A maioria dos firewalls é configurada no próprio firewall. A Check Point não é, e toda surpresa inicial com a plataforma vem daí.
As três camadas
O Security Management Server guarda o banco de dados: objetos, regras, usuários, e o histórico de quem mudou o quê. Ele não aplica nada. A política é escrita aqui.
O Security Gateway aplica. Ele inspeciona o tráfego contra uma política que recebeu do servidor de gerência. Não guarda a configuração autoritativa; guarda uma cópia compilada dela.
O SmartConsole é o cliente. Não é o servidor de gerência e não armazena nada — é uma janela para o banco de dados, e é por isso que fechá-lo não muda nada e por que dois administradores podem tê-lo aberto ao mesmo tempo.
O arranjo pode ser distribuído, com gerência e gateway em máquinas separadas, ou standalone, com os dois numa só. Distribuído é o formato normal em produção. Standalone é comum em laboratórios e sites pequenos, e é o que faz as pessoas pensarem que a Check Point funciona como outros firewalls, o que deixa de ser verdade no momento em que encontram uma implantação real.
O que decorre da divisão
Você instala a política. Salvar uma regra no SmartConsole muda o banco de dados, e o gateway não é afetado até a política ser instalada nele. Uma regra correta e não instalada não faz nada. Essa é a fonte mais comum de "eu mudei e nada aconteceu".
Gateways sobrevivem a quedas da gerência. Um gateway com política instalada continua aplicando-a, esteja o servidor de gerência alcançável ou não. O que se perde é a capacidade de mudar a política e, conforme a configuração, para onde vão os logs.
O banco de dados é a fonte da verdade. Como no FortiManager, a configuração autoritativa não está no equipamento que aplica. Quem edita um gateway diretamente está editando algo que será sobrescrito.
SIC
As camadas se autenticam entre si com o Secure Internal Communication, um arranjo de TLS mútuo usando certificados emitidos pela Internal Certificate Authority do servidor de gerência.
Estabelecer o SIC é um passo único por gateway: você define uma senha de uso único nos dois lados, eles a trocam, a ICA emite um certificado ao gateway, e daí em diante a confiança é baseada em certificado.
Duas coisas que vale saber antes de encontrá-las:
Falhas de SIC parecem falhas de política. Se o SIC está quebrado, a instalação de política falha, os logs param de chegar, e o gateway aparece como inalcançável — um conjunto de sintomas que convida a investigar a política, o que não leva a lugar algum.
Redefinir o SIC é disruptivo e às vezes necessário. É a correção padrão depois que um gateway é reconstruído ou seu endereço muda, e significa restabelecer a confiança pelas duas pontas.
Gaia
O Gaia é o sistema operacional dos appliances Check Point e de servidores abertos, e apresenta duas interfaces e meia:
O Gaia Portal é a interface web: interfaces, roteamento, DNS, , usuários, backups, atualizações de software. A configuração de