{"id":29991,"date":"2019-10-31T21:33:06","date_gmt":"2019-10-31T18:33:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/check-point-chto-eto-s-chem-ego-edyat-ili-korotko-o-glavnom\/"},"modified":"2019-10-31T21:33:06","modified_gmt":"2019-10-31T18:33:06","slug":"check-point-chto-eto-s-chem-ego-edyat-ili-korotko-o-glavnom","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sk\/blog\/check-point-chto-eto-s-chem-ego-edyat-ili-korotko-o-glavnom","title":{"rendered":"Check Point. \u010co to je, s \u010d\u00edm sa to d\u00e1 jes\u0165 alebo stru\u010dne o hlavnom","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Check
\nDobr\u00fd de\u0148, v\u00e1\u017een\u00ed \u010ditatelia Habr! Toto je firemn\u00fd blog spolo\u010dnosti TS Solution<\/a><\/noindex>. Sme syst\u00e9mov\u00fd integr\u00e1tor a v\u00e4\u010d\u0161inou sa \u0161pecializujeme na rie\u0161enia bezpe\u010dnosti IT infra\u0161trukt\u00fary (Check Point<\/a><\/noindex>, Fortinet<\/a><\/noindex>) a syst\u00e9my anal\u00fdzy strojov\u00fdch d\u00e1t (Splunk<\/a><\/noindex>). Za\u010dneme n\u00e1\u0161 blog kr\u00e1tkym \u00favodom do technol\u00f3gi\u00ed Check Point.<\/p>\n

Dlho sme uva\u017eovali, \u010di m\u00e1 zmysel p\u00edsa\u0165 tento \u010dl\u00e1nok, ke\u010f\u017ee v \u0148om nie je ni\u010d nov\u00e9, \u010do by sa nena\u0161lo na internete. Napriek tomuto mno\u017estvu inform\u00e1ci\u00ed pri pr\u00e1ci s klientmi a partnermi \u010dasto po\u010dujeme tie ist\u00e9 ot\u00e1zky. Preto sme sa rozhodli nap\u00edsa\u0165 ak\u00fdsi \u00favod do sveta technol\u00f3gie Check Point a odhali\u0165 podstatu architekt\u00fary ich rie\u0161en\u00ed. A to v\u0161etko v r\u00e1mci jedn\u00e9ho \"mal\u00e9ho\" pr\u00edspevku, takpovediac r\u00fdchly preh\u013ead. A budeme sa sna\u017ei\u0165 nevstupova\u0165 do marketingov\u00fdch vojen, preto\u017ee nie sme dod\u00e1vate\u013e, ale iba syst\u00e9mov\u00fd integr\u00e1tor (aj ke\u010f m\u00e1me Check Point ve\u013emi radi) a jednoducho presk\u00famame hlavn\u00e9 aspekty bez ich porovn\u00e1vania s in\u00fdmi v\u00fdrobcami (ako Palo Alto, Cisco, Fortinet at\u010f.). \u010cl\u00e1nok sa uk\u00e1zal by\u0165 dos\u0165 obsiahly, zato odstra\u0148uje ve\u013ek\u00fa \u010das\u0165 ot\u00e1zok na za\u010diatku s Check Point. Ak v\u00e1s to zauj\u00edma, vitajte pod kat\u2026
\n<\/a><\/noindex>
\nUTM\/NGFW<\/b><\/p>\n

Ke\u010f za\u010d\u00edname rozhovor o Check Point, prv\u00e9, od \u010doho by sme mali za\u010da\u0165, je vysvetlenie, \u010do je UTM, NGFW a \u010d\u00edm sa l\u00ed\u0161ia. Urob\u00edme to ve\u013emi stru\u010dne, aby pr\u00edspevok nebol pr\u00edli\u0161 dlh\u00fd (mo\u017eno nesk\u00f4r sa na t\u00fato t\u00e9mu pozrieme trochu podrobnej\u0161ie)<\/p>\n

