Check Point Firewall краткий Checklist

Один из самых коротких способов проверить, насколько хороша безопасность на межсетевых экранах Check Point – пройтись по чек-листу. Этого вряд ли хватит на то, чтобы убедиться в полноценной безопасности, но это тот самый минимум, без которого, увы, никак.

Итак, поехали.

1. Инспекция HTTPS.

Если не углубляться в подробности, без данного параметра образуется огромное отверстие в «стене» безопасности МСЭ.

2. Фильтрация приложений и URL.

Суть в том, что площадь «опасности» достаточно велика. И бороться с ней во всей её красе – дело довольно затруднительное. Поэтому в качестве «базовой защиты» было бы неплохо ограничить заранее все нежелательные ресурсы и приложениями, которые заранее известны как потенциально опасные.

3. Запрет на скачивание нежелательных данных

В Check point за данный параметр отвечает Content Awareness. Смысл, как и в предыдущем пункте – в заблаговременной блокировке данных, которые считаются нежелательными (и далеко не просто так). Например, бОльшая часть .exe файлов представляет собой угрозу для всей системы. И чем разбираться по факту скачивания, можно заранее ограничить пропуск таких файлов.

4. Глубокое сканирование системы антивирусом

Тут уже сильнее показывается разница между устройствами Check Point и устройствами других производителей. Даже для антивирусной защиты у них есть такой пунктик как «глубокое сканирование», который просматривает весь файл на наличие вредоносных кусков кода. Но здесь стоит учитывать, что при такой защите 24/7 возрастает нагрузка на шлюз, что может привести даже к сбоям. Поэтому лучше направить сканирование на небольшие файлы, документы, в крайних случаях – на .exe-файлы (хотя с ними лучше разобраться еще в п.3).

5. Проверка архивов

Это скорее подпункт к п.4, поскольку архивы могут также весить не очень много, и по сравнению с другими данными, чаще подлежат проверке. Не стоит также забывать, что априори архивы под паролем не несут в себе ничего полезного, а следовательно – блокировать их, немедленно!

6. Дополнительная проверка от антивируса Check point

Как правило, все «лишние» (по чьему, интересно, мнению) функции проверки отключены. Но если хорошенько посмотреть, их польза будет очевидна. Например, нужно собирать базу сигнатур вредоносных файлов, дополнительно – отслеживать модели поведения необычных файлов. Это может и не принесет пользы «здесь и сейчас», но на случай повторяющихся атак – ваше устройство уже будет понимать, что к чему.

7. Система предотвращения вторжений

По умолчанию, обновление данной системы происходит раз в неделю, а то и раз в месяц. Совет: лучше запускать проверку раз в 3 дня. Со свежей базой сигнатур системе будет намного проще работать.

8. Отдельный Layer

Еще один совет: система предотвращения вторжений должна быть вынесена в отдельный Layer в Check Point.

9. Сегментированная защита

Как следствие из предыдущего пункта – необходимо все параметры защиты направить на свой отдельный фрагмент сети. И для IPS необходимо дополнительно создать разные политики безопасности, одна будет направлена на устройства в сети, а другая – на серверные устройства. То есть, обобщая, каждая политика безопасности должна быть направлена на определенные устройства, сервисы и т.п. Только тогда защита будет работать максимально эффективно.

10. Hold режим

Как правило, если через сеть проходит новый файл, который еще неизвестен для системы, она его пропускает и уже пост-фактум запускает углубленную проверку данного файла. Для предотвращения этого и нужно включить режим Hold.

11. Гео-политика

На первый взгляд может показаться, что это не самая важная вещь при настройке безопасности сети. Но она позволяет априори запретить трафик, исходящий из любой указанной страны. Снижается нагрузка на устройство (проверяет меньше данных), а также предотвращаются различные атаки (хорошие кибер-преступники могут использовать сервера стран, которые почти не заботятся о безопасности сети).

12. Эмулятор угроз

Если опустить огромный список преимуществ данного пункта, то совет один – лучше его включить на режим «Обнаружение». И посмотрите отчет через неделю.

13. Фильтрация логов событий

Если запустить данный фильтр и увидеть определенные логи, то можно заметить, что кто-то неправильно настроил безопасность.

product_family:(Threat OR Endpoint OR Mobile) AND action:Detect AND severity:(Critical OR High) AND confidence_level:(Medium-High OR High)