Check Point GAiA. Höhere Betriebseffizienz mit nativer IPv6- Security und der Leistungsstärke eines 64-bit Betriebssystems.

Transkript

1 Technical Paper: Check Point GAiA Check Point GAiA Das neue, wegweisende Security-Betriebssystem PRODUkTBESCHREIBUNG Check Point GAiA ist das Security- Betriebssystem der neuen Generation für alle Check Point-Appliances, Open Server und virtualisierten Gateways. Die Anwender profitieren durch die Adaption von GAiA von einer erhöhten Verbindungskapazität und der vollständigen Bandbreite und Leistungsstärke der Check Point- Security-Technologien. Check Point GAiA Höhere Betriebseffizienz mit nativer IPv6- Security und der Leistungsstärke eines 64-bit Betriebssystems IHRE HERAUSFORDERUNG Entscheidet sich eine Organisation für eine Security-Plattform, muss sie meist auch zwischen zwei sehr wünschenswerten Eigenschaften wählen: einer einfachen Handhabung, oder einer zeitgemäßen Flexibilität. Fällt die Wahl auf die Einfachheit einer Security-Appliance, verfügt diese in der Regel nicht über die nötige Flexibilität, bei veränderten Anforderungen neue Technologien hinzuzufügen. Alternativ kann das Unternehmen seine Security-Lösung auf einen kostengünstigen, flexiblen Open Server bauen, der dann allerdings modifiziert oder gehärtet werden muss, um ihn ausreichend zu sichern ein Prozess, der alles andere als einfach sein kann. So sehen sich die Anwenderorganisationen tatsächlich nicht selten in der Situation, zwischen Simplizität und Flexibilität entscheiden zu müssen was gerade angesichts limitierter, finanzieller und personeller Ressourcen für die Unternehmen untragbar ist. DIE WICHTIGSTEN FEATURES Vollständige Kompatibilität mit IPSO & SecurePlatform Funktionsreiche Benutzerschnittstelle Native IPv6-Security mit hoher Verbindungskapazität DIE WICHTIGSTEN VORTEILE Kombiniert die besten Funktionen von IPSO & SPLAT Verbesserte Betriebseffizienz Eine sichere Plattform, selbst für anspruchsvollste Umgebungen UNSERE LÖSUNG Das robuste und vorgehärtete Check Point GAiA-Betriebssystem verbindet Simplizität und vorinstallierte Security mit der Flexibilität, das gleiche vorgehärtete Betriebssystem auf Open Servern oder virtualisierten Gateways ausführen zu können. Die funktionsreichen Web- und Command Line Interface (CLI)-Management Interfaces von GAiA eignen sich ideal sowohl für unerfahrene als auch für fortgeschrittene Anwender. Die Einbeziehung von Standard-Management Interfaces wie RADIUS und TACACs+ für die Authentifizierung und SNMP für das Monitoring stellt sicher, dass sich die Security-Vorrichtung nahtlos in die meisten dynamischen Management-Umgebungen einfügen lässt. Mit der Unterstützung von IPv4 und IPv6, dynamischen Routing-Protokollen und der 802.3ad Link-Aggregation ist außerdem sichergestellt, dass das Gerät problemlos in die meisten komplexen Netzwerke integriert werden kann. Auf Basis von Check Points marktführenden Security-Lösungen und der flexiblen Software Blade-Architektur, die auf dem vorgehärteten GAiA-Betriebssystem ausgeführt wird, können IT-Administratoren mithilfe der GAiA-Plattform auch bei eingeschränkten Ressourcen schnell eine umfassende, hochklassige Security implementieren. Classification: [Protected] - All rights reserved 1

