{"id":29991,"date":"2019-10-31T21:33:06","date_gmt":"2019-10-31T18:33:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/check-point-chto-eto-s-chem-ego-edyat-ili-korotko-o-glavnom\/"},"modified":"2019-10-31T21:33:06","modified_gmt":"2019-10-31T18:33:06","slug":"check-point-chto-eto-s-chem-ego-edyat-ili-korotko-o-glavnom","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/check-point-chto-eto-s-chem-ego-edyat-ili-korotko-o-glavnom","title":{"rendered":"Check Point. O que \u00e9 isso, como se usa ou um resumo do essencial","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Check
\nOl\u00e1, respeitados leitores do Habr! Este \u00e9 o blog corporativo da empresa TS Solution<\/a><\/noindex>. Somos integradores de sistemas e nos especializamos principalmente em solu\u00e7\u00f5es de seguran\u00e7a da infraestrutura de TI (Check Point<\/a><\/noindex>, Fortinet<\/a><\/noindex>) e sistemas de an\u00e1lise de dados de m\u00e1quina (Splunk<\/a><\/noindex>). Vamos iniciar nosso blog com uma breve introdu\u00e7\u00e3o \u00e0s tecnologias Check Point.<\/p>\n

Refletimos bastante se dever\u00edamos escrever este artigo, pois n\u00e3o h\u00e1 nada de novo que n\u00e3o poderia ser encontrado na internet. No entanto, apesar da abund\u00e2ncia de informa\u00e7\u00f5es, ao trabalhar com clientes e parceiros, frequentemente ouvimos as mesmas perguntas. Portanto, decidimos escrever uma introdu\u00e7\u00e3o ao mundo das tecnologias Check Point e esclarecer a ess\u00eancia da arquitetura de suas solu\u00e7\u00f5es. E tudo isso em um \u00fanico 'pequeno' post, para um passeio r\u00e1pido. Iremos tentar evitar guerras de marketing, j\u00e1 que n\u00e3o somos um fornecedor, mas apenas um integrador de sistemas (embora adoremoss Check Point) e analisaremos os principais pontos sem compar\u00e1-los a outros fabricantes (como Palo Alto, Cisco, Fortinet etc.). O artigo ficou bastante extenso, mas elimina uma grande parte das perguntas na fase inicial de familiariza\u00e7\u00e3o com Check Point. Se voc\u00ea est\u00e1 interessado, sinta-se \u00e0 vontade para continuar...
\n<\/a><\/noindex>
\nUTM\/NGFW<\/b><\/p>\n

Ao iniciar a conversa sobre Check Point, a primeira coisa a se discutir \u00e9 o que s\u00e3o UTM, NGFW e como eles se diferenciam. Faremos isso de forma sucinta, para que o post n\u00e3o fique muito extenso (talvez no futuro abordemos essa quest\u00e3o de maneira mais detalhada)<\/p>\n

UTM \u2014 Gerenciamento Unificado de Amea\u00e7as<\/b><\/p>\n

Resumidamente, a ess\u00eancia do UTM \u00e9 a consolida\u00e7\u00e3o de v\u00e1rios meios de prote\u00e7\u00e3o em uma \u00fanica solu\u00e7\u00e3o. Ou seja, tudo em uma caixa ou uma esp\u00e9cie de tudo inclu\u00eddo. O que se entende por 'v\u00e1rios meios de prote\u00e7\u00e3o'? A op\u00e7\u00e3o mais comum \u00e9: Firewall, IPS, Proxy (filtragem de URL), Antivirus em tempo real, Anti-Spam, VPN etc. Tudo isso \u00e9 integrado dentro de uma \u00fanica solu\u00e7\u00e3o UTM, o que facilita em termos de integra\u00e7\u00e3o, configura\u00e7\u00e3o, administra\u00e7\u00e3o e monitoramento, e isso, por sua vez, impacta positivamente na seguran\u00e7a geral da rede. Quando as solu\u00e7\u00f5es UTM surgiram, eram vistas apenas para empresas pequenas, pois as UTM n\u00e3o conseguiam lidar com grandes volumes de tr\u00e1fego. Isso se dava por duas raz\u00f5es:<\/p>\n

