🥇13. Check Point Pričetek dela R80.20. Licenciranje

Pozdravljam vas, prijatelji! Napokon smo stigli do posljednje zaključne lekcije Check Point Uvod. Danas ćemo razgovarati o veoma važnoj temi — Licenciranje. Moram vas upozoriti da ova lekcija nije iscrpan vodič za odabir opreme ili licenci. Ovo je samo kratak sažetak ključnih tačaka koje bi svaki administrator Check Point trebao znati. Ako se zaista mučite s odabirom licence ili uređaja, najbolje je obratiti se profesionalcima, tj. nama :). Ima mnogo skrivenih zamki koje je veoma teško obuhvatiti u okviru kursa, a ni zapamtiti to odmah nije lako.
Naša lekcija će biti potpuno teoretska, možete isključiti svoje testne servere i opustiti se. Na kraju članka naći ćete video lekciju u kojoj detaljnije objašnjavam sve

Licenciranje uređaja

Počnimo s opisom licencnih karakteristika sigurnosnih uređaja. Ovo se odnosi i na fizičke uređaje i na virtuelne instance. Recimo da ste odlučili kupiti uređaj. Kupovina običnog uređaja ili virtuelne instance bez „pretplata“ — nije moguća! Postoje tri opcije pretplata:

I sada prva zanimljiva karakteristika! Uređaj ili virtuelnu instancu možete kupiti samo s pretplatama NGTP ili NGTX. No, kada budete obnavljali svoju pretplatu, tada ćete moći izabrati paket NGFW, u slučaju da vam ne trebaju AV, AB, URL, AS, TE i TX moduli. Ovo je bitno. Samo pretplate možete kupiti na godinu, dvije ili tri godine.

Mogu pretpostaviti vaše prvo pitanje! "Šta će se desiti ako ne obnovim pretplatu?" Posebno sam istakao zelenom bojom one module koji će raditi UVEK, i BEZ obnove. Takozvani perpetual moduli. Ostatak modula koji zahtijevaju stalne nadogradnje jednostavno prestaju raditi. Osim možda za IPS, ključne potpisne informacije će ostati aktivne (ali ih je vrlo malo). Ovo važi i za fizičke uređaje i za virtuelne instance, tj. vSec.

Kao poseban deo, istakao sam tri modula koja nisu uključena u nijedan paket, to su: DLP, MAB i Capsule.

Također, imajte na umu da ako kupujete klaster rješenje, kao drugo uređaj odaberite model sa sufiksom HA (tj. High Availability). Na slici je dat primjer za uređaj 5400. To se odnosi na uređaje. Sada o serveru za upravljanje.

Licenciranje servera za upravljanje

Kot smo že omenili v prvih lekcijah, obstajata dva scenarija uvajanja Check Point: Samostojni (kadar sta tako prehod kot upravljanje na eni napravi) in Distribuirani (kadar se upravljalni strežnik premakne na ločeno napravo). Vendar možnosti na tem ne končajo. Oglejmo si tri tipične scenarije uvajanja upravljalnega strežnika:

Nakup namenskega NGSM. Najbolj priljubljena možnost. Izberete bodisi napravo Smart-1 bodisi virtualno različico. Seveda izberete glede na število prehodov, ki jih boste upravljali, 5, 10, 25 itd. Po postavitvi te naprave lahko uporabljate štiri ključne blade upravljalnega strežnika: NPM (tj. upravljanje s politikami), Logging and Status (tj. beleženje), Smart Event (SIEM od Check Point, ki nam nudi vse poročanje) in Compliance (to je ocena kakovosti nastavitev, bodisi v skladu z regulativnimi zahtevami, kot je PCI DSS, ali preprosto z najboljšimi praksami). Očitno je, da sta blade NPM in LS stalni bladi, kar pomeni, da bosta delovala tudi brez podaljševanja naročnin, medtem ko sta blade Smart Event in Compliance vključeni le v prvem letu! Kasneje jih je treba podaljšati za dodatno plačilo. To je pomembna točka, ne pozabite. In če lahko še nekako živite brez blade Compliance, pa Smart Event potrebujete prav vsi.
Nakup namenskega strežnika za upravljanje dogodkov V DODATKU k obstoječemu strežniku upravljanju NGSM. Zakaj je to potrebno? Dejstvo je, da funkcionalnost beleženja in še posebej Smart Event porabi precejšnje sistemske vire. In če je dnevnikov precej, to lahko vodi do “upadov” na strežnikom upravljanju. Zato je pogosto praksa premakniti to funkcionalnost na ločeno napravo, bodisi napravo Smart-1 bodisi virtualno različico. Velike integracije z velikim številom dnevnikov skoraj vedno zahtevajo namenski strežnik za Smart Event. Ta lahko sprejema dnevnike. Tako bo vaš upravljalni strežnik opravljal le funkcije upravljanja. To znatno povečuje stabilnost in odzivnost sistema. Kot lahko opazite, ob nakupu namenskega strežnika za Smart Event dobite ti dve bladi za stalno uporabo, tudi brez podaljšanja. V obdobju 3-4 let bo to celo gospodarsko bolj ugodno kot pa vsako leto kupovati podaljšanja Smart Event za običajni NGSM strežnik.
Namenski strežnik za upravljanje dnevnikov, ki se dopolnjuje z NGSM in Smart Event strežniki. Smisel mislim, da je jasen. Pri ZELENEM velikem številu logov lahko funkcijo beleženja prestavimo na ločen strežnik. Dodeljen Log strežnik ima prav tako stalno licenco in ne zahteva podaljšanja.