2 Technical Paper: Check Point GAiA SICHERE PLATTFORM FÜR APPLIANCES, OPEN SERVER UND VIRTUALISIERTE GATEWAYS GAiA führt die besten Technologien der SecurePlatform- und IPSO-Betriebssysteme zusammen und stellt so für alle Check PointAppliances, Open Server und virtualisierten Umgebungen ein einheitliches, integriertes Betriebssystem zur Verfügung. SecurePlatform IPSO VMWare und Open Server DIE VORTEILE VON GAIA FÜR SECUREPLATFORM- UND IPSO-ANWENDER Bestehende IPSO-Anwender Bestehende SecurePlatform-Anwender Einfacher Einsatz Leistungsstarkes Management - Konfigurations-Wizards - Web UI und CLI - Installation in einem Schritt - Rollenbasierte Administration - Registrierung mit einem Klick - Verschiedene Konfigurations-Sets Vollständiger Software Blade-Support Kontrollierbares, dynamisches Routing Hohe Verbindungskapazität Hohe Verbindungskapazität - 64-bit-Betriebssystem IPv6-Security - 64-bit-Betriebssystem IPv6-Security - Unterstützt Dual-Stack und Tunneling - Unterstützt Dual-Stack und Tunneling - SecureXL- und CoreXL-Acceleration - SecureXL- und CoreXL-Acceleration Zusätzliche Clustering-Optionen - ClusterXL oder VRRP Verbessertes Gerätemanagement Zusätzliche Clustering-Optionen - ClusterXL oder VRRP Verbessertes Gerätemanagement - Image Snapshot - Image Snapshot - Geräte-Replikation - Geräte-Replikation Automatisches Software-Update Automatisches Software-Update Classification: [Protected] - All rights reserved 2

3 Technical Paper: Check Point GAiA Vollständiger Software Blade-Support GAiA und die von ihm unterstützte Familie der Check Point Software Blades bieten eine umfassende Security und vielschichtige Schutzmaßnahmen. Die vorkonfigurierten Lösungen liefern schlüsselfertige Security für verschiedenste Einsatzszenarien. Für die Erstellung einer individuellen Lösung und spezifische Security-Anforderungen können die Software Blades auch einzeln ausgewählt und zusammengestellt werden. Zu den unterstützten Security Gateway-Blades gehören Firewall, IPsec VPN, IPS, Application Control, Mobile Access, DLP, URL Filtering, Antivirus, Anti-Spam & -Security, Anti-Bot, Identity Awareness und Advanced Networking & Clustering. Darüber hinaus unterstützt GAiA Check Points preisgekrönte Security Management Software Blades. Diese integrieren PolicyKonfiguration, Monitoring, Logging, Reporting und Security Event Management in ein einziges Interface und führen so zu einer Minimierung der Gesamtbetriebskosten. ERHÖHTE BETRIEBSEFFIZIENZ DURCH EINE BREITE PALETTE VON FUNkTIONEN Web-basiertes User-Interface mit Suchnavigation Das intuitive Web UI ist für Security-Administratoren eine ganz neue, erfrischende Erfahrung. Die Schnittstelle integriert sämtliche Management-Funktionen in ein Web-basiertes Dashboard, auf das über die gängigsten Webbrowser wie Internet Explorer, Chrome, Firefox und Safari zugegriffen werden kann. Die eingebaute Such-Navigation liefert sofortige Ergebnisse auf Anfragen und Befehlseingaben. Für CLI-affine Anwender steht per Mausklick ein Shell-Emulator Pop-up-Fenster zur Verfügung. Beispiele für Security Gateway Blades Vollständige kompatibilität mit IPSO und SPLAT CLI Die Umstellung auf GAiA ist für Security-Administratoren ein Kinderspiel. GAiA bietet die gleichen, leistungsfähigen Command Line Interface (CLI)-Kommandos, wie sie von IPSO und SPLAT bekannt sind. Zusätzliche, neue Kommandos und Funktionen machen das GAiA CLI zu einem leistungsstarken, für den Anwender noch einfacher und intuitiver zu nutzenden Interface. Ein Beispiel: ---setting default gateway set static-route default nexthop gateway address priority 