UTM \u2014 Unified Threat Management<\/b><\/p>\n

Ak to zjednodu\u0161\u00edme, podstata UTM spo\u010d\u00edva v konsolid\u00e1cii viacer\u00fdch ochrann\u00fdch prostriedkov do jedn\u00e9ho rie\u0161enia. T.j. v\u0161etko v jednej krabici alebo ak\u00fdsi all inclusive. \u010co sa rozumie pod \"viacer\u00fdmi ochrann\u00fdmi prostriedkami\"? Najbe\u017enej\u0161ia mo\u017enos\u0165 je: firewal, IPS, Proxy (filtrovanie URL), pr\u00fadov\u00fd antiv\u00edrus, anti-spam, VPN a tak \u010falej. Toto v\u0161etko sa sp\u00e1ja v r\u00e1mci jedn\u00e9ho UTM rie\u0161enia, \u010do je jednoduch\u0161ie z h\u013eadiska integr\u00e1cie, nastavenia, administr\u00e1cie a monitorovania, a to pozit\u00edvne vpl\u00fdva na celkov\u00fa bezpe\u010dnos\u0165 siete. Ke\u010f sa rie\u0161enia UTM len objavili, pova\u017eovali sa v\u00fdhradne pre mal\u00e9 firmy, preto\u017ee UTM sa nevyrovnali s ve\u013ek\u00fdmi objemami prev\u00e1dzky. Bolo to z dvoch d\u00f4vodov:<\/p>\n

    \n
  1. Sp\u00f4sob spracovania paketov. Prv\u00e9 verzie UTM rie\u0161en\u00ed spracov\u00e1vali pakety sekven\u010dne, ka\u017ed\u00fdm \u201cmodulom\u201d. Pr\u00edklad: najprv paket spracov\u00e1va firewall, potom IPS, pot\u00e9 ho kontroluje antiv\u00edrus a tak \u010falej. Samozrejme, tak\u00fdto mechanizmus sp\u00f4sobil v\u00e1\u017ene oneskorenia v prev\u00e1dzke a v\u00fdrazne m\u00ed\u0148al syst\u00e9mov\u00e9 zdroje (procesor, pam\u00e4\u0165).<\/li>\n
  2. Slab\u00fd \u201chardware\u201d. Ako bolo spomenut\u00e9 vy\u0161\u0161ie, sekven\u010dn\u00e9 spracovanie paketov silne zasahovalo do zdrojov a \u201chardware\u201d t\u00fdch \u010dias (1995-2005) jednoducho nezvl\u00e1dal ve\u013ek\u00fd prev\u00e1dzku.<\/li>\n<\/ol>\n

    \nAle pokrok nestoj\u00ed na mieste. Odvtedy sa v\u00fdrazne zv\u00fd\u0161ili hardv\u00e9rov\u00e9 kapacity a spracovanie paketov sa zmenilo (treba uzna\u0165, \u017ee nie u v\u0161etk\u00fdch dod\u00e1vate\u013eov) a umo\u017enilo prakticky s\u00fa\u010dasn\u00fa anal\u00fdzu v nieko\u013ek\u00fdch moduloch (M\u00c9, IPS, Antiv\u00edrus at\u010f.). Modern\u00e9 UTM rie\u0161enia dok\u00e1\u017eu \u201estr\u00e1vi\u0165\u201c desiatky a dokonca stovky gigabitov v re\u017eime hlbok\u00e9ho anal\u00fdzy, \u010do umo\u017e\u0148uje ich vyu\u017eitie v segmente ve\u013ek\u00e9ho podnikania alebo dokonca d\u00e1tov\u00fdch centier.<\/p>\n

    Ni\u017e\u0161ie je zn\u00e1my magick\u00fd kvadrant Gartnera pre UTM rie\u0161enia za august 2016:<\/p>\n

    \"Check
    \n
    \nNehcem pr\u00edli\u0161 komentova\u0165 tento obr\u00e1zok, len poviem, \u017ee v pravom hornom rohu sa nach\u00e1dzaj\u00fa l\u00eddri.<\/p>\n

