Halo, pamiarsa Habr! Ieu mangrupikeun blog perusahaan perusahaan . Kami mangrupikeun integrator sistem sareng khususna khusus dina solusi kaamanan infrastruktur IT (, ) jeung sistem analisis data mesin (). Urang bakal ngamimitian blog urang ku bubuka pondok pikeun téknologi Check Point.
Urang mikir pikeun lila ngeunaan naha éta patut nulis artikel ieu, sabab ... teu aya nu anyar dina eta nu teu bisa kapanggih dina Internet. Nanging, sanaos seueur inpormasi sapertos kitu, nalika damel sareng klien sareng mitra, urang sering ngadangu patarosan anu sami. Ku alatan éta, ieu mutuskeun pikeun nulis sababaraha jenis bubuka ka dunya téknologi Check Point sarta nembongkeun hakekat arsitektur solusi maranéhanana. Sareng sadaya ieu aya dina kerangka hiji pos "leutik", piknik gancang, janten nyarios. Leuwih ti éta, urang bakal coba teu meunang kana perang pamasaran, sabab ... Kami henteu ngajual, tapi ngan saukur integrator sistem (sanaos urang leres-leres cinta Check Point) sareng ngan saukur bakal ningali titik-titik utama tanpa ngabandingkeunana sareng pabrik anu sanés (sapertos Palo Alto, Cisco, Fortinet, jsb.). Tulisan tétéla rada panjang, tapi nyertakeun kalolobaan patarosan dina tahap familiarization sareng Check Point. Upami anjeun kabetot, teras wilujeng sumping ka ucing ...
UTM/NGFW
Nalika ngamimitian paguneman ngeunaan Check Point, tempat anu munggaran pikeun ngamimitian nyaéta kalayan panjelasan naon UTM sareng NGFW sareng kumaha bédana. Kami bakal ngalakukeun ieu sacara ringkes supados tulisanna henteu panjang teuing (panginten ka hareup urang bakal nganggap masalah ieu langkung rinci)
UTM - Manajemén Ancaman Ngahijikeun Tatar
Pondokna, hakekat UTM nyaéta konsolidasi sababaraha alat kaamanan dina hiji solusi. Jelema. sagalana dina hiji kotak atawa sababaraha jenis sadayana inklusif. Naon anu dimaksud "multiple remedies"? Pilihan anu paling umum nyaéta: Firewall, IPS, Proxy (filter URL), streaming Antivirus, Anti Spam, VPN sareng saterasna. Sadaya ieu digabungkeun dina hiji solusi UTM, anu langkung gampang dina hal integrasi, konfigurasi, administrasi sareng ngawaskeun, sareng ieu ogé ngagaduhan pangaruh anu positif kana kaamanan jaringan. Nalika solusi UTM mimiti muncul, aranjeunna dianggap sacara éksklusif pikeun perusahaan leutik, sabab ... UTM teu tiasa ngadamel lalu lintas anu ageung. Ieu kusabab dua alesan:
- Métode ngolah pakét. Versi mimiti solusi UTM ngolah pakét sacara berurutan, unggal "modul". Conto: mimitina pakét diolah ku firewall, teras IPS, teras di-scan ku Anti-Virus, sareng saterasna. Alami, mékanisme sapertos ngawanohkeun reureuh serius dina lalulintas sarta greatly dikonsumsi sumberdaya sistem (processor, memori).
- hardware lemah. Sakumaha didadarkeun di luhur, ngolah sequential pakét greatly dikonsumsi sumberdaya jeung hardware jaman eta (1995-2005) ngan saukur teu bisa Cope jeung lalulintas badag.
Tapi kamajuan teu nangtung kénéh. Saprak harita, kapasitas hardware geus ngaronjat sacara signifikan, sarta ngolah pakét geus robah (eta kudu ngaku yen teu sakabeh ngical paralatan gaduh eta) sarta mimiti ngidinan analisis ampir simultaneous dina sababaraha modul sakaligus (kuring, IPS, AntiVirus, jsb). Solusi UTM modéren tiasa "nyerna" puluhan bahkan ratusan gigabit dina modeu analisa jero, anu ngamungkinkeun aranjeunna dianggo dina bagéan usaha ageung atanapi bahkan pusat data.
Di handap ieu mangrupikeun Gartner Magic Quadrant anu kasohor pikeun solusi UTM pikeun Agustus 2016:
Kuring moal mairan teuing dina gambar ieu, Kuring ngan bakal nyebutkeun yén pamingpin aya di pojok katuhu luhur.
