7 (800) 600-76-91
Остались вопросы?
С удовольствием ответим на них в ближайшее время!
Настройки cookie
Check Point
Что это, с чем его едят или коротко о главном
20 МАРТА 2017
Check Point Security
Несмотря на обилие информации в сети Интернет, мы довольно часто сталкиваемся с одними и теми же вопросами от наших клиентов и партнеров. Поэтому мы решили написать статью-введение в мир технологий Check Point, раскрыть суть его архитектуре и в целом провести для вас быстрый экскурс. Если это актуальная тема для вас, продолжайте читать.
UTM/NGFW
Итак, говоря о Check Point, стоит разобраться, что такое UTM и NGFW и в чем их различия.
UTM — Unified Threat Management
UTM представляет собой консолидацию нескольких средств защиты в одном решении. Проще говоря, это своего рода all inclusive. Что включают в себя эти "несколько средств защиты"? Как правило, это: межсетевой экран, IPS, Proxy (URL фильтрация), потоковый Antivirus, Anti-Spam, VPN и так далее. Все эти элементы объединены в одном UTM решении, что упрощает процесс интеграции, настройки, администрирования и мониторинга, а это в свою очередь положительно влияет на общую защищенность сети.
Изначально UTM решения рассматривались исключительно для небольших компаний, т.к. не справлялись с большими объемами трафика.
Это происходило по следующим причинам:
UTM/NGFW
Итак, говоря о Check Point, стоит разобраться, что такое UTM и NGFW и в чем их различия.
UTM — Unified Threat Management
UTM представляет собой консолидацию нескольких средств защиты в одном решении. Проще говоря, это своего рода all inclusive. Что включают в себя эти "несколько средств защиты"? Как правило, это: межсетевой экран, IPS, Proxy (URL фильтрация), потоковый Antivirus, Anti-Spam, VPN и так далее. Все эти элементы объединены в одном UTM решении, что упрощает процесс интеграции, настройки, администрирования и мониторинга, а это в свою очередь положительно влияет на общую защищенность сети.
Изначально UTM решения рассматривались исключительно для небольших компаний, т.к. не справлялись с большими объемами трафика.
Это происходило по следующим причинам:
- Способ обработки пакетов. В первых версиях UTM решений была последовательная обработка. Пример: сначала пакет обрабатывается межсетевым экраном, затем IPS, потом его проверяет Антивирус и так далее. Причиной серьезных задержек в трафике и высокий расход ресурсов системы (процессор, память) было использование такого механизма.
- Слабое "железо". "Железо" тех времен (1995-2005) не справлялось с большим трафиком, особенно с учетом того, что последовательная обработка пакетов сильно отъедала ресурсы.
Квадрант Гартнера для UTM решений за август 2016 года (лидеры находятся в правом верхнем углу):
NGFW — Next Generation Firewall
NGFW — это межсетевой экран следующего поколения. Основная идея NGFW заключается в глубоком анализе пакетов (DPI) c помощью встроенного IPS и разграничении доступа на уровне приложений (Application Control). Для выявления в потоке пакетов определенного приложения необходим IPS, чтобы разрешить или запретить его. Пример: Мы можем разрешить работу Skype, но запретить передачу файлов. Можем запретить использовать Torrent или RDP. Также поддерживаются веб-приложения: Можно разрешить доступ к VK.com, но запретить игры, сообщения или просмотр видео. Качество NGFW зависит от того, какое количество приложений он может определять. Многие считают, что появление понятия NGFW было обычным маркетинговым ходом, на фоне которого начала свой бурный рост компания Palo Alto.
NGFW — это межсетевой экран следующего поколения. Основная идея NGFW заключается в глубоком анализе пакетов (DPI) c помощью встроенного IPS и разграничении доступа на уровне приложений (Application Control). Для выявления в потоке пакетов определенного приложения необходим IPS, чтобы разрешить или запретить его. Пример: Мы можем разрешить работу Skype, но запретить передачу файлов. Можем запретить использовать Torrent или RDP. Также поддерживаются веб-приложения: Можно разрешить доступ к VK.com, но запретить игры, сообщения или просмотр видео. Качество NGFW зависит от того, какое количество приложений он может определять. Многие считают, что появление понятия NGFW было обычным маркетинговым ходом, на фоне которого начала свой бурный рост компания Palo Alto.
Магический квадрант Гартнера для NGFW за май 2016
UTM vs NGFW
Один из самых часто задаваемых вопросов – что лучше, UTM или NGFW?
