topic Re: Security CheckUp и всё, что с этим связано in Russian

Security CheckUp и всё, что с этим связано

Amir_Aliev — Thu, 07 Jun 2018 12:03:05 GMT

Обсуждаем вопросы связанные с самым популярным способом тестирования решений Check Point.

Напомню, что на свете существует прекрасный гайд как провести CheckUp на версии R80.10 с пошаговыми инструкциями:

Шаблон отчета CheckUp на русском языке:

Security Checkup - Languages Support for R80

Шрифты нужно устанавливать обязательно, иначе при выгрузке отчета появятся нечитаемые символы.

Если есть сложности с генерацией отчетов локально на площадке где выполнялся CheckUp (нет ресурсов для SmartEvent, медленный канал в Интернет) - отчет можно сделать онлайн.

Процедура следующая:

1) Проводим CheckUp в обычном режиме собирая логи.

2) Скачиваем скрипт на лог-сервер, запускаем. Скрипт отправляет в облако лог-файлы (.log, .logptr, .logaccount_ptr, .loginitial_ptr) за последние N-дней.

3) В облаке создается виртуальная машина со SmartEvent которая доступна как веб-страница, в которой можно генерировать любые отчеты за любые даты на основании загруженных логов.

Машина работает в течение 21 дня.

Security Checkup in the Cloud - Automated Script

Re: Security CheckUp и всё, что с этим связано

Dmitriy_Chazov — Thu, 28 Jun 2018 06:21:28 GMT

Доброго дня коллеги.

А подскажите какие действия должны дополнительно должны предпринять инженеры заказчика, чтобы получить корректный срез зеркалированого входящего трафика, иногда в тестах на входящем трафике я видел только само устройство а не сам внешний трафик.

Привожу пример:

Была ситуация, у заказчика проводил CheckUp и не смог захватить корректно входящий трафик, мне отдавали зеркалироный трафик входного интерфейса маршрутизатора. В качестве маршрутизатора использовался Микротик и на нем же был настроена зеркалирование на интерфейс CheckPoint. Но в логах я видел только это устройство маршрутизатора в журналах, а не внешние адреса интернета.

Re: Security CheckUp и всё, что с этим связано

Amir_Aliev — Fri, 29 Jun 2018 10:19:04 GMT

Дмитрий, это все же больше вопрос настройки сетевого оборудования отдельного вендора. У циски и микротика процедуры отличаются. У меня была подобная ситуация, когда с микротика не было видно полезного трафика. Инженер перебрал несколько портов и все получилось.

Если возникает тупик иногда приходится самому читать документацию и подсказывать, ничего не поделаешь.

Re: Security CheckUp и всё, что с этим связано

Dmitriy_Chazov — Fri, 29 Jun 2018 12:25:34 GMT

Ну вот у коллеги однажды тоже была похожая тема, только там приходил транк в cisco в которой потом отдавался vlan который был интернет и в журналах тоже был только само устройство cisco а не внешний адреса интернета.

Вот в том же документе SecurityCheckup сказано про:

"Если вы используете устройства NAT, Proxies (без заголовка x-forward-for), сервер терминалов, DNS-сервер, контроллер AD и т. Д. Вы увидите только это устройство в журналах, а не пользователей/серверов позади."

Случайно это не из этой же оперы?

Re: Security CheckUp и всё, что с этим связано

Amir_Aliev — Fri, 29 Jun 2018 14:33:42 GMT

Если снимать трафик только с внешнего интерфейса (выходящего в Интернет), то будут видны обращения только от существующего файрвола/прокси с внешним IP. Чтобы видеть пользователей и приложения при обращении в Интернет, а также атаки снаружи на сеть заказчика стоит снимать трафик с двух точек - внутри и снаружи.

Re: Security CheckUp и всё, что с этим связано

Dmitriy_Chazov — Mon, 02 Jul 2018 10:27:23 GMT

Да конечно, я так и делаю (снимаю трафик как снаружи так и внутри). Я привел примеры которые попадались в CheckUp и хотелось бы понимания этого момента на будущие.

Re: Security CheckUp и всё, что с этим связано

Dmitriy_Chazov — Wed, 11 Jul 2018 07:05:22 GMT

Коллеги поделитесь опытом, когда нет возможности зазеркалировать на один интерфейс CheckPoint. В случае использования двух интерфейсов CheckPoint, один зеркалирует внешний а другой внутрениий. В определение топологий внешний будет как External а внутрении как Internal ?

Ну и конечно не забываем прописатьна уровне ядра отключить anti-spoofig, на Security Gateway в
vi $FWDIR/boot/modules/fwkern.conf

fw_antispoofing_enabled=0

fw_local_interface_anti_spoofing=0

Re: Security CheckUp и всё, что с этим связано

Evgeniy_Olkov — Fri, 19 Oct 2018 09:05:08 GMT

Вот эта ссылка еще пригодится - Типичные проблемы с безопасностью корпоративной сети, которые удается обнаружить с помощью Check Point Security CheckUP …