1 on ---adding static routes set static-route /32 nexthop gateway address on ---Add proxy arp Rollenbasierter, administrativer Zugriff Die Segregation von Zuständigkeiten ist Bestandteil einer jeden, guten Security Policy. Sie verbessert die Betriebseffizienz sowie die Auditierung administrativer Events. Der rollenbasierte, administrative Zugriff ermöglicht GAiA-Kunden die granulare Kontrolle und die Anpassung ihrer Security ManagementPolicies an ihre spezifischen Geschäftsanforderungen. Je nach Rolle und Zuständigkeit des Einzelnen können spezifische Zugriffsrechte gewährt werden, was in einer insgesamt solideren Security-Umgebung resultiert. add arp static ipv4-address macaddress 0:a0:8e:7d:13:d0 add arp static ipv4-address macaddress 0:a0:8e:7d:13:d0 ---Add an interface set interface eth1 link-speed 1000M/full state on set interface eth1c0 ipv4-address mask-length 24 set interface eth1c0 ipv6-address 2607:f0b0:1:3800::1 mask-length 64 set interface eth1c0 state on ---VRRP set vrrp interface eth1 on set vrrp coldstart-delay 60 Classification: [Protected] - All rights reserved 3

4 Technical Paper: Check Point GAiA Die GAiA-Kommandos sind nach Funktionen und Kommandos geordnet, die nach Bedarf den entsprechenden administrativen Rollen zugeordnet werden können. Erweiterte Commands ermöglichen den Zugriff auf Funktionen außerhalb der Domain des Befehlsbereiches, wie z. B. das Betriebssystem oder Security Gateway-Dienste. Über die Eingabe von add command können zusätzliche, erweiterte Kommandos definiert werden. Unterstützung von Standards für Authentifizierungs-Server Die AAA-Komponente von GAiA verwaltet den User-Zugriff auf die Appliance. Im Allgemeinen umfasst AAA die Authentifizierung (Benutzeridentifizierung), Autorisation (legt fest, was der Benutzer tun darf) und Accounting (verfolgt einige Aspekte der Benutzeraktivität). GAiA umfasst s.g. Pluggable Authentication Module (PAM), ein Standardsystem für die Authentifizierung und Autorisierung von Anwendern. Bei der Nutzung von PAM werden die Authentifizierung, das Account Management- und die Session Management-Algorithmen in gemeinsam genutzten Modulen gehalten. RADIUS (Remote Authentication Dial-In User Service) und TACACS+ (Terminal Access Controller Access-Control System) sind Client/Server-Authentifizierungs-Standards, die den remote-zugriff auf Applikationen unterstützen. GAiA ist integriert mit diesen zentralisierten Datenbanken, die sich zur Authentifizierung von GAiA-Administratoren und Anwendern auf den Authentifizierungs-Servern innerhalb der Organisation befinden. Damit wird auch die Verknüpfung von Gruppen für den rollenbasierten Zugriff unterstützt. Unterstützung von Monitoring-Standards GAiA unterstützt die User-basierte Security Model (USM)- Komponente von SNMPv3 für die Bereitstellung von Message-Level Security. Mit dem in RFC 3414 beschriebenen USM wird der Zugriff auf den SNMP-Service auf der Basis von Benutzeridentitäten kontrolliert. Jeder Anwender hat einen Namen, ein Authentifizierungs-Kennwort zur Benutzeridentifikation und ein optionales, privates Kennwort zum Schutz vor der Offenlegung von SNMP-Message- Nutzlasten. Verwaltete Geräte nutzen Trap Messages, um Hardware- und Produkt-Events an eine Network Management Station (NMS) zu melden. Automatische Software-Updates Software-Updates sind unerlässlich für die Wahrung einer robusten Security-Performance und hohen Netzwerkintegrität. Allerdings