С учетом того, что почти все современные UTM решения содержат функционал NGFW, а большинство NGFW содержат функции присущие UTM (Antivirus, VPN, Anti-Bot и т.д.), нельзя дать однозначный ответ. Поэтому необходимо определить, что необходимо именно Вам, а также каков Ваш бюджет. На основе этого можно выбрать несколько вариантов и, невзирая на маркетинговые войны, всё необходимо тестировать.
В рамках серии статей мы расскажем про Check Point, как его можно попробовать и что именно можно попробовать (практически весь функционал).
Один из самых часто задаваемых вопросов – что лучше, UTM или NGFW?
С учетом того, что почти все современные UTM решения содержат функционал NGFW, а большинство NGFW содержат функции присущие UTM (Antivirus, VPN, Anti-Bot и т.д.), нельзя дать однозначный ответ. Поэтому необходимо определить, что необходимо именно Вам, а также каков Ваш бюджет. На основе этого можно выбрать несколько вариантов и, невзирая на маркетинговые войны, всё необходимо тестировать.
В рамках серии статей мы расскажем про Check Point, как его можно попробовать и что именно можно попробовать (практически весь функционал).
Три сущности Check Point
Check Point имеет три основные составляющие:
Check Point имеет три основные составляющие:
- Security Gateway (SG) — шлюз безопасности, который обычно ставится на периметр сети и выполняет функции межсетевого экрана, потокового антивируса, антибота, IPS и т.д.
- Security Management Server (SMS) — сервер управления шлюзами. С помощью данного сервера выполняются практически все настройки на шлюзе (SG). В качестве Лог-сервера может выступать SMS, способный обрабатывать их встроенной системой анализа и корреляции событий — Smart Event (подобие SIEM для Check Point). SMS используется для централизованного управления несколькими шлюзами (кол-во определяется моделью (лицензией) SMS), тем не менее, Вы обязаны использовать его, даже если у вас всего один шлюз. Подобную централизованную систему управления, признанную "золотым стандартом" (по отчетам компании Gartner), Check Point стали применять одни из первых. Есть даже шутка: "Если у бы Cisco была нормальная система управления, то Check Point бы никогда не появился".
- Smart Console — клиентская консоль для подключения к серверу управления (SMS). Все изменения на сервере и применение настроек к шлюзам безопасности (Install Policy) осуществляются через данную консоль. Консоль, как правило, устанавливается на компьютер администратора.
Операционная система Check Point
Говоря об операционной системе Check Point можно обозначить три аспекта: IPSO, SPLAT и GAIA.
Варианты исполнения (Check Point Appliance, Virtual machine, OpenSerever)
Как и многие вендоры Check Point имеет несколько вариантов исполнения продукта:
Говоря об операционной системе Check Point можно обозначить три аспекта: IPSO, SPLAT и GAIA.
- IPSO — операционная система компании Ipsilon Networks, которая принадлежала компании Nokia. В 2009 года Check Point купила этот бизнес. Больше не развивается.
- SPLAT — основанная на ядре RedHat собственная разработка Check Point. Больше не развивается.
- Gaia — актуальная операционная система от Check Point, появившаяся в результате слияния IPSO и SPLAT. Появилась в 2012 году и продолжает активно развиваться.
Варианты исполнения (Check Point Appliance, Virtual machine, OpenSerever)
Как и многие вендоры Check Point имеет несколько вариантов исполнения продукта:
- Appliance — программно-аппаратное устройство ("железка"). Многообразие моделей различных по производительности, функционалу и исполнению (есть варианты для промышленных сетей).
- Virtual Machine — виртуальная машина Check Point с ОС Gaia. Поддерживаются гипервизоры ESXi, Hyper-V, KVM, лицензируются по количеству ядер процессора.
- OpenServer — установка Gaia непосредственно на сервер в качестве основной операционной системы (так называемый "Bare metal"). Поддерживается только определенное "железо". По этому «железу» есть определенные рекомендации, которые необходимо соблюдать, чтобы избежать проблем с драйверами и чтобы тех. поддержка не отказала Вам в обслуживании.
Варианты внедрения (Distributed или Standalone)
Ранее мы обсудили, что такое шлюз (SG) и сервер управления (SMS). Теперь разберем варианты их внедрения. Существует два основных способа:
1. Standalone (SG+SMS) — вариант, при котором шлюз и сервер управления устанавливаются в рамках одного устройства (или виртуальной машины). Этот способ актуален, если у Вас всего один шлюз, который слабо нагружен пользовательским трафиком. Такой вариант наиболее экономичен, т.к. нет необходимости покупать сервер управления (SMS). Однако при серьезной нагрузке шлюза Вы можете получить "тормозящую" систему управления. Поэтому перед выбором Standalone решения лучше всего проконсультироваться или даже протестировать данный вариант.
