Третья и заключительная часть, касающаяся возможности проведения бесплатного аудита безопасности сети с помощью Check Point Security CheckUP. Если вы пропустили прошлые части:

• Часть 1
• Часть 2

Закончив установку и инициализацию мы можем приступить к самой настройке. Далее будет следовать большое кол-во картинок. Если же вам лень читать, то можете подписаться на наш YouTube канал, где в скором времени появится видео инструкция по CheckUP.

Первым делом необходимо поправить топологию сети, как это показано на рисунке ниже. У нас должно появится два интерфейса.



Далее мы должны определить первый интерфейс (который используется для управления и выхода в интернет) как Internal, включить антиспуфинг в режим detect и отключить логирование (дабы не захламлять отчет):



Второй же интерфейс мы обязательно определяем как External с аналогичными настройками антиспуфинга.



В итоге должно получиться следующее:



Теперь можно переходить к включению блейдов. Для этого двойным кликом открываем свойства шлюза и начинаем галочками отмечать нужные блейды (Application Control, URL Filtering, IPS...):



Если же вы попытаетесь включить Threat Emulation



то обнаружите ошибку:



К сожалению Trial режим на 15 дней не включает функцию облачной песочницы (Threat Emulation). Если данная функция очень нужна, то можно запросить демо-лицензию на месяц.

Для идентификации пользователей (именно username, а на ip-адреса) необходимо настроить интеграцию с AD с помощью блейда Identity Awareness



Для этого используется учетная запись с админскими правами. Фактически Check Point подключается к серверу AD и выгребает логи связанные с аутентификацией пользователей, после чего он может сопоставить пользователя и его ip-адрес. Указав домен, учетные данные и ip-адрес AD сервера мы должны успешно подключиться:



Включив нужные фаервольные блейды (Network Security) мы можем перейти на вкладку Management и включить блейд Smart Event:



Именно этот блейд позволяет генерировать комплексные отчеты.

После этого не забудьте нажать Ok, а не просто закрыть окошко. Теперь можно перейти к настройки некоторых блейдов. Начнем с Application Control. Укажите настройки в соответствии с картинкой ниже:



Тоже самое сделайте для блейда Threat Prevention:



Теперь можно перейти к настройкам политик. Начнем с обычных фаервольных. Естественно разрешаем весь трафик и ВЫКЛЮЧАЕМ логирование. Данные логи абсолютно не интересны в отчете и лишь увеличивают нагрузку на устройство при их обработке:



Теперь Application Control и URL filtering. По умолчанию данная политика отсутствует (в отличии от R77.30) и чтобы это исправить, нужно сначала их включить. Делается это следующим образом:



Добавляем новый Layer:



с именем Apllication и отмечаем только один блейд:



Должно получиться следующее:



Теперь в политиках появилось Application. Разрешаем весь трафик:



И обязательно включаем Detaild Log и Accounting:



Затем можем попробовать обновить базы:



Процесс обновления будет отображаться в левом нижнем углу. Дождитесь его окончания:



Теперь можно перейти к настройкам политики Threat Prevention. По умолчанию устанавливается дефолтная политика с профилем Optimized:



Необходимо поправить настройки. Двойным кликом открываем свойства профиля и выставляем все в режим Detect (нет смысла в Prevent на копии трафика):



В настройках Ативируса включаем «глубокое» сканирование и проверку архивов:



В настройках Threat Emulation (если вы получили лицензию) включаем эмулирование для всех поддерживаемых файлов:



При нажатии Ok, нам предложат сохранить профиль под новым именем:



Сохранив, выставляем его в политиках Threat Prevention (правой кнопкой мыши по профилю):



Теперь можно перейти в раздел Updates и попробовать обновить IPS и другие блейды:



Кроме того, нужно зайти в глобальные свойства Check Point:



И отключить Drop-ы, как на картинке ниже:



Теперь необходимо проинсталлировать политики. Нажимаем Install Policy:



И сначала отмечаем только Access Control (Threat Prevention не установится без этой политики):



После успешной установки еще раз нажимаем Install Policy и выбираем уже только Threat Prevention:



Готово! Если вы правильно настроили SPAN-порт, то Check Point уже должен начать обрабатывать трафик. Чтобы убедиться в этом можно перейти во вкладку Logs & Monitor и отфильтровать логи например по блейду Apllication Control:



Если все хорошо, то оставьте логирование хотя бы на один день, после чего можно будет посмотреть статистику нажав на New Tab — Reports — Security CheckUP Advanced



Должно получиться следующее:



Данный отчет вы сможете скачать в PDF формате, при этом есть возможность сделать отчет анонимным, т.е. исключить параметры, по которым можно идентифицировать вашу организацию.

Желательное время для сбора статистики — две недели. Пример отчета можно посмотреть здесь.

Вот таким «нехитрым» образом можно провести экспресс анализ безопасности вашей сети. Искренне надеемся, что данная информация кому-то пригодится. Если возникнут вопросы то можете смело обращаться. Повторюсь, в скором времени на нашем канале будет выложена видео инструкция.