kann der entsprechende Prozess zu Unterbrechungen von Netzwerk-Services oder der Geschäftskontinuität führen. Auf Basis der mit GAiA zur Verfügung stehenden, intelligenten Software-Updates kann der automatische Download und Einsatz neuer Releases und Patches so terminiert werden, dass die Updates eine möglichst geringe Auswirkung auf die laufenden Geschäftsprozesse haben. Zudem wurde die Dauer der Updates auf nur wenige Sekunden verkürzt, und sollten bei den Prüfungen nach den Updates evtl. Probleme festgestellt werden, wird automatisch auf die vorherige Konfiguration zurückgestellt. Zu neuen und empfohlenen Updates und dem jeweiligen Update-Status werden automatische Mitteilungs- s versendet. Automatisierter Einsatz der Security Gateways GAiA vereinfacht den Einsatz-Prozess mit einigen neuen Tools. Erstellen Sie ein First-Time Installation Wizard Answer File- Template und nutzen Sie dieses während des Einsatzprozesses für die automatische Konfiguration des Gateways. ---Create a template for gateway deployment config_system create-template <path> Für die Vereinfachung von IPSO-Migrationen machen Sie ein Upgrade für ein IPSO-Gateway und erstellen Ihr spezifisches IPSO-zu-GAiA Upgrade-Paket. Dieses Upgrade-Paket kann dann für das schnelle Upgraden vieler Gateways genutzt werden, ohne dass die Konfigurationsdetails im Original- Upgrade wiederholt werden müssen. Es kann außerdem als SmartUpdate Upgrade-Paket genutzt werden. SICHERE PLATTFORM FÜR ANSPRUCHSVOLLSTE UMGEBUNGEN Nativer IPv4 und IPv6-Support Mit der Unterstützung der beiden Netzwerkprotokolle IPv4 und IPv6 ist GAiA in der Lage, effektive und umfassende Security für alle modernen Netzwerke bereitzustellen, einschließlich der neuen Generation von IP-Netzwerken. Die Unterstützung von IPv6 ist im Acceleration- und Clustering-Blade inbegriffen. Bestandskunden und Anwender, die zu IPv6 migrieren möchten, profitieren von den Dual Stack- und Tunneling- Übertragungsmethoden in GAiA. Dual Stack ist ein Konzept für die gleichzeitige, parallele Ausführung von IPv4 und IPv6. Danach fließen IPv4- und IPv6-Pakete über die gleiche Leitung und werden auf dem gleichen Interface übertragen und empfangen. Dies ist nach wie vor die beste Umstellungsstrategie für die meisten Unternehmensnetzwerke. Es können Security Policies für IPv6 implementiert werden, die sich mit den für IPv4 implementierten Policies decken. Die internen Services können Schritt für Schritt auf IPv6 verfügbar gemacht werden. Clients, die IPv6 noch nicht ausführen können, können nach wie vor über IPv4 auf Services zugreifen. Classification: [Protected] - All rights reserved 4

5 Technical Paper: Check Point GAiA Unter Tunneling versteht man das Ausführen von einem Protokoll über das andere hinweg bzw. mithilfe des anderen, zum Beispiel, indem ein IPv6-Paket als Datenteil eines IPv4- Pakets transportiert wird. Ein gängiger Einsatz hierfür ist ein Privatbüro oder eine kleine, entfernte Zweigstelle, die Zugang zu IPv6 haben möchte, der entsprechende Service Provider aber IPv6 noch nicht unterstützt. Mit GAiA können IPv6-Pakete innerhalb von IPv4-Paketen getunnelt werden und auf diesem Weg den Teil des Internets erreichen, der IPv6 unterstützt. Im Unternehmen kann diese Praxis genutzt werden, um eine Brücke zu den Teilen des Unternehmensnetzes zu schlagen, die noch ausschließlich IPv4-fähig sind. GAiA unterstützt konfigurierte Tunnel IPv6 