2. Distributed — отдельная установка сервера управления отдельно от шлюза. Данный вариант оптимален в плане удобства и производительности, используется в случае необходимости управления сразу несколькими шлюзами (например, центральным и филиальными). Для реализации такого варианта требуется покупка сервера управления (SMS), который также может быть в виде appliance (железки) или виртуальной машины.
Собственную SIEM систему Check Point — Smart Event – можно использовать только в случае Distributed установки.
Ранее мы обсудили, что такое шлюз (SG) и сервер управления (SMS). Теперь разберем варианты их внедрения. Существует два основных способа:
1. Standalone (SG+SMS) — вариант, при котором шлюз и сервер управления устанавливаются в рамках одного устройства (или виртуальной машины). Этот способ актуален, если у Вас всего один шлюз, который слабо нагружен пользовательским трафиком. Такой вариант наиболее экономичен, т.к. нет необходимости покупать сервер управления (SMS). Однако при серьезной нагрузке шлюза Вы можете получить "тормозящую" систему управления. Поэтому перед выбором Standalone решения лучше всего проконсультироваться или даже протестировать данный вариант.
2. Distributed — отдельная установка сервера управления отдельно от шлюза. Данный вариант оптимален в плане удобства и производительности, используется в случае необходимости управления сразу несколькими шлюзами (например, центральным и филиальными). Для реализации такого варианта требуется покупка сервера управления (SMS), который также может быть в виде appliance (железки) или виртуальной машины.
Собственную SIEM систему Check Point — Smart Event – можно использовать только в случае Distributed установки.
Режимы работы (Bridge, Routed)
Шлюз безопасности (SG) может работать в двух основных режимах:
• Routed — наиболее распространенный вариант. В этом случае шлюз используется как L3 устройство и маршрутизирует трафик через себя, т.е. Check Point является шлюзом по умолчанию для защищаемой сети.
• Bridge — прозрачный режим. В этом случае шлюз устанавливается как обычный "мост" и пропускает через себя трафик на втором уровне (OSI). Такой вариант актуален, если нет возможности (или желания) изменить уже существующую инфраструктуру. В таком случае нет необходимости менять топологию сети и менять IP — адресации.
В Bridge режиме есть определенные ограничения по функционалу, поэтому мы как интегратор советуем всем своим клиентам использовать, по возможности, именно Routed режим.
Программные блейды (Check Point Software Blades)
Одна из самых основных тем, вызывающих многочисленные вопросы наших клиентов – это программные блейды.
Под блейдами подразумеваются определенные функции Check Point.
Шлюз безопасности (SG) может работать в двух основных режимах:
• Routed — наиболее распространенный вариант. В этом случае шлюз используется как L3 устройство и маршрутизирует трафик через себя, т.е. Check Point является шлюзом по умолчанию для защищаемой сети.
• Bridge — прозрачный режим. В этом случае шлюз устанавливается как обычный "мост" и пропускает через себя трафик на втором уровне (OSI). Такой вариант актуален, если нет возможности (или желания) изменить уже существующую инфраструктуру. В таком случае нет необходимости менять топологию сети и менять IP — адресации.
В Bridge режиме есть определенные ограничения по функционалу, поэтому мы как интегратор советуем всем своим клиентам использовать, по возможности, именно Routed режим.
Программные блейды (Check Point Software Blades)
Одна из самых основных тем, вызывающих многочисленные вопросы наших клиентов – это программные блейды.
Под блейдами подразумеваются определенные функции Check Point.
Данные функции могут быть включены или выключены в зависимости от нужд. При этом есть блейды, которые активируются исключительно на шлюзе (Network Security) и только на сервере управления (Management). На картинках ниже приведены примеры для таких случаев:
1. Для Network Security (функционал шлюза)
Опишем вкратце, т.к. каждый блейд заслуживает отдельной статьи.
• Firewall — функционал межсетевого экрана;
• IPSec VPN — построение частные виртуальных сетей;
• Mobile Access — удаленный доступ с мобильных устройств;
• IPS — система предотвращения вторжений;
• Anti-Bot — защита от ботнет сетей;
• AntiVirus — потоковый антивирус;
• AntiSpam & Email Security — защита корпоративной почты;
• Identity Awareness — интеграция со службой Active Directory;
• Monitoring — мониторинг практически всех параметров шлюза (load, bandwidth, VPN статус и т.д.)
