Обзор Check Point R82.10: улучшения в Threat Prevention, VPN и логировании

Современные киберугрозы требуют от инфраструктуры не только надежной защиты, но и высокой производительности, гибкости и автоматизации. Именно поэтому обновления платформ информационной безопасности играют ключевую роль.

Версия Check Point R82.10 приносит значительные изменения на уровне операционной системы, механизмов безопасности, маршрутизации и управления. В этом обзоре мы разбираем ключевые обновления и их практическое значение для бизнеса и ИБ-команд.

Одним из ключевых изменений стало обновление ядра до Linux 5.14.
Обновление позволяет добиться:

• улучшенной производительности
• поддержки современных технологий
• повышения стабильности системы

⚠️ Данная версия ОС не саппортна для следующих моделей аппаратных шлюзов (это важно учитывать при планировании обновлений):

1. 23500, 23800, 23900
2. 15400, 15600
3. 6500, 6800
4. 5100, 5200, 5400, 5600, 5800, 5900
5. 3100, 3200
6. Smart-1 5150, Smart-1 5050, Smart-1 625, Smart-1 405, Smart-1 410
7. Scalable Chassis 44000 / 64000

В R82.10 произошёл важный архитектурный сдвиг:

• полностью прекращена поддержка Kernel Space Firewall (KSFW), firewall работает только в режиме User Space Firewall (USFW)
• SecureXL в режиме Kernel Mode (KPPAK) прекращает своё существование,  теперь поддерживается только User Mode (UPPAK)

Также улучшена логика Drop Optimization для Access Control политики, что позволяет эффективнее использовать аппаратные мощности

Поддержка SD-WAN для Maestro

Теперь SD-WAN официально поддерживается для Maestro Security Groups, что расширяет возможности:

• балансировки трафика
• отказоустойчивости
• управления распределённой сетью

Динамическая маршрутизация
Добавлена поддержка до 500 BGP-пиров, что особенно важно для:

• крупных провайдеров
• сложных сетевых инфраструктур

В версии R82.10 переработан подход к логированию.

Новый режим логов — Advanced

Этот режим предназначен для уменьшения кол-ва логов за счет суммирования схожих логов в один.

Новые возможности аналитики

• статистика по access-правилам в Tops

• Hit Count для HTTPS Inspection

В результате администраторы получают: более прозрачную аналитику логов

Защита от DNS over TLS
Добавлены механизмы обнаружения вредоносной активности через зашифрованный DNS.

Новые AI-движки в ThreatCloud
Особенно выделяется Threat Emulation PDF Engine, который:

• анализирует изображения и текст
• извлекает QR-коды
• выявляет фишинг и социальную инженерию
• обнаруживает злоупотребление брендами

Оптимизация IPS
Появилась новая возможность автоматического точечного bypass-а для IPS сигнатур – Advanced IPS- , вызывающих повышенную нагрузку на процессор, вместо отключения всех сигнатур целиком.

Дополнительно добавлен отдельный SmartView-дашборд для анализа таких сигнатур.

Появляется функционал Threat Prevention Policy Insights, который упрощают управление политикой Threat Prevention путем предоставления администраторам инсайтов по настройке данной политики.

В предыдущей версии R82 появилась возможность использовать данный функционал для Access Control Policy, а в R82.10 данный функционал появился и для Threat Prevention.

Ключевые преимущества:
1) Инсайты это не просто best practices, они основываются на конкретном трафике.
2) Это помогает оптимизировать работу путем обнаружения ошибок конфигурации и определения IPS сигнатур, потребляющих большой ресурс CPU.

Инсайты, относящиеся к конкретному трафику, работают путем первичного сбора информации о трафике и отправки её в облако вендора для анализа с помощью интеграции с Infinity Portal-ом.

Инсайты подразделяются на три типа: ошибки конфигурации, оптимизация политики и оптимизация IPS.

К примеру, в данном случае предлагается отключить устаревшие IPS сигнатуры, т.к. по ним не было сгенерировано логов на протяжении 2-х дней.

При выборе Apply, вносятся изменения.

Не все изменения вносятся автоматически.

При необходимости внесения ручных изменений, это будет подсвечено в дополнительной колонке:

• Severity – параметр, отвечающий за то, насколько инсайт критичен.
• Confidence – уровень достоверности инсайта. 

Инсайт можно применить, отклонить или принять решение по нему позднее, отправив во вкладку Decide Later.

Начиная с версии R82.10 появилась возможность упрощенной настройки Route-Based VPN- Simplified Route-Based VPN, которая позволяет выполнять все действия из смарт-консоли.

Поддерживается  Mesh и Star VPN Community. На данный момент единственный поддерживаемый протокол динамической маршрутизации для Simplified Route-Based VPN – eBGP.

Основные преимущества:

• Все действия выполняются из Smart Console
• VTI создаются автоматически
• Автогенерируемая динамическая маршрутизация, настройки BGP на шлюзах выполняются автоматически
• Для задания правил в Access Control политике теперь не требуются Directional Rules, достаточно в графе VPN выбрать нужное VPN Community

Ограничения:

• OSPF и iBGP не поддерживаются
• Устройства Quantum Spark не поддерживаются
• VSNext не поддерживается

Процесс настройки выглядит следующим образом:
Первым делом необходимо включить Route-Based VPN в настройках VPN Community:

Далее, если требуется, можно осуществить настройки BGP с помощью Edit в колонке Routing Mode и в получившемся окне выбрать Apply BGP configuration.

Также, при необходимости, здесь можно включить настройки BFD и Graceful Restart и нажать OK:

Настройки BGP конкретного шлюза можно сконфигурировать в VPN Community, дважды нажав на объект шлюза, либо настроить непосредственно в свойствах самого шлюза.

Дважды нажав на объект шлюза в VPN Community, мы попадаем в следующее окно:

Можно оставить настройку Based on the Security Gateway object configuration, либо переопределить настройки.

При выборе Export interfaces with Topology ‘Internal’ экспортируются маршруты, связанные с интерфейсами, у которых в топологии шлюза указано "Internal" (внутренний).

При выборе Export local static routes экспортируются маршруты, явно прописанные на шлюзе.

С помощью Export custom routes можно выбрать маршрут вручную.
Настраивать вышеописанный экспорт маршрутов можно также в свойствах объекта шлюза во вкладке Gateways&Servers:

Нововведения в Check Point R82.10 — это не просто очередной пакет обновлений, а большой шаг в сторону:

• упрощения работы администратора
• упора на использование инструментов ИИ
• автоматизации управления

Новая версия усиливает позиции платформы как комплексного решения для защиты инфраструктуры и адаптации к современным киберугрозам.

Последние обновления R82.10 особенно полезны для:

• крупных распределённых компаний
• облачных и гибридных сред
• организаций с высокими требованиями к безопасностис

Оставьте заявку — мы подготовим предложение именно под вашу инфраструктуру.