agente de Servidores de Terminal para melhor escalabilidade e compatibilidade.

5. VPN IPsec

Configure diferentes domínios de criptografia VPN em um Gateway de Segurança que é membro de várias comunidades VPN. Isso proporciona:
Privacidade aprimorada — Redes internas não são divulgadas nas negociações do protocolo IKE.
Segurança e granularidade aprimoradas — Especifique quais redes são acessíveis em uma comunidade VPN especificada.
Interoperabilidade aprimorada — Definições de VPN baseadas em rotas simplificadas (recomendadas quando você trabalha com um domínio de criptografia VPN vazio).
Crie e trabalhe perfeitamente com um ambiente de VPN de Grande Escala (LSV) com a ajuda de perfis LSV.

6. Filtragem de URL

Escalabilidade e resiliência aprimoradas.
Capacidades de solução de problemas estendidas.

7. NAT

Mecanismo aprimorado de alocação de porta NAT — nos Gateways de Segurança com 6 ou mais instâncias de Firewall CoreXL, todas as instâncias usam o mesmo pool de portas NAT, o que otimiza a utilização e o reaproveitamento das portas.
Monitoramento da utilização de portas NAT no CPView e com SNMP.

8. Voz sobre IP (VoIP)Múltiplas instâncias de Firewall CoreXL lidam com o protocolo SIP para melhorar o desempenho.

9. VPN de Acesso RemotoUse o certificado de máquina para distinguir entre ativos corporativos e não corporativos e para definir uma política que imponha o uso apenas de ativos corporativos. A imposição pode ser pré-logon (somente autenticação do dispositivo) ou pós-logon (autenticação do dispositivo e do usuário).

10. Agente do Portal de Acesso MóvelSegurança de Endpoint aprimorada sob demanda dentro do Agente do Portal de Acesso Móvel para suportar todos os navegadores web principais. Para mais informações, veja sk113410.

11. CoreXL e Multi-Queue

Suporte para alocação automática de SNDs CoreXL e instâncias de Firewall que não requerem reinicialização do Gateway de Segurança.
Experiência aprimorada fora da caixa — O Gateway de Segurança muda automaticamente o número de SNDs CoreXL e instâncias de Firewall e a configuração de Multi-Queue com base na carga de tráfego atual.

12. Clustering

Suporte para Protocolo de Controle de Cluster em modo Unicast que elimina a necessidade de CCP.

Modos de Broadcast ou Multicast:

A criptografia do Protocolo de Controle de Cluster agora está habilitada por padrão.
Novo modo ClusterXL - Ativo/Ativo, que suporta Membros do Cluster em diferentes localizações geográficas que estão localizados em diferentes sub-redes e têm endereços IP diferentes.
Suporte para Membros do ClusterXL que operam com versões de software diferentes.
Eliminada a necessidade de configuração de MAC Magic quando vários clusters estão conectados à mesma sub-rede.

13. VSX

Suporte para atualização do VSX com CPUSE no Portal Gaia.
Suporte para modo Ativo na VSLS.
Suporte para relatórios estatísticos do CPView para cada Sistema Virtual.

14. Zero TouchUm simples processo de configuração Plug & Play para instalar um dispositivo — eliminando a necessidade de expertise técnica e de se conectar ao dispositivo para configuração inicial.

15. API REST GaiaA API REST Gaia fornece uma nova maneira de ler e enviar informações para servidores que executam o sistema operacional Gaia. Veja sk143612.

16. Roteamento Avançado

Melhorias no OSPF e BGP permitem redefinir e reiniciar o vizinho OSPF para cada instância de Firewall CoreXL sem a necessidade de reiniciar o daemon de roteamento.
Aprimoramento da atualização de rotas para melhor tratamento de inconsistências no roteamento BGP.

17. Novas capacidades do núcleo

Núcleo Linux atualizado.
Novo sistema de particionamento (gpt):
Suporta mais de 2TB de unidades físicas/lógicas
Sistema de arquivos mais rápido (xfs)
Suporte para um armazenamento de sistema maior (testado até 48TB)
Melhorias de desempenho relacionadas a I/O
Multi-Queue:
Suporte total ao Gaia Clish para comandos Multi-Queue
Configuração automática «ativada por padrão»
Suporte para montagem SMB v2/v3 na blade de Acesso Móvel
Adicionado suporte para NFSv4 (cliente) (NFS v4.2 é a versão padrão do NFS utilizada)
Suporte a novas ferramentas do sistema para depuração, monitoramento e configuração do sistema

18. Controlador CloudGuard

Aprimoramentos de desempenho para conexões com Data Centers externos.
Integração com VMware NSX-T.
Suporte para comandos API adicionais para criar e editar objetos do Servidor do Data Center.

19. Servidor Multi-Domínio

Fazer backup e restaurar um Servidor de Gerenciamento de Domínio individual em um Servidor Multi-Domínio.
Migrar um Servidor de Gerenciamento de Domínio de um Servidor Multi-Domínio para outro Gerenciamento de Segurança Multi-Domínio.
Migrar um Servidor de Gerenciamento de Segurança para se tornar um Servidor de Gerenciamento de Domínio em um Servidor Multi-Domínio.
Migrar um Servidor de Gerenciamento de Domínio para se tornar um Servidor de Gerenciamento de Segurança.
Reverter um Domínio em um Servidor Multi-Domínio ou um Servidor de Gerenciamento de Segurança para uma revisão anterior para mais edições.