    NGFW \u2014 Firewall novej gener\u00e1cie<\/b><\/p>\n

    N\u00e1zov hovor\u00ed s\u00e1m za seba \u2014 firewall novej gener\u00e1cie. Tento koncept sa objavil podstatne nesk\u00f4r ako UTM. Hlavn\u00e1 my\u0161lienka NGFW \u2014 hlbok\u00e1 anal\u00fdza paketov (DPI) pomocou zabudovan\u00e9ho IPS a rozde\u013eovanie pr\u00edstupu na \u00farovni aplik\u00e1ci\u00ed (Application Control). V tomto pr\u00edpade je IPS potrebn\u00fd na to, aby v toku paketov rozpoznal konkr\u00e9tnu aplik\u00e1ciu, \u010do umo\u017e\u0148uje jej povolenie alebo zak\u00e1zanie. Pr\u00edklad: M\u00f4\u017eeme povoli\u0165 pou\u017e\u00edvanie Skype, ale zak\u00e1za\u0165 prenos s\u00faborov. M\u00f4\u017eeme zak\u00e1za\u0165 pou\u017e\u00edvanie Torrentu alebo RDP. Podporuj\u00fa sa tie\u017e webov\u00e9 aplik\u00e1cie: M\u00f4\u017eeme povoli\u0165 pr\u00edstup na VK.com, ale zak\u00e1za\u0165 hry, spr\u00e1vy alebo prehr\u00e1vanie videa. V podstate kvalita NGFW z\u00e1vis\u00ed od po\u010dtu aplik\u00e1ci\u00ed, ktor\u00e9 dok\u00e1\u017ee identifikova\u0165. Mnoh\u00ed si myslia, \u017ee vznik pojmu NGFW bol oby\u010dajn\u00fdm marketingov\u00fdm \u0165ahom, na pozad\u00ed ktor\u00e9ho za\u010dala svoj b\u00farliv\u00fd rast spolo\u010dnos\u0165 Palo Alto.<\/p>\n

    Magick\u00fd kvadrant Gartnera pre NGFW za m\u00e1j 2016:<\/p>\n

    \"Check
    \n
    \nUTM vs NGFW<\/b><\/p>\n

    Ve\u013emi \u010dast\u00e1 ot\u00e1zka, \u010do je lep\u0161ie? Na t\u00fato ot\u00e1zku neexistuje jednozna\u010dn\u00e1 odpove\u010f. Obzvl\u00e1\u0161\u0165 ak zoh\u013eadn\u00edme fakt, \u017ee takmer v\u0161etky modern\u00e9 UTM rie\u0161enia obsahuj\u00fa funkciu NGFW a v\u00e4\u010d\u0161ina NGFW m\u00e1 funkcie, ktor\u00e9 s\u00fa vlastn\u00e9 UTM (antiv\u00edrus, VPN, anti-bot a pod.). Ako v\u017edy \u201ediabol sa skr\u00fdva v detailoch\u201c, preto je najprv potrebn\u00e9 ur\u010di\u0165, \u010do presne potrebujete, a stanovi\u0165 rozpo\u010det. Na z\u00e1klade t\u00fdchto rozhodnut\u00ed m\u00f4\u017eete vybra\u0165 nieko\u013eko mo\u017enost\u00ed. A v\u0161etky je potrebn\u00e9 jednozna\u010dne otestova\u0165, bez toho, aby ste verili marketingov\u00fdm materi\u00e1lom.<\/p>\n

    My sa vo svojom r\u00e1mci pok\u00fasime v nieko\u013ek\u00fdch \u010dl\u00e1nkoch prerozpr\u00e1va\u0165 o Check Point, ako ho mo\u017eno vysk\u00fa\u0161a\u0165 a \u010do v\u0161etko mo\u017eno vysk\u00fa\u0161a\u0165 (prakticky cel\u00fa funk\u010dnos\u0165).<\/p>\n

    Tri entity Check Point<\/b><\/p>\n

    Pri pr\u00e1ci s Check Pointom sa ur\u010dite stretnete s tromi zlo\u017ekami tohto produktu:<\/p>\n

