{"id":29991,"date":"2019-10-31T21:33:06","date_gmt":"2019-10-31T18:33:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/check-point-chto-eto-s-chem-ego-edyat-ili-korotko-o-glavnom\/"},"modified":"2019-10-31T21:33:06","modified_gmt":"2019-10-31T18:33:06","slug":"check-point-chto-eto-s-chem-ego-edyat-ili-korotko-o-glavnom","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/check-point-chto-eto-s-chem-ego-edyat-ili-korotko-o-glavnom","title":{"rendered":"Check Point. Ce este, cu ce se m\u0103n\u00e2nc\u0103 sau pe scurt despre esen\u021bial","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Check
\nBun\u0103 ziua, stima\u021bi cititori ai Habr! Aceasta este blogul corporativ al companiei TS Solution<\/a><\/noindex>. Suntem un integrator de sisteme \u0219i ne specializ\u0103m \u00een principal \u00een solu\u021bii de securitate pentru infrastructura IT (Check Point<\/a><\/noindex>, Fortinet<\/a><\/noindex>) \u0219i \u00een sistemele de analiz\u0103 a datelor din ma\u0219ini (Splunk.<\/a><\/noindex>). Vom \u00eencepe blogul nostru cu o scurt\u0103 introducere \u00een tehnologiile Check Point.<\/p>\n

Am reflecat mult dac\u0103 s\u0103 scriem acest articol, deoarece nu con\u021bine nimic nou, ce nu s-ar putea g\u0103si pe internet. Cu toate acestea, \u00een ciuda abunden\u021bei de informa\u021bii, \u00een interac\u021biunile cu clien\u021bii \u0219i partenerii, adesea auzim acelea\u0219i \u00eentreb\u0103ri. De aceea, am decis s\u0103 scriem o introducere \u00een lumea tehnologiilor Check Point \u0219i s\u0103 explic\u0103m esen\u021ba arhitecturii solu\u021biilor lor. Iar toate acestea se vor face \u00eentr-un singur \"mic\" post, s\u0103 zicem un excurs rapid. \u00cen plus, ne vom str\u0103dui s\u0103 evit\u0103m r\u0103zboaiele de marketing, deoarece nu suntem un furnizor, ci pur \u0219i simplu un integrator de sisteme (de\u0219i iubim foarte mult Check Point) \u0219i vom examina doar aspectele principale f\u0103r\u0103 a le compara cu al\u021bi furnizori (cum ar fi Palo Alto, Cisco, Fortinet etc.). Articolul a ie\u0219it destul de voluminos, dar r\u0103spunde la cea mai mare parte a \u00eentreb\u0103rilor \u00een etapa de familiarizare cu Check Point. Dac\u0103 te intereseaz\u0103, te invit\u0103m s\u0103 r\u0103m\u00e2i cu noi\u2026
\n<\/a><\/noindex>
\nUTM\/NGFW<\/b><\/p>\n

\u00cencep\u00e2nd discu\u021bia despre Check Point, primul lucru cu care ar trebui s\u0103 \u00eencepem este s\u0103 explic\u0103m ce \u00eenseamn\u0103 UTM, NGFW \u0219i cu ce se diferen\u021biaz\u0103. O vom face destul de succint, pentru a nu face postarea prea lung\u0103 (posibil \u00een viitor vom explora aceast\u0103 \u00eentrebare un pic mai \u00een detaliu)<\/p>\n

UTM \u2014 Management Unificat al Amenin\u021b\u0103rilor<\/b><\/p>\n

Pe scurt, esen\u021ba UTM este consolidarea mai multor m\u0103suri de protec\u021bie \u00eentr-o singur\u0103 solu\u021bie. Adic\u0103, tot \u00eentr-o singur\u0103 cutie sau ceva de tip all inclusive. Ce \u00eenseamn\u0103 \"mai multe m\u0103suri de protec\u021bie\"? Cel mai comun exemplu este: Firewall, IPS, Proxy (filtrare URL), Antivirus de flux, Anti-Spam, VPN \u0219i a\u0219a mai departe. Totul este integrat \u00een cadrul unei solu\u021bii UTM, ceea ce este mai simplu din punct de vedere al integr\u0103rii, configur\u0103rii, administr\u0103rii \u0219i monitoriz\u0103rii, ceea ce, la r\u00e2ndul s\u0103u, are un efect pozitiv asupra securit\u0103\u021bii generale a re\u021belei. C\u00e2nd solu\u021biile UTM au ap\u0103rut pentru prima dat\u0103, au fost considerate exclusiv pentru companii mici, deoarece UTM nu f\u0103ceau fa\u021b\u0103 volumelor mari de trafic. Acest lucru s-a \u00eent\u00e2mplat din dou\u0103 motive:<\/p>\n

