Zdravím, priatelia! A konečne sme sa dostali k nášmu poslednému, záverečnému lekciu o Check Point Getting Started. Dnes sa budeme rozprávať o veľmi dôležitej téme — Licencovanie. Chcem vás upozorniť, že tento lekcia nie je vyčerpávajúci sprievodca výberom vybavenia alebo licencií. Je to len stručné zhrnutie kľúčových bodov, ktoré by mal poznať každý administrátor Check Point. Ak ste skutočne zmätení z výberu licencie alebo zariadenia, odporúčam sa obrátiť na profesionálov, teda na nás :). Je tu mnoho skrytých nástrah, o ktorých je veľmi ťažké hovoriť v rámci kurzu, a ani si ich všetky naraz nezapamätáte.
Naša lekcia bude úplne teoretická, takže si môžete vypnúť svoje testovacie servery a uvoľniť sa. Na konci článku nájdete video lekciu, v ktorej podrobne vysvetľujem všetko
Licencovanie brány
Začneme popisom licenčných špecifík pre bezpečnostné brány. Týka sa to ako hardvérových zariadení, tak aj virtuálnych. Predpokladajme, že ste sa rozhodli kúpiť bránu. Kúpiť si len zariadenie alebo virtuálku bez 'predplatného' — je nemožné! Existujú tri možnosti predplatného:
A teraz prvá zaujímavá zvláštnosť! Zariadenie alebo virtuálku môžete kúpiť len s predplatním NGTP alebo NGTX. Pri obnove svojho predplatného si však môžete vybrať balík NGFW, ak nepotrebujete bledy AV, AB, URL, AS, TE a TX. Takýto moment. Samotné predplatné si môžete kúpiť na obdobie jedného, dvoch alebo troch rokov.
Môžem predpokladať vašu prvú otázku! “Čo sa stane, ak nezaktualizujem predplatné?”. Úmyselne som zvýraznil zelenou farbou tie bledy, ktoré budú fungovať VŽDY, a BEZ obnovovania. Takzvané perpetual bledy. Ostatné bledy, ktoré vyžadujú pravidelné aktualizácie, jednoducho prestanú fungovať. No azda ostanú fungovať kľúčové podpisy pre IPS (ale tých je veľmi málo). Toto platí pre hardvérové aj virtuálne zariadenia, t.j. vSec.
Samostatne som vyzdvihol tri bledy, ktoré nie sú súčasťou žiadneho balíka, a to: DLP, MAB a Capsule.
Tiež si pamätajte, že ak kupujete clusterové riešenie, tak si ako druhé zariadenie vyberte model s príponou HA (t.j. High Availability). Na obrázku je príklad pre bránu 5400. To bolo o bránach. Teraz manažment server.
Licencovanie servera správy
Ako sme už spomínali v prvých lekciách, existujú dva scenáre nasadenia Check Point: Standalone (keď je brána a manažment na jednom zariadení) a Distributed (keď je server manažmentu presunutý na samostatné zariadenie). Avšak možnosti sa tým nekončia. Poďme sa pozrieť na tri typické scenáre nasadenia servera manažmentu:
- Kúpa vyhradeného NGSM. Najpopulárnejšia možnosť. Vyberáte buď hardvér Smart-1, alebo virtuálku. Samozrejme, vyberáte podľa toho, koľko brán budete spravovať, 5, 10, 25 atď. Po nasadení tohto zariadenia môžete využívať 4 kľúčové moduly servera manažmentu: NPM (t.j. správa politík), Logging and Status (t.j. logovanie), Smart Event (SIEM od Check Point, ktorý nám poskytuje všetky správy) a Compliance (to je hodnotenie kvality nastavení, buď na súlad s nejakými regulačnými požiadavkami, ako je PCI DSS, alebo jednoducho Best Practice). Je zrejmé, že moduly NPM a LS sú trvalé moduly, t.j. budú fungovať aj bez predĺženia predplatného, ale moduly Smart Event a Compliance sú zahrnuté iba na prvý rok! Potom je potrebné ich predlžovať za samostatný poplatok. Toto je dôležitý bod, nezabúdajte. A ak sa bez modulu Compliance ešte dá žiť, tak Smart Event potrebujú určite všetci.
- Kúpa vyhradeného servera na správu udalostí V OBDOBÍ k už existujúcemu serveru manažmentu NGSM. Prečo je to potrebné? Faktom je, že funkcie logovania a najmä Smart Event „oberajú“ pomerne slušné systémové zdroje. A ak je logov dosť veľa, môže to viesť k „zaseknutiam“ na serveri manažmente. Preto sa často praktizuje presun tejto funkcie na samostatné zariadenie, hardvér Smart-1 alebo opäť virtuálku. Veľké integrácie s veľkým množstvom logov takmer vždy vyžadujú vyhradený server pre Smart Event. Ten môže prijímať logy. Takto váš server manažmentu bude vykonávať iba funkcie správy. To výrazne zvyšuje stabilitu a odozvu systému. Ako je vidieť, pri kúpe vyhradeného servera pre Smart Event získate tieto dva moduly na trvalé používanie, aj bez predĺženia. V horizonte 3-4 rokov to bude dokonca ekonomicky výhodnejšie, než každý rok kupovať predĺženia Smart Event pre bežný server NGSM.
- Vyhradený server na správu logov, ktorý dopĺňa servery NGSM a Smart Event. Myslím, že význam je jasný. Pri VEĽMI veľkom množstve logov môžeme funkciu logovania preniesť na samostatný server. Vyhradený Log server tiež má trvalú licenciu a nevyžaduje predĺženie.
Video lekcia
Tu nájdete ďalšie informácie o správe licencií a technickej podpore Check Point:
Zdroj: habr.com