in IPv4 (RFC4213), was das gleiche Tunnel-Konzept ist, wie IPv6 in IPv4 ähnlich wie das Generic Packet Tunneling in IPv6 der gleiche Ansatz ist, wie IPv4 in IPv6. Die Tunnel können von Host zu Host, Host zu Router oder Router zu Router bestehen und sind sehr ähnlich zu VPNs, sichern oder authentifizieren allerdings nicht den Datenverkehr. Die IPsec VPN-Technologie dagegen kann auch für die Erstellung abgesicherter und/oder authentifizierter Tunnel eingesetzt werden. Nicht verschlüsselte Tunnel sind innerhalb der Organisation noch angemessen, für das Tunneling zwischen dem Unternehmensnetzwerk und entfernten Geschäftsstellen sollte jedoch die VPN-Technologie genutzt werden. ClusterXL oder VRRP Cluster Ob Ihr für die Netzwerkredundanz bevorzugtes Protokoll die Check Point ClusterXL-Technologie oder ein Standard VRRP- Protokoll (RFC 3768) ist mit GAiA müssen Sie hierfür nicht länger eine Plattformentscheidung treffen. Sowohl ClusterXL als auch VRRP werden von GAiA vollständig unterstützt, und GAiA ist auf sämtlichen Check Point-Appliances, Open Servern und für alle virtualisierten Umgeben verfügbar. Es sind also keinerlei Ausschlussentscheidungen zwischen den gewünschten Netzwerkprotokollen und den bevorzugten Plattformen und Funktionen mehr nötig. Das Cluster dient als einheitlicher System-Image-Router, der die Security- Applikationen und sowohl statisches Routing als auch dynamische Routing-Protokolle wie OSPF, BGP und PIM- SM/DM unterstützt. Dieses integrale Routing ermöglicht die Erstellung eines vollständigen, hoch verfügbaren Gateways, das als ein einziges System-Image verwaltetet werden kann. Hohe Verbindungskapazität Mit der Effizienz eines 64-bit Betriebssystems ist GAiA in der Lage, die Verbindungskapazitäten bestehender Check Point-Appliances deutlich zu verbessern. Bei einer Erhöhung der Verbindungskapazität auf 10 Millionen gleichzeitige Verbindungen auf den 2012-Appliances und auf 70 Millionen gleichzeitige Verbindungen für das Security System ist GAiA die ideale Lösung für alle Netzwerkumgebungen einschließlich sehr anspruchsvoller und hoch performanter Netzwerke. Alle unterstützten Appliances mit einer Speicherkapazität von wenigstens 6GB werden von der erhöhten Verbindungskapazität des 64-bit Betriebssystems profitieren. Appliance Modell Standard/max. Speicherkapazität (GB) Standard/max. Anzahl gleichzeitiger Verbindungen (in Mio.) /8 1,2/3, /12 1,2/ /12 1,2/ /12 2,5/ /24 5/10 Power /6 2,5 IP /8 1,2/3,3 IP /8 1,2/3,3 Open Server variiert/24 variiert/10 Classification: [Protected] - All rights reserved 5

6 Technical Paper: Check Point GAiA Leicht handhabbares, dynamisches Routing GAiA unterstützt insgesamt elf Protokolle für dynamisches Routing und Multicasting und stellt damit eine flexible, unterbrechungsfreie Netzwerkkonnektivität sicher. Alle Protokolle können Ihren Präferenzen entsprechend über das Web UI oder das CLI verwaltet werden. Dynamic Routing-Protokolle RIP RFC 1058 RIPv 2 (mit Authentifizierung) RFC 1723 OSPFv2 RFC 2328 OSPF NSSA RFC 3101 BGP4 RFCs 1771, 1963, 1966, 1997, 2918 Multicast-Protokolle IGMPv2 RFC 2236 IGMPv3 RFC 3376 PIM-SM RFC 4601 PIM-SSM RFC 4601 PIM-DM RFC 3973 PIM-DM state refresh draft-ietf-pimrefresh-02.txt Policy-basiertes Routing Als Netzwerkadministrator bemühen Sie sich möglicherweise um die detaillierte Kontrolle über weitergeleitete Daten und nutzen hierfür Policy-basiertes Routing (PBR). Bei Einsatz