    \n
  1. Metoda de procesare a pachetelor. Primele versiuni ale solu\u021biilor UTM procesau pachetele secven\u021bial, prin fiecare \u201emodul\u201d. De exemplu: mai \u00eent\u00e2i, pachetul este procesat de firewall, apoi de IPS, dup\u0103 care este verificat de Antivirus \u0219i a\u0219a mai departe. Este evident c\u0103 un astfel de mecanism aducea \u00eent\u00e2rzieri semnificative \u00een trafic \u0219i consuma serios resursele sistemului (procesor, memorie).<\/li>\n
  2. \u201eHardware\u201d slab. A\u0219a cum am men\u021bionat mai sus, procesarea secven\u021bial\u0103 a pachetelor consumase foarte multe resurse, iar \u201ehardware\u201d-ul acelor vremuri (1995-2005) pur \u0219i simplu nu putea face fa\u021b\u0103 unui volum mare de trafic.<\/li>\n<\/ol>\n

    \nDar progresul nu st\u0103 pe loc. De atunci, capacit\u0103\u021bile hardware s-au \u00eembun\u0103t\u0103\u021bit semnificativ, iar procesarea pachetelor s-a schimbat (trebuie s\u0103 recunoa\u0219tem c\u0103 nu la to\u021bi furnizorii) \u0219i a \u00eenceput s\u0103 permit\u0103 analiza aproape simultan\u0103 \u00een mai multe module (MFA, IPS, Antivirus etc.). Solu\u021biile UTM moderne pot \u201egestiona\u201d zeci \u0219i chiar sute de gigabi\u021bi \u00een modul de analiz\u0103 profund\u0103, ceea ce le permite s\u0103 fie folosite \u00een segmentul afacerilor mari sau chiar centrelor de date.<\/p>\n

    Mai jos este prezentat cunoscutul cuadrant magic Gartner pentru solu\u021biile UTM din august 2016:<\/p>\n

    \"Check
    \n
    \nNu voi comenta prea mult aceast\u0103 imagine, voi spune doar c\u0103 \u00een col\u021bul din dreapta sus se afl\u0103 liderii.<\/p>\n

    NGFW \u2014 Firewall de genera\u021bie urm\u0103toare<\/b><\/p>\n

    Numele vorbe\u0219te de la sine \u2014 firewall de genera\u021bie urm\u0103toare. Acest concept a ap\u0103rut mult mai t\u00e2rziu dec\u00e2t UTM. Ideea principal\u0103 a NGFW este analiza profund\u0103 a pachetelor (DPI) cu ajutorul IPS-ului \u00eencorporat \u0219i delimitarea accesului la nivelul aplica\u021biilor (Controlul aplica\u021biilor). \u00cen acest caz, IPS este necesar pentru a identifica anumite aplica\u021bii \u00een fluxul de pachete, ceea ce permite fie s\u0103 le permit\u0103, fie s\u0103 le interzic\u0103. Exemplu: Putem permite func\u021bionarea Skype-ului, dar putem interzice transferul de fi\u0219iere. Putem interzice utilizarea Torrent-ului sau RDP-ului. De asemenea, se suport\u0103 aplica\u021bii web: Putem permite accesul la VK.com, dar putem interzice jocurile, mesajele sau vizionarea de videoclipuri. De fapt, calitatea NGFW depinde de num\u0103rul de aplica\u021bii pe care le poate identifica. Mul\u021bi consider\u0103 c\u0103 apari\u021bia conceptului NGFW a fost un simplu truc de marketing, pe fundalul c\u0103ruia compania Palo Alto a \u00eenceput s\u0103 creasc\u0103 rapid.<\/p>\n

    Cuadrantul magic Gartner pentru NGFW din mai 2016:<\/p>\n

    \"Check
    \n
    \nUTM vs NGFW<\/b><\/p>\n

    O \u00eentrebare foarte frecvent\u0103 este care este mai bun? Nu exist\u0103 un r\u0103spuns clar aici \u0219i nici nu poate exista. Mai ales dac\u0103 lu\u0103m \u00een considerare faptul c\u0103 aproape toate solu\u021biile UTM moderne con\u021bin func\u021bionalitatea NGFW \u0219i majoritatea NGFW con\u021bin func\u021bii specifice UTM (Antivirus, VPN, Anti-Bot etc.). Ca \u00eentotdeauna, \u201ediavolul se afl\u0103 \u00een detalii\u201d, a\u0219a c\u0103 mai \u00eent\u00e2i trebuie s\u0103 decide\u021bi ce ave\u021bi nevoie, s\u0103 stabili\u021bi un buget. Pe baza acestor decizii, pute\u021bi alege c\u00e2teva op\u021biuni. Apoi este esen\u021bial s\u0103 testa\u021bi toate aceste op\u021biuni, f\u0103r\u0103 a crede prea mult \u00een materialele de marketing.<\/p>\n