    \n
  1. M\u00e9todo de processamento de pacotes. As primeiras vers\u00f5es das solu\u00e7\u00f5es UTM processavam pacotes sequencialmente, por cada 'm\u00f3dulo'. Por exemplo: primeiro o pacote \u00e9 processado pelo firewall, depois pelo IPS, em seguida verificado pelo Antiv\u00edrus e assim por diante. Naturalmente, esse mecanismo causava s\u00e9rias lat\u00eancias no tr\u00e1fego e consumia muitos recursos do sistema (processador, mem\u00f3ria).<\/li>\n
  2. Hardware fraco. Como mencionado anteriormente, o processamento sequencial de pacotes consumia muitos recursos e o 'hardware' da \u00e9poca (1995-2005) simplesmente n\u00e3o conseguia lidar com grandes volumes de tr\u00e1fego.<\/li>\n<\/ol>\n

    \nMas o progresso n\u00e3o para. Desde ent\u00e3o, as capacidades de hardware aumentaram significativamente, e o processamento de pacotes mudou (\u00e9 preciso reconhecer que n\u00e3o em todos os vendors) e passou a permitir an\u00e1lises praticamente simult\u00e2neas em v\u00e1rios m\u00f3dulos (M\u00c9, IPS, Antiv\u00edrus, etc.). As solu\u00e7\u00f5es UTM modernas podem 'digerir' dezenas e at\u00e9 centenas de gigabits em modo de an\u00e1lise profunda, o que permite seu uso no segmento de grandes empresas ou at\u00e9 em data centers.<\/p>\n

    Abaixo est\u00e1 o famoso quadrante m\u00e1gico da Gartner para solu\u00e7\u00f5es UTM de agosto de 2016:<\/p>\n

    \"Check
    \n
    \nN\u00e3o vou comentar muito esta imagem, apenas direi que no canto superior direito est\u00e3o os l\u00edderes.<\/p>\n

    NGFW \u2014 Next Generation Firewall<\/b><\/p>\n

    O nome diz tudo \u2014 firewall de pr\u00f3xima gera\u00e7\u00e3o. Esse conceito surgiu muito depois do UTM. A ideia principal do NGFW \u00e9 a an\u00e1lise profunda de pacotes (DPI) com a ajuda de um IPS embutido e controle de acesso em n\u00edvel de aplica\u00e7\u00e3o (Application Control). Neste caso, o IPS \u00e9 necess\u00e1rio para identificar qual aplicativo est\u00e1 presente no fluxo de pacotes, permitindo assim sua libera\u00e7\u00e3o ou proibi\u00e7\u00e3o. Exemplo: Podemos permitir o uso do Skype, mas proibir a transfer\u00eancia de arquivos. Podemos proibir o uso de Torrent ou RDP. Tamb\u00e9m s\u00e3o suportados aplicativos da web: Podemos permitir acesso ao VK.com, mas proibir jogos, mensagens ou visualiza\u00e7\u00e3o de v\u00eddeos. Essencialmente, a qualidade do NGFW depende do n\u00famero de aplicativos que ele pode identificar. Muitos consideram que o surgimento do conceito NGFW foi apenas um movimento de marketing no qual a empresa Palo Alto come\u00e7ou a crescer exponencialmente.<\/p>\n

    Quadrante m\u00e1gico da Gartner para NGFW em maio de 2016:<\/p>\n

    \"Check
    \n
    \nUTM vs NGFW<\/b><\/p>\n

    Uma pergunta muito comum \u00e9: o que \u00e9 melhor? N\u00e3o h\u00e1 uma resposta definitiva para isso, e n\u00e3o pode haver. Especialmente considerando que quase todas as solu\u00e7\u00f5es UTM modernas cont\u00eam recursos de NGFW, e a maioria das NGFW possui fun\u00e7\u00f5es t\u00edpicas de UTM (Antiv\u00edrus, VPN, Anti-Bot, etc.). Como sempre, \u201co diabo est\u00e1 nos detalhes\u201d, portanto, em primeiro lugar, \u00e9 necess\u00e1rio decidir o que voc\u00ea precisa especificamente, definir um or\u00e7amento. Com base nessas decis\u00f5es, voc\u00ea pode escolher v\u00e1rias op\u00e7\u00f5es. E todas devem ser testadas, sem confiar apenas nos materiais de marketing.<\/p>\n