• Application Control — межсетевой экран уровня приложений (функционал NGFW);
• URL Filtering — безопасность Web (+функционал proxy);
• Data Loss Prevention — защита от утечек информации (DLP);
• Threat Emulation — технология песочниц (SandBox);
• Threat Extraction — технология очистки файлов;
• QoS — приоритезация трафика.
Позже мы подробно рассмотрим блейды Threat Emulation и Threat Extraction.
• Firewall — функционал межсетевого экрана;
• IPSec VPN — построение частные виртуальных сетей;
• Mobile Access — удаленный доступ с мобильных устройств;
• IPS — система предотвращения вторжений;
• Anti-Bot — защита от ботнет сетей;
• AntiVirus — потоковый антивирус;
• AntiSpam & Email Security — защита корпоративной почты;
• Identity Awareness — интеграция со службой Active Directory;
• Monitoring — мониторинг практически всех параметров шлюза (load, bandwidth, VPN статус и т.д.)
• Application Control — межсетевой экран уровня приложений (функционал NGFW);
• URL Filtering — безопасность Web (+функционал proxy);
• Data Loss Prevention — защита от утечек информации (DLP);
• Threat Emulation — технология песочниц (SandBox);
• Threat Extraction — технология очистки файлов;
• QoS — приоритезация трафика.
Позже мы подробно рассмотрим блейды Threat Emulation и Threat Extraction.
2. Для Management (функционал сервера управления)
• Network Policy Management — централизованное управление политиками;
• Endpoint Policy Management — централизованное управление агентами Check Point (да, Check Point производит решения не только для сетевой защиты, но и для защиты рабочих станций (ПК) и смартфонов);
• Logging & Status — централизованный сбор и обработка логов;
• Management Portal — управление безопасностью из браузера;
• Workflow — контроль над изменением политик, аудит изменений и т.д.;
• User Directory — интеграция с LDAP;
• Provisioning — автоматизация управления шлюзами;
• Smart Reporter — система отчетности;
• Smart Event — анализ и корреляция событий (SIEM);
• Compliance — автоматическая проверка настроек и выдача рекомендаций.
• Endpoint Policy Management — централизованное управление агентами Check Point (да, Check Point производит решения не только для сетевой защиты, но и для защиты рабочих станций (ПК) и смартфонов);
• Logging & Status — централизованный сбор и обработка логов;
• Management Portal — управление безопасностью из браузера;
• Workflow — контроль над изменением политик, аудит изменений и т.д.;
• User Directory — интеграция с LDAP;
• Provisioning — автоматизация управления шлюзами;
• Smart Reporter — система отчетности;
• Smart Event — анализ и корреляция событий (SIEM);
• Compliance — автоматическая проверка настроек и выдача рекомендаций.
Архитектура блейдов позволяет использовать только актуальные для Вас функции, что отражается на бюджете решения и общей производительности устройства. Логично, что чем больше блейдов вы активируете, тем меньше трафика можно "прогнать". Именно поэтому к каждой модели Check Point прилагается следующая таблица производительности (для примера взяли характеристики модели 5400):
Здесь приведены две категории тестов: на синтетическом трафике и на реальном — смешанном. Check Point вынужден публиковать синтетические тесты, т.к. некоторые вендоры используют подобные тесты как эталонные, не исследуя производительность своих решений на реальном трафике (либо намеренно скрывают подобные данные ввиду их неудовлетворительности).
В каждом типе теста можно заметить несколько вариантов:
На этом мы заканчиваем вводную статью, посвященную технологиям Check Point. Далее мы рассмотрим, как можно протестировать Check Point и как бороться с современными угрозами информационной безопасности (вирусы, фишинг, шифровальщики, zero-day).
P.S. Важный момент. Несмотря на зарубежное (израильское) происхождение, решение имеет сертификацию в РФ в надзорных органах, что автоматом легализует их наличие в гос.учреждениях (комментарий by Denyemall).
В каждом типе теста можно заметить несколько вариантов:
- Тест только для Firewall;
- Тест Firewall+IPS;
- Тест Firewall+IPS+NGFW (Application control);
- Тест Firewall+Application Control+URL Filtering+IPS+Antivirus+Anti-Bot+SandBlast (песочница).
На этом мы заканчиваем вводную статью, посвященную технологиям Check Point. Далее мы рассмотрим, как можно протестировать Check Point и как бороться с современными угрозами информационной безопасности (вирусы, фишинг, шифровальщики, zero-day).
P.S. Важный момент. Несмотря на зарубежное (израильское) происхождение, решение имеет сертификацию в РФ в надзорных органах, что автоматом легализует их наличие в гос.учреждениях (комментарий by Denyemall).