NGFW - Next Generation firewall
Ngaranna speaks for sorangan - firewall generasi saterusna. Konsep ieu mucunghul leuwih engké ti UTM. Gagasan utama NGFW nyaéta analisis pakét jero (DPI) nganggo IPS anu diwangun sareng kontrol aksés dina tingkat aplikasi (Application Control). Dina hal ieu, IPS persis naon anu diperlukeun pikeun ngaidentipikasi ieu atawa éta aplikasi dina aliran pakét, nu ngidinan Anjeun pikeun ngidinan atawa mungkir. Conto: Urang tiasa ngijinkeun Skype damel, tapi ngalarang transfer file. Urang tiasa ngalarang panggunaan Torrent atanapi RDP. Aplikasi wéb ogé dirojong: Anjeun tiasa ngijinkeun aksés ka VK.com, tapi nyaram kaulinan, pesen atanapi nonton video. Intina, kualitas NGFW gumantung kana jumlah aplikasi anu tiasa dideteksi. Loba yakin yén mecenghulna konsép NGFW éta ploy pamasaran umum ngalawan backdrop nu parusahaan Palo Alto mimiti tumuwuh gancang na.
Gartner Magic Quadrant pikeun NGFW pikeun Méi 2016:
UTM vs NGFW
Patarosan anu paling umum nyaéta, mana anu langkung saé? Henteu aya jawaban anu pasti di dieu sareng henteu tiasa. Utamana tempo kanyataan yén ampir sakabéh solusi UTM modern ngandung pungsionalitas NGFW sarta lolobana NGFWs ngandung fungsi alamiah pikeun UTM (Antivirus, VPN, Anti-Bot, jsb). Sakumaha biasa, "Iblis aya dina detil," janten mimitina anjeun kedah mutuskeun naon anu anjeun peryogikeun khusus sareng mutuskeun anggaran anjeun. Dumasar kaputusan ieu, sababaraha pilihan tiasa dipilih. Jeung sagalana perlu diuji unambiguously, tanpa percanten bahan pamasaran.
Kami, kahareupna dina kerangka sababaraha tulisan, bakal nyobian nyarioskeun ngeunaan Check Point, kumaha anjeun tiasa nyobian sareng naon, prinsipna, anjeun tiasa nyobian (ampir sadayana fungsionalitas).
Tilu Cék Point Éntitas
Nalika damel sareng Check Point, anjeun pasti bakal mendakan tilu komponén produk ieu:
- Gerbang Kaamanan (SG) - gateway kaamanan sorangan, nu biasana dipasang dina perimeter jaringan sarta ngalaksanakeun fungsi firewall a, streaming antipirus, antibot, IPS, jsb.
- Server Manajemén Kaamanan (SMS) - server manajemén gateway. Ampir kabéh setélan dina gateway (SG) dipigawé maké server ieu. SMS ogé tiasa janten Log Server sareng ngolahna kalayan analisa acara sareng sistem korélasi anu diwangun - Smart Event (sarupa sareng SIEM pikeun Check Point), tapi langkung seueur ngeunaan éta engké. SMS dipaké pikeun manajemén terpusat sababaraha gateways (jumlah gateways gumantung kana model SMS atawa lisénsi), tapi anjeun kudu make eta sanajan anjeun boga ngan hiji gateway. Perlu dicatet di dieu yén Check Point mangrupikeun salah sahiji anu munggaran ngagunakeun sistem manajemen terpusat sapertos kitu, anu parantos diakuan salaku "standar emas" numutkeun laporan Gartner mangtaun-taun berturut-turut. Malah aya lulucon: "Upami Cisco ngagaduhan sistem manajemén normal, maka Check Point moal pernah muncul."
- Konsol pinter - konsol klien pikeun nyambungkeun ka server manajemén (SMS). Biasana dipasang dina komputer administrator. Kabéh parobahan dina server manajemén dijieun ngaliwatan konsol ieu, sarta sanggeus éta anjeun bisa nerapkeun setélan kana gateways kaamanan (Pasang Sarat jeung Kaayaan).
Sistem Operasi Check Point
Ngomong ngeunaan sistem operasi Check Point, urang tiasa ngelingan tilu sakaligus: IPSO, SPLAT sareng GAIA.
- IPSO - sistem operasi Ipsilon Networks, nu milik Nokia. Dina 2009, Check Point meuli bisnis ieu. Henteu mekar deui.
- SPLAT - Parios pamekaran Point sorangan, dumasar kana kernel RedHat. Henteu mekar deui.
- gaia - sistem operasi ayeuna ti Check Point, nu mucunghul salaku hasil tina ngahiji IPSO na SPLAT, incorporating sagala pangalusna. Éta muncul dina 2012 sareng terus aktip ngembangkeun.