    N\u00f3s, por nossa vez, em v\u00e1rias mat\u00e9rias, tentaremos falar sobre o Check Point, como voc\u00ea pode test\u00e1-lo e o que, em geral, pode ser testado (praticamente toda a funcionalidade).<\/p>\n

    Tr\u00eas entidades do Check Point<\/b><\/p>\n

    Ao trabalhar com o Check Point, voc\u00ea certamente encontrar\u00e1 tr\u00eas componentes deste produto:<\/p>\n

    \"Check
    \n<\/p>\n

      \n
    1. Security Gateway (SG)<\/b> \u2014 na verdade, o pr\u00f3prio gateway de seguran\u00e7a, que costuma ser instalado na per\u00edmetro da rede e desempenha fun\u00e7\u00f5es de firewall, antiv\u00edrus em tempo real, anti-bot, IPS, etc.<\/li>\n
    2. Security Management Server (SMS)<\/b> \u2014 servidor de gerenciamento de gateways. Quase todas as configura\u00e7\u00f5es no gateway (SG) s\u00e3o feitas atrav\u00e9s deste servidor. O SMS tamb\u00e9m pode atuar como servidor de logs e processar logs com seu sistema integrado de an\u00e1lise e correla\u00e7\u00e3o de eventos \u2014 Smart Event (semelhante ao SIEM para Check Point), mas falaremos sobre isso mais tarde. O SMS \u00e9 usado para gerenciamento centralizado de m\u00faltiplos gateways (o n\u00famero de gateways depende do modelo do SMS ou da licen\u00e7a), no entanto, voc\u00ea \u00e9 obrigado a us\u00e1-lo mesmo se tiver apenas um gateway. Deve-se notar que a Check Point foi uma das primeiras a adotar tal sistema de gerenciamento centralizado, que h\u00e1 muitos anos \u00e9 reconhecido como o \u201cpadr\u00e3o ouro\u201d nos relat\u00f3rios da empresa Gartner. H\u00e1 at\u00e9 uma piada: \u201cSe a Cisco tivesse um sistema de gerenciamento adequado, a Check Point nunca teria surgido.\u201d<\/li>\n
    3. Smart Console<\/b> \u2014 console cliente para conex\u00e3o com o servidor de gerenciamento (SMS). Geralmente, \u00e9 instalado no computador do administrador. Todas as altera\u00e7\u00f5es no servidor de gerenciamento s\u00e3o feitas atrav\u00e9s deste console, e s\u00f3 depois disso as configura\u00e7\u00f5es podem ser aplicadas aos gateways de seguran\u00e7a (Install Policy).\n

      \"Check\n<\/li>\n<\/ol>\n

      \nSistema operacional do Check Point<\/b><\/p>\n

      Falando sobre o sistema operacional do Check Point, podemos lembrar imediatamente de tr\u00eas: IPSO, SPLAT e GAIA.<\/p>\n

        \n
      1. IPSO<\/b> \u2014 sistema operacional da Ipsilon Networks, que pertencia \u00e0 Nokia. Em 2009, a Check Point adquiriu este neg\u00f3cio. N\u00e3o est\u00e1 mais em desenvolvimento.<\/li>\n
      2. SPLAT<\/b> \u2014 desenvolvimento pr\u00f3prio da Check Point, baseado no n\u00facleo da RedHat. N\u00e3o est\u00e1 mais em desenvolvimento.<\/li>\n
      3. Gaia<\/b> \u2014 sistema operacional atual da Check Point, que surgiu da fus\u00e3o entre IPSO e SPLAT, incorporando o melhor de ambos. Lan\u00e7ado em 2012, continua a se desenvolver ativamente.<\/li>\n<\/ol>\n

        \nFalando sobre Gaia, \u00e9 importante mencionar que, no momento, a vers\u00e3o mais disseminada \u00e9 a R77.30. Recentemente, foi lan\u00e7ada a vers\u00e3o R80, que difere significativamente da anterior (tanto em funcionalidade quanto em gerenciamento). Dedicaremos um post separado ao tema dessas diferen\u00e7as. Outro ponto importante \u00e9 que, at\u00e9 o momento, apenas a vers\u00e3o R77.10 possui certifica\u00e7\u00e3o do FSTEC, e a vers\u00e3o R77.30 est\u00e1 em processo de certifica\u00e7\u00e3o.<\/p>\n