    Noi, de asemenea, \u00een cadrul c\u00e2torva articole, vom \u00eencerca s\u0103 vorbim despre Check Point, cum \u00eel pute\u021bi \u00eencerca \u0219i ce anume pute\u021bi testa (practic \u00eentreaga func\u021bionalitate).<\/p>\n

    Trei entit\u0103\u021bi Check Point<\/b><\/p>\n

    C\u00e2nd lucra\u021bi cu Check Point, ve\u021bi \u00eent\u00e2lni inevitabil cele trei componente ale acestui produs:<\/p>\n

    \"Check
    \n<\/p>\n

      \n
    1. Security Gateway (SG)<\/b> \u2014 efectiv, poarta de securitate, care de obicei este instalat\u0103 la periferia re\u021belei \u0219i efectueaz\u0103 func\u021bii de firewall, antivirus \u00een timp real, anti-bot, IPS etc.<\/li>\n
    2. Security Management Server (SMS)<\/b> \u2014 serverul de management al por\u021bilor. Practic toate set\u0103rile de pe poarta (SG) sunt efectuate prin acest server. SMS poate de asemenea s\u0103 func\u021bioneze ca server de loguri \u0219i s\u0103 le proceseze cu un sistem \u00eencorporat de analiz\u0103 \u0219i corelare a evenimentelor \u2014 Smart Event (similar cu SIEM pentru Check Point), dar despre asta vom vorbi pu\u021bin mai t\u00e2rziu. SMS este folosit pentru gestionarea centralizat\u0103 a mai multor por\u021bi (num\u0103rul de por\u021bi depinde de modelul SMS sau de licen\u021b\u0103), dar este necesar s\u0103-l utiliza\u021bi, chiar dac\u0103 ave\u021bi o singur\u0103 poart\u0103. Merit\u0103 men\u021bionat c\u0103 Check Point a fost unul dintre primii care au implementat un sistem centralizat de management de acest tip, care este recunoscut de mul\u021bi ani ca \u201estandard de aur\u201d \u00een rapoartele companiei Gartner. Exist\u0103 chiar \u0219i o glum\u0103: \u201eDac\u0103 Cisco ar fi avut un sistem de management decent, Check Point nu ar fi ap\u0103rut niciodat\u0103.\u201d<\/li>\n
    3. Smart Console<\/b> \u2014 consola client pentru conectarea la serverul de management (SMS). De obicei, este instalat\u0103 pe computerul administratorului. Prin aceast\u0103 consol\u0103 se fac toate modific\u0103rile pe serverul de management, iar apoi aceste set\u0103ri pot fi aplicate la por\u021bile de securitate (Install Policy).\n

      \"Check\n<\/li>\n<\/ol>\n

      \nSistemul de operare Check Point<\/b><\/p>\n

      Vorbind despre sistemul de operare Check Point, putem s\u0103 ne amintim imediat de trei: IPSO, SPLAT \u0219i GAIA.<\/p>\n

        \n
      1. IPSO<\/b> \u2014 sistemul de operare al companiei Ipsilon Networks, care a apar\u021binut companiei Nokia. \u00cen 2009, Check Point a achizi\u021bionat acest business. Nu mai este dezvoltat.<\/li>\n
      2. SPLAT<\/b> \u2014 dezvoltare proprie a Check Point, bazat\u0103 pe nucleul RedHat. Nu mai este dezvoltat.<\/li>\n
      3. Gaia<\/b> \u2014 sistemul de operare actual de la Check Point, care a ap\u0103rut ca urmare a fuziunii dintre IPSO \u0219i SPLAT, \u00eembin\u00e2nd cele mai bune caracteristici. A fost lansat \u00een 2012 \u0219i continu\u0103 s\u0103 se dezvolte activ.<\/li>\n<\/ol>\n