von PBR erstellen Sie Routing-Tabellen zu statischen Routen und leiten den Verkehr auf Basis einer Access Controll-Liste (ACL) zu den entsprechenden Tabellen. Bei Einsatz einer ACL in dieser Art können Sie den Datenverkehr anhand eines oder mehrerer der folgenden Filter regeln: Quelladresse Source Mask-Länge Zieladresse Destination Mask-Länge Schnittstelle Eine künftige Version von GAiA wird Port- oder Servicebasiertes PBR unterstützen. Link-Aggregation Link-Aggregation ist eine Technologie, die eine Vielzahl physischer Interfaces in einer als Bond Interface bekannten Schnittstelle zusammenführt. Das Bond-Interface bietet Fehlertoleranz und erhöht durch das Verteilen der Arbeitslast auf viele Schnittstellen den Datendurchsatz. Sie können Bond-Interfaces definieren, indem Sie eine der nachfolgenden, funktionalen Strategien nutzen: Hohe Verfügbarkeit (Active/Backup): Bietet Redundanz bei einem Interface- oder Verbindungsfehler. Diese Strategie unterstützt außerdem Switch-Redundanz in einem der nachstehenden Modi: - Round Robin Wählt das aktive Slave-Interface sequentiell - Active/Backup Fällt das aktive Slave-Interface aus, greift die Verbindung automatisch auf das ursprüngliche Slave-Interface zurück. Ist dieses nicht verfügbar, nutzt die Verbindung ein anderes Slave. Load Sharing (Active/Active): Slave-Interfaces sind simultan aktiv. Für einen maximalen Durchsatz wird das Datenaufkommen auf die Slave-Interfaces verteilt. Load Sharing unterstützt jedoch keine Switch-Redundanz. Sie können Load Sharing in einem der nachstehenden Modi konfigurieren: - Round Robin Wählt das aktive Slave-Interface sequentiell ad Dynamische Nutzung der aktiven Slaves zur Verteilung der Datenlast unter Nutzung des LACP- Protokolls. Dieses Protokoll ermöglicht die vollständige Schnittstellenüberwachung zwischen dem Gateway und einem Switch. - XOR Wählt den Algorithmus für die Slave-Auswahl entsprechend dem TCP/IP-Layer. DIE NÄCHSTEN SCHRITTE MIGRATION ZU GAIA Check Point GAiA steht ab sofort zur Evaluation zur Verfügung. Besuchen Sie das Check Point User Center und unsere R75.40 Support-Seite, um noch heute mit Ihrer Evaluierung zu beginnen. Sie sind neu bei Check Point? Dann besuchen Sie folgende Website und sichern Sie sich Ihre 30-Tage-Testlizenz für Check Point GAiA. Erstinstallation Es steht eine Vielzahl von Installationsoptionen zur Verfügung, einschließlich über DVD oder USB-Stick. Installieren Sie das Image und führen Sie ein First Time Installation Wizard über das Web UI oder Command Line Interface aus. Upgrade von SecurePlatform Überlick 1. Führen Sie ein Produkt-Upgrade auf R75 oder höher durch 2. Verbinden Sie ein DVD-Laufwerk über USB mit dem Computer 3. Führen Sie aus: # patch add cd 4. Wählen Sie die passende Upgrade-Option 5. Entfernen Sie nach dem Upgrade die DVD aus dem Laufwerk 6. Starten Sie neu 7. Installieren Sie eine Policy Upgrade von IPSO Überblick 1. Legen Sie die GAiA ISO auf einem FTP Server an 2. Installieren Sie das GAiA Upgrade-Paket auf der IP Appliance 3. Führen Sie das Upgrade-Package aus 4. Stellen Sie Backup-Kapazitäten bereit (optional) 5. Stellen Sie ein Upgrade-Template bereit (optional) 6. Bestätigen Sie 7. Das Script wird automatisch ausgeführt contact check point Worldwide Headquarters 5 Ha Solelim Street, Tel Aviv 67897, Israel Tel: Fax: info@checkpoint.com U.S. Headquarters 800 Bridge Parkway, Redwood City, CA Tel: ; Fax: April 11, 2012