        Varia\u00e7\u00f5es de execu\u00e7\u00e3o (Check Point Appliance, M\u00e1quina Virtual, OpenServer)<\/b><\/p>\n

        N\u00e3o \u00e9 surpreendente, assim como muitos fornecedores, a Check Point possui v\u00e1rias op\u00e7\u00f5es de produtos:<\/p>\n

          \n
        1. Appliance<\/b> \u2014 dispositivo de hardware e software, ou seja, um \u2018hardware pr\u00f3prio\u2019. Existem muitos modelos, que diferem em desempenho, funcionalidade e execu\u00e7\u00e3o (h\u00e1 op\u00e7\u00f5es para redes industriais).\n

          \"Check<\/li>\n

        2. M\u00e1quina Virtual<\/b> \u2014 m\u00e1quina virtual da Check Point com o sistema operacional Gaia. Suporta hipervisores ESXi, Hyper-V, KVM. Licenciado por n\u00famero de n\u00facleos de processador.<\/li>\n
        3. OpenServer<\/b> \u2014 instala\u00e7\u00e3o do Gaia diretamente em um servidor como sistema operacional principal (o chamado \u2018Bare metal\u2019). Suporta apenas hardware espec\u00edfico. Existem recomenda\u00e7\u00f5es sobre este hardware que devem ser seguidas, caso contr\u00e1rio, podem surgir problemas com drivers e o suporte t\u00e9cnico pode recusar atendimento.<\/li>\n<\/ol>\n

          \nVaria\u00e7\u00f5es de implementa\u00e7\u00e3o (Distribu\u00eddo ou Aut\u00f4nomo)<\/b><\/p>\n

          Acima, j\u00e1 discutimos o que \u00e9 um gateway (SG) e um servidor de gerenciamento (SMS). Agora vamos discutir as op\u00e7\u00f5es de implementa\u00e7\u00e3o. Existem duas maneiras principais:<\/p>\n

            \n
          1. Aut\u00f4nomo (SG+SMS)<\/b> \u2014 op\u00e7\u00e3o em que tanto o gateway quanto o servidor de gerenciamento s\u00e3o instalados em um \u00fanico dispositivo (ou m\u00e1quina virtual).\n

            \"Check
            \n
            \nEssa op\u00e7\u00e3o \u00e9 adequada quando voc\u00ea tem apenas um gateway, que \u00e9 pouco carregado de tr\u00e1fego de usu\u00e1rios. Esta op\u00e7\u00e3o \u00e9 a mais econ\u00f4mica, pois n\u00e3o h\u00e1 necessidade de comprar um servidor de gerenciamento (SMS). No entanto, sob uma carga s\u00e9ria no gateway, voc\u00ea pode enfrentar um sistema de gerenciamento \"lento\". Portanto, antes de escolher a solu\u00e7\u00e3o Standalone, \u00e9 melhor consultar um especialista ou at\u00e9 mesmo testar esta op\u00e7\u00e3o.<\/p>\n<\/li>\n

          2. Distribu\u00eddo<\/b> \u2014 o servidor de gerenciamento \u00e9 instalado separadamente do gateway.\n

            \"Check
            \n
            \nA op\u00e7\u00e3o ideal em termos de conveni\u00eancia e desempenho. \u00c9 utilizada quando \u00e9 necess\u00e1rio gerenciar v\u00e1rios gateways ao mesmo tempo, como um central e filiais. Nesse caso, \u00e9 necess\u00e1rio adquirir um servidor de gerenciamento (SMS), que tamb\u00e9m pode ser um appliance (hardware) ou uma m\u00e1quina virtual.<\/li>\n<\/ol>\n

            \nComo mencionei um pouco mais acima, a Check Point tem seu pr\u00f3prio sistema SIEM \u2014 Smart Event. Voc\u00ea poder\u00e1 us\u00e1-lo apenas em caso de instala\u00e7\u00e3o Distribu\u00edda.<\/p>\n

            Modos de opera\u00e7\u00e3o (Bridge, Routed)<\/b>
            \nO gateway de seguran\u00e7a (SG) pode operar em dois modos principais:<\/p>\n