        \nVorbind despre Gaia, trebuie s\u0103 men\u021bion\u0103m c\u0103 \u00een prezent cea mai r\u0103sp\u00e2ndit\u0103 versiune este R77.30. Recent a ap\u0103rut versiunea R80, care se diferen\u021biaz\u0103 semnificativ de cea anterioar\u0103 (\u00een ceea ce prive\u0219te func\u021bionalitatea \u0219i gestionarea). Vom dedica un post separat temei diferen\u021belor dintre acestea. Un alt aspect important este c\u0103, \u00een prezent, certificatul FSTEC este valabil doar pentru versiunea R77.10, iar versiunea R77.30 este \u00een curs de certificare.<\/p>\n

        Op\u021biuni de execu\u021bie (Check Point Appliance, ma\u0219in\u0103 virtual\u0103, OpenServer)<\/b><\/p>\n

        Aici nu este nimic surprinz\u0103tor, ca \u0219i mul\u021bi al\u021bi furnizori, Check Point are mai multe variante de produs:<\/p>\n

          \n
        1. Appliance<\/b> \u2014 dispozitiv software-hardware, adic\u0103 o \u201ecutie\u201d proprie. Exist\u0103 foarte multe modele, care difer\u0103 \u00een termeni de performan\u021b\u0103, func\u021bionalitate \u0219i execu\u021bie (exist\u0103 variante pentru re\u021bele industriale).\n

          \"Check<\/li>\n

        2. Ma\u0219in\u0103 virtual\u0103<\/b> \u2014 ma\u0219in\u0103 virtual\u0103 Check Point cu sistemul de operare Gaia. Sunt suportate hypervizorii ESXi, Hyper-V, KVM. Licen\u021bierea se face pe baza num\u0103rului de nuclee ale procesorului.<\/li>\n
        3. OpenServer<\/b> \u2014 instalarea lui Gaia direct pe server ca sistem de operare principal (a\u0219a-numitul \u201eBare metal\u201d). Este suportat doar un anumit tip de \u201ehard\u201d. Exist\u0103 recomand\u0103ri pentru acest hardware, care trebuie respectate, altfel pot ap\u0103rea probleme cu driverele, iar suportul tehnic poate refuza servicii.<\/li>\n<\/ol>\n

          \nOp\u021biuni de implementare (Distributed sau Standalone)<\/b><\/p>\n

          Mai sus am discutat deja despre ce este un gateway (SG) \u0219i un server de gestionare (SMS). Acum s\u0103 discut\u0103m despre op\u021biunile de implementare. Exist\u0103 dou\u0103 moduri principale:<\/p>\n

            \n
          1. Standalone (SG+SMS)<\/b> \u2014 op\u021biune \u00een care gateway-ul \u0219i serverul de gestionare sunt instalate pe aceea\u0219i unitate (sau ma\u0219in\u0103 virtual\u0103).\n

            \"Check
            \n
            \nAceast\u0103 variant\u0103 este potrivit\u0103 atunci c\u00e2nd ave\u021bi doar un singur gateway, care este pu\u021bin solicitat de traficul utilizatorilor. Aceast\u0103 op\u021biune este cea mai economic\u0103, deoarece nu este necesar\u0103 achizi\u021bionarea unui server de management (SMS). Cu toate acestea, \u00een cazul unei sarcini serioase pe gateway, s-ar putea s\u0103 \u00eent\u00e2lni\u021bi un sistem de management \u201e\u00eencetinit\u201d. De aceea, \u00eenainte de a alege o solu\u021bie Standalone, cel mai bine este s\u0103 consulta\u021bi un specialist sau chiar s\u0103 testa\u021bi aceast\u0103 variant\u0103.<\/p>\n<\/li>\n

          2. Distribuit<\/b> \u2014 serverul de management se instaleaz\u0103 separat de gateway.\n

            \"Check
            \n
            \nO op\u021biune optim\u0103 \u00een ceea ce prive\u0219te confortul \u0219i performan\u021ba. Este utilizat\u0103 atunci c\u00e2nd trebuie gestionate simultan mai multe gateway-uri, de exemplu, un central \u0219i unul filial. \u00cen acest caz, este necesar\u0103 achizi\u021bionarea unui server de management (SMS), care poate fi, de asemenea, sub forma unui appliance (dispozitiv hardware) sau a unei ma\u0219ini virtuale.<\/li>\n<\/ol>\n

            \nA\u0219a cum am men\u021bionat mai sus, Check Point are propriul s\u0103u sistem SIEM \u2014 Smart Event. \u00cel ve\u021bi putea folosi doar \u00een cazul unei instal\u0103ri Distribuite.<\/p>\n

            Moduri de operare (Bridge, Routed)<\/b>
            \nGateway-ul de securitate (SG) poate func\u021biona \u00een dou\u0103 moduri principale:<\/p>\n