Diomongkeun ngeunaan Gaia, eta kudu ngomong yén dina momen versi paling umum nyaéta R77.30. Relatif anyar mucunghul versi R80, nu béda signifikan ti saméméhna (duanana dina watesan pungsionalitas jeung kontrol). Urang bakal bakti pos misah kana topik béda maranéhanana. titik penting sejen nyaeta ayeuna ngan versi R77.10 boga sertipikat FSTEC, sarta versi R77.30 keur Certified.
Pilihan palaksanaan (Check Point Appliance, mesin virtual, OpenServer)
Henteu aya anu héran di dieu, sapertos seueur padagang, Check Point ngagaduhan sababaraha pilihan produk:
- parabot - hardware jeung software alat, i.e. sorangan "sapotong beusi". Aya seueur model anu béda dina pagelaran, fungsionalitas sareng desain (aya pilihan pikeun jaringan industri).
- maya Mesin - Mesin virtual Check Point sareng Gaia OS. Hypervisors ESXi, Hyper-V, KVM dirojong. Dilisensikeun ku jumlah inti prosesor.
- OpenServer — masang Gaia langsung dina server salaku sistem operasi utama (nu disebut "Bare metal"). Ngan hardware tangtu dirojong. Aya saran pikeun hardware ieu anu kedah diturutan, upami henteu masalah sareng supir sareng alat téknis tiasa timbul. rojongan bisa nolak jasa anjeun.
Pilihan palaksanaan (Distribusi atanapi Mandiri)
A saeutik luhur kami geus dibahas naon gateway (SG) jeung server manajemén (SMS). Ayeuna hayu urang bahas pilihan pikeun palaksanaan maranéhanana. Aya dua cara utama:
- Mandiri (SG+SMS) - pilihan nalika gateway sareng server manajemén dipasang dina hiji alat (atanapi mesin virtual).
Pilihan ieu cocog lamun anjeun ngan boga hiji gateway nu enteng dieusian ku lalulintas pamaké. Pilihan ieu paling ekonomis, sabab ... teu perlu meuli server manajemén (SMS). Sanajan kitu, lamun gateway ieu beurat dimuat, Anjeun bisa mungkas nepi ka sistem kontrol "slow". Ku alatan éta, saméméh milih solusi Mandiri, éta pangalusna konsultasi atawa malah nguji pilihan ieu. - Disebarkeun - server manajemén dipasang misah ti gateway nu.
Pilihan pangalusna dina hal genah tur kinerja. Dipaké nalika perlu pikeun ngatur sababaraha gateways sakaligus, contona sentral jeung cabang. Dina hal ieu, anjeun kedah mésér server manajemén (SMS), anu ogé tiasa dina bentuk alat atanapi mesin virtual.
Sakumaha anu kuring nyarios di luhur, Check Point gaduh sistem SIEM sorangan - Acara Smart. Anjeun tiasa make eta ngan dina kasus instalasi Distributed.
Modeu operasi (Sasak, Rute)
The Security Gateway (SG) tiasa beroperasi dina dua modeu utama:
- Dijalankeun - pilihan paling umum. Dina hal ieu, gateway dipaké salaku hiji alat L3 sarta lalulintas ruteu ngaliwatan sorangan, i.e. Check Point mangrupikeun gerbang standar pikeun jaringan anu ditangtayungan.
- jambatan - modeu transparan. Dina hal ieu, gateway dipasang salaku "sasak" biasa na ngaliwatan lalulintas di tingkat kadua (OSI). Pilihan ieu biasana dianggo nalika teu aya kamungkinan (atanapi kahayang) pikeun ngarobih infrastruktur anu tos aya. Anjeun sacara praktis henteu kedah ngarobih topologi jaringan sareng henteu kedah mikir ngeunaan ngarobih alamat IP.
Abdi hoyong perhatikeun yén dina modeu Bridge aya sababaraha watesan dina hal fungsionalitas, janten kami, salaku integrator, mamatahan sadaya klien kami nganggo mode Routed, tangtosna, upami mungkin.
Pariksa Point Software wilah
Kami ampir ngahontal topik anu paling penting tina Check Point, anu nyababkeun seueur patarosan diantara para nasabah. Naon ieu "wilah software"? Wilah ngarujuk kana pungsi Check Point anu tangtu.
Pungsi ieu tiasa dihurungkeun atanapi pareum gumantung kana kabutuhan anjeun. Dina waktos anu sami, aya wilah anu diaktipkeun sacara éksklusif dina gateway (Network Security) sareng ngan dina server manajemén. Gambar di handap ieu nunjukkeun conto pikeun dua kasus:
1) Pikeun Kaamanan Jaringan (fungsi gateway)
Hayu urang ngajelaskeun sakeudeung, sabab ... unggal sabeulah pantes artikel sorangan.