20. SmartTasks e API

Novo método de autenticação da API de Gerenciamento utilizando uma Chave API gerada automaticamente.
Novos comandos API de Gerenciamento para criar objetos de cluster.
Implantação central do Jumbo Hotfix Accumulator e Hotfixes do SmartConsole ou com uma API permitindo instalar ou atualizar múltiplos Gateways de Segurança e Clusters em paralelo.
SmartTasks — Configure scripts automáticos ou solicitações HTTPS acionadas por tarefas de administrador, como publicar uma sessão ou instalar uma política.

21. ImplantaçãoImplantação central do Jumbo Hotfix Accumulator e Hotfixes do SmartConsole ou com uma API permitindo instalar ou atualizar múltiplos Gateways de Segurança e Clusters em paralelo.

22. SmartEventCompartilhar visualizações e relatórios do SmartView com outros administradores.

23. Exportador de LogExportar logs filtrados de acordo com valores de campo.

24. Segurança de Endpoint

Suporte para criptografia BitLocker para Criptografia de Disco Completo.
Suporte para certificados de Autoridade Certificadora externa para o cliente de Segurança de Endpoint
autenticação e comunicação com o Servidor de Gerenciamento de Segurança de Endpoint.
Suporte para tamanho dinâmico de pacotes do Cliente de Segurança de Endpoint com base nos
recursos selecionados para implantação.
Agora a política pode controlar o nível de notificações para os usuários finais.
Suporte para ambiente VDI Persistente no Gerenciamento de Política de Endpoint.

O que mais gostamos (com base nas tarefas dos clientes)

Como pode ver, há muitas novidades. Mas para nós, como integrador de sistemas, há vários pontos bastante interessantes (que também são do interesse de nossos clientes). Nosso Top 10:

Finalmente, o suporte completo para dispositivos IoT está disponível. Já é bastante difícil encontrar uma empresa que não tenha esses dispositivos.
A inspeção TLS agora foi transferida para uma camada separada. Isso é muito mais conveniente do que é agora (na versão 80.30). Não há mais necessidade de executar o antigo Legacy Dashboard. Além disso, agora na política de inspeção HTTPS, pode-se utilizar objetos atualizáveis, como serviços do Office365, Google, Azure, AWS, etc. Isso facilita bastante quando precisamos configurar exceções. No entanto, ainda não há suporte para tls 1.3. Aparentemente, "alcançarão" na próxima hotfix.
Mudanças significativas para Anti-Virus e SandBlast. Agora é possível verificar protocolos como SCP, SFTP e SMBv3 (aliás, nenhum outro protocolo multi-canal consegue realizar essa verificação).
Houve muitas melhorias relacionadas ao Site-to-Site VPN. Agora é possível configurar vários domínios VPN em um gateway que faz parte de várias comunidades VPN. Isso é muito conveniente e muito mais seguro. Além disso, a Check Point finalmente se lembrou do Route Based VPN e melhorou um pouco sua estabilidade/compatibilidade.
Uma função muito solicitada para usuários remotos foi adicionada. Agora é possível autenticar não apenas o usuário, mas também o dispositivo do qual ele se conecta. Por exemplo, queremos permitir a conexão via VPN apenas a partir de dispositivos corporativos. Isso é feito, é claro, por meio de certificados. Também se tornou possível montar automaticamente (SMB v2/3) compartilhamentos para usuários remotos com o cliente VPN.
Houve muitas mudanças no funcionamento do cluster. Mas talvez uma das mais interessantes seja a possibilidade de operação de um cluster onde os gateways têm versões diferentes do Gaia. Isso é conveniente para atualizações planejadas.
As capacidades do Zero Touch foram melhoradas. Uma ferramenta útil para aqueles que frequentemente instalam 'pequenos' gateways (por exemplo, para caixas eletrônicos).
Agora, os logs suportam um armazenamento de até 48TB.
Você pode 'compartilhar' seus dashboards do SmartEvent com outros administradores.
O Log Exporter agora permite fazer pré-filtragem das mensagens enviadas, de acordo com os campos necessários. Ou seja, apenas os logs e eventos necessários passarão para seus sistemas SIEM.

Atualizar

Provavelmente muitos já estão pensando na atualização. Não há necessidade de apressar-se. Para começar, a versão 80.40 deve passar a estar disponível para o público geral. Mas mesmo após isso, não é recomendado atualizar imediatamente. É melhor esperar pelo menos o primeiro hotfix.
É possível que muitos ainda usem versões mais antigas. Posso dizer que, pelo menos, já é possível (e até necessário) atualizar para 80.30. Este já é um sistema estável e testado!

Você também pode se inscrever em nossas páginas (Telegram, Facebook, VK, Blog da TS Solution), onde você pode acompanhar o surgimento de novos materiais sobre a Check Point e outros produtos de segurança.

Apenas usuários registrados podem participar da pesquisa. Entre, por favor.