    \"Check
    \n<\/p>\n

      \n
    1. Security Gateway (SG)<\/b> \u2014 vlastne samotn\u00fd bezpe\u010dnostn\u00fd br\u00e1na, ktor\u00e1 sa zvy\u010dajne umiest\u0148uje na obvod siete a pln\u00ed funkcie firewallu, streamov\u00e9ho antiv\u00edrusu, anti-bota, IPS a pod.<\/li>\n
    2. Security Management Server (SMS)<\/b> \u2014 server spr\u00e1vy br\u00e1n. Takmer v\u0161etky nastavenia na br\u00e1ne (SG) sa vykon\u00e1vaj\u00fa pomocou tohto servera. SMS m\u00f4\u017ee tie\u017e fungova\u0165 ako log-server a spracov\u00e1va\u0165 ich \u0432\u0441\u0442\u0440\u043e\u0435\u043d\u043d\u043e\u0439 system analysis and correlation events \u2014 Smart Event (podobn\u00e9 SIEM pre Check Point), ale o tom nesk\u00f4r. SMS sa pou\u017e\u00edva na centralizovan\u00fa spr\u00e1vu viacer\u00fdch br\u00e1n (po\u010det br\u00e1n z\u00e1vis\u00ed od modelu SMS alebo licencie), av\u0161ak mus\u00edte ho pou\u017e\u00edva\u0165, aj ke\u010f m\u00e1te len jednu br\u00e1nu. Treba poznamena\u0165, \u017ee Check Point boli jedni z prv\u00fdch, ktor\u00ed za\u010dali pou\u017e\u00edva\u0165 tak\u00fdto centralizovan\u00fd syst\u00e9m spr\u00e1vy, ktor\u00fd u\u017e cel\u00e9 roky uzn\u00e1vaj\u00fa za \u201ezlat\u00fd \u0161tandard\u201c pod\u013ea spr\u00e1v spolo\u010dnosti Gartner. Existuje dokonca vtip: \u201eKeby mal Cisco norm\u00e1lny syst\u00e9m spr\u00e1vy, Check Point by nikdy nevznikol.\u201c<\/li>\n
    3. Smart Console<\/b> \u2014 klientsky konzol na pripojenie k serveru spr\u00e1vy (SMS). Zvy\u010dajne sa in\u0161taluje na po\u010d\u00edta\u010d administr\u00e1tora. Skrze t\u00fato konzolu sa vykon\u00e1vaj\u00fa v\u0161etky zmeny na spr\u00e1vcovskom serveri, a a\u017e potom je mo\u017en\u00e9 aplikova\u0165 nastavenia na bezpe\u010dnostn\u00e9 br\u00e1ny (Install Policy).\n

      \"Check\n<\/li>\n<\/ol>\n

      \nOpera\u010dn\u00fd syst\u00e9m Check Point<\/b><\/p>\n

      Pokia\u013e hovor\u00edme o opera\u010dnom syst\u00e9me Check Point, m\u00f4\u017eeme si hne\u010f spomen\u00fa\u0165 tri: IPSO, SPLAT a GAIA.<\/p>\n

        \n
      1. IPSO<\/b> \u2014 opera\u010dn\u00fd syst\u00e9m spolo\u010dnosti Ipsilon Networks, ktor\u00fd patril spolo\u010dnosti Nokia. V roku 2009 ho k\u00fapila spolo\u010dnos\u0165 Check Point. U\u017e sa nerozv\u00edja.<\/li>\n
      2. SPLAT<\/b> \u2014 vlastn\u00fd v\u00fdvoj Check Point, zalo\u017een\u00fd na jadre RedHat. U\u017e sa nerozv\u00edja.<\/li>\n
      3. Gaia<\/b> \u2014 aktu\u00e1lny opera\u010dn\u00fd syst\u00e9m od spolo\u010dnosti Check Point, ktor\u00fd vznikol zl\u00fa\u010den\u00edm IPSO a SPLAT, pri\u010dom spojil to najlep\u0161ie z oboch. Objavil sa v roku 2012 a na\u010falej sa akt\u00edvne rozv\u00edja.<\/li>\n<\/ol>\n

        \nPokia\u013e ide o Gaio, treba poveda\u0165, \u017ee v s\u00fa\u010dasnosti je najroz\u0161\u00edrenej\u0161ia verzia R77.30. Relat\u00edvne ned\u00e1vno bola predstaven\u00e1 verzia R80, ktor\u00e1 sa z\u00e1sadne l\u00ed\u0161i od predch\u00e1dzaj\u00facej (\u010do sa t\u00fdka funk\u010dnosti aj spr\u00e1vy). T\u00e9ma ich rozdielov bude predmetom samostatn\u00e9ho pr\u00edspevku. E\u0161te jedna d\u00f4le\u017eit\u00e1 vec \u2014 v s\u00fa\u010dasnosti m\u00e1 certifik\u00e1t FSTEC iba verzia R77.10 a prebieha certifik\u00e1cia verzie R77.30.<\/p>\n

        Mo\u017enosti realiz\u00e1cie (Check Point Appliance, Virtu\u00e1lna stroj, OpenServer)<\/b><\/p>\n

        Tu nie je ni\u010d prekvapuj\u00face, ako mnoh\u00ed dod\u00e1vatelia, aj Check Point m\u00e1 nieko\u013eko variantov produktu:<\/p>\n

          \n
        1. Appliance<\/b> \u2014 softv\u00e9rovo-hardv\u00e9rov\u00e9 zariadenie, t.j. vlastn\u00fd hardv\u00e9r. Modelov je ve\u013emi ve\u013ea, ktor\u00e9 sa l\u00ed\u0161ia v\u00fdkonom, funk\u010dnos\u0165ou a realiz\u00e1ciou (s\u00fa varianty pre priemyseln\u00e9 siete).\n