- Firewall - fungsionalitas firewall;
- IPSec VPN - ngawangun jaringan virtual pribadi;
- Aksés Mobile - aksés jauh tina alat sélulér;
- IPS - sistem pencegahan intrusion;
- Anti-Bot - panyalindungan ngalawan jaringan botnet;
- AntiVirus - antipirus streaming;
- AntiSpam & Email Kaamanan - panyalindungan email perusahaan;
- Kasadaran Idéntitas - integrasi sareng jasa Active Directory;
- Ngawaskeun - ngawaskeun ampir sadaya parameter gateway (beban, rubakpita, status VPN, jsb.)
- Kontrol Aplikasi - firewall tingkat aplikasi (fungsi NGFW);
- Nyaring URL - Kaamanan wéb (+fungsi proxy);
- Pencegahan Leungitna Data - panyalindungan ngalawan bocor inpormasi (DLP);
- Anceman Emulation - téhnologi sandbox (SandBox);
- Ekstraksi Ancaman - téhnologi beberesih file;
- QoS - prioritization lalulintas.
Dina ngan sababaraha artikel urang bakal nyandak katingal lengkep dina Ancaman Emulation jeung Ancaman ékstraksi wilah, Kuring yakin eta bakal metot.
2) Pikeun Manajemén (kontrol fungsionalitas server)
- Manajemén Kawijakan Jaringan - manajemén kawijakan terpusat;
- Manajemén Kawijakan Endpoint - manajemén terpusat agén Check Point (enya, Check Point ngahasilkeun solusi henteu ngan ukur pikeun panyalindungan jaringan, tapi ogé pikeun ngajagi workstations (PC) sareng smartphone);
- Logging & Status - kempelan terpusat jeung ngolah log;
- Portal Manajemén - manajemén kaamanan tina browser;
- Workflow - kontrol kana parobahan kawijakan, Inok parobahan, jsb;
- Diréktori Pamaké - integrasi sareng LDAP;
- Provisioning - automation manajemén gateway;
- Smart Reporter - sistem ngalaporkeun;
- Acara Smart - analisa sareng korelasi kajadian (SIEM);
- Patuh - otomatis pariksa setelan sareng ngadamel saran.
Kami moal nganggap masalah lisénsi sacara rinci ayeuna, supados henteu ngambekan tulisan sareng henteu ngalieurkeun pamaca. Paling dipikaresep urang bakal masangkeun ieu dina pos misah.
Arsitéktur wilah ngamungkinkeun anjeun ngan ukur nganggo fungsi anu anjeun peryogikeun, anu mangaruhan anggaran solusi sareng kinerja alat. Éta logis yén beuki wilah Anjeun ngaktipkeun, nu kirang lalulintas anjeun bisa "ngaliwatan". Éta pisan sababna naha tabel kinerja di handap ieu napel unggal model Check Point (urang nyokot ciri model 5400 salaku conto):
Sakumaha anjeun tiasa tingali, aya dua kategori tés di dieu: dina lalulintas sintétik jeung lalulintas nyata - dicampur. Sacara umum, Check Point ngan saukur kapaksa nyebarkeun tés sintétik, sabab ... sababaraha ngical paralatan ngagunakeun tés sapertos tolok ukur, tanpa examining kinerja solusi maranéhanana dina lalulintas nyata (atawa ngahaja nyumputkeun data misalna alatan alam unsatisfactory maranéhna).
Dina unggal jinis tés, anjeun tiasa perhatikeun sababaraha pilihan:
- tés ngan pikeun firewall;
- Tés firewall + IPS;
- Firewall + IPS + NGFW (kontrol aplikasi) test;
- nguji Firewall+Application Control+URL Filtering+IPS+Antivirus+Anti-Bot+SandBlast (sandbox)
Tingali taliti dina parameter ieu lamun milih solusi Anjeun, atawa kontak .
Jigana ieu tempat urang bisa rengse artikel bubuka dina téhnologi Check Point. Salajengna, urang bakal ningali kumaha anjeun tiasa nguji Check Point sareng cara nungkulan ancaman kaamanan inpormasi modern (virus, phishing, ransomware, zero-day).
PS Hiji titik penting. Sanajan asal asing na (Israél), solusi ieu Certified di Féderasi Rusia ku otoritas pangaturan, nu otomatis legalizes ayana di lembaga pamaréntah (komentar ku ).
Ngan pamaké nu kadaptar bisa ilubiung dina survey. , Punten.
Alat UTM/NGFW naon anu anjeun anggo?
-
Pariksa Point
-
Cisco Firepower
-
Fortinet
-
Palo Alto
-
Sophos
-
Dell SonicWALL
-
Huawei
-
Pangawas
-
Juniper
-
UserGate
-
Inspektur lalulintas
-
Rubicon
-
Ideco
-
Solusi OpenSource
-
nu lain
134 pamaké milih. 78 pamaké abstained.
sumber: www.habr.com