          \"Check<\/li>\n

        2. Virtu\u00e1lna ma\u0161ina<\/b> \u2014 virtu\u00e1lna ma\u0161ina Check Point s OS Gaia. Podporuj\u00fa sa hyperv\u00edzory ESXi, Hyper-V, KVM. Licencuj\u00fa sa pod\u013ea po\u010dtu jadier procesora.<\/li>\n
        3. OpenServer<\/b> \u2014 in\u0161tal\u00e1cia Gaie priamo na server ako z\u00e1kladn\u00e9ho opera\u010dn\u00e9ho syst\u00e9mu (takzvan\u00fd \u201eBare metal\u201c). Podporuje sa iba ur\u010dit\u00e9 \u201ehardv\u00e9rov\u00e9\u201c vybavenie. Existuj\u00fa odpor\u00fa\u010dania pre tento hardv\u00e9r, ktor\u00e9 je potrebn\u00e9 dodr\u017eiava\u0165, inak m\u00f4\u017eu vznikn\u00fa\u0165 probl\u00e9my s ovl\u00e1da\u010dmi a technick\u00e1 podpora v\u00e1m m\u00f4\u017ee odmietnu\u0165 servis.<\/li>\n<\/ol>\n

          \nMo\u017enosti nasadenia (Distributed alebo Standalone)<\/b><\/p>\n

          Trochu vy\u0161\u0161ie sme u\u017e diskutovali o tom, \u010do je br\u00e1na (SG) a server spr\u00e1vy (SMS). Teraz sa pozrime na mo\u017enosti ich nasadenia. Existuj\u00fa dva hlavn\u00e9 sp\u00f4soby:<\/p>\n

            \n
          1. Standalone (SG+SMS)<\/b> \u2014 vo\u013eba, kedy sa br\u00e1na aj server spr\u00e1vy in\u0161taluj\u00fa v r\u00e1mci jedn\u00e9ho zariadenia (alebo virtu\u00e1lnej ma\u0161iny).\n

            \"Check
            \n
            \nTento variant je vhodn\u00fd, ke\u010f m\u00e1te iba jednu br\u00e1nu, ktor\u00e1 je m\u00e1lo za\u0165a\u017een\u00e1 pou\u017e\u00edvate\u013esk\u00fdm prenosom. Tento variant je najekonomickej\u0161\u00ed, preto\u017ee nie je potrebn\u00e9 kupova\u0165 server spr\u00e1vy (SMS). Av\u0161ak pri v\u00e1\u017enej\u0161om za\u0165a\u017een\u00ed br\u00e1ny m\u00f4\u017eete narazi\u0165 na \u201espomalenie\u201c syst\u00e9mu spr\u00e1vy. Preto je pred v\u00fdberom samostatn\u00e9ho rie\u0161enia najlep\u0161ie sa poradi\u0165 alebo dokonca otestova\u0165 tento variant.<\/p>\n<\/li>\n

          2. Distribuovan\u00e9<\/b> \u2014 server spr\u00e1vy sa in\u0161taluje samostatne od br\u00e1ny.\n

            \"Check
            \n
            \nOptim\u00e1lny variant z h\u013eadiska pohodlia a v\u00fdkonu. Pou\u017e\u00edva sa, ke\u010f je potrebn\u00e9 spravova\u0165 viacer\u00e9 br\u00e1ny naraz, napr\u00edklad centr\u00e1lnu a pobo\u010dn\u00e9. V tomto pr\u00edpade je potrebn\u00e9 zak\u00fapi\u0165 server spr\u00e1vy (SMS), ktor\u00fd m\u00f4\u017ee by\u0165 tie\u017e vo forme zariadenia (appliance) alebo virtu\u00e1ln\u00e9ho stroja.<\/li>\n<\/ol>\n

            \nAko som u\u017e spom\u00ednal vy\u0161\u0161ie, Check Point m\u00e1 vlastn\u00fd SIEM syst\u00e9m \u2014 Smart Event. Pou\u017ei\u0165 ho m\u00f4\u017eete iba v pr\u00edpade distribuovanej in\u0161tal\u00e1cie.<\/p>\n

            Prev\u00e1dzkov\u00e9 re\u017eimy (Bridge, Routed)<\/b>
            \nBezpe\u010dnostn\u00e1 br\u00e1na (SG) m\u00f4\u017ee pracova\u0165 v dvoch z\u00e1kladn\u00fdch re\u017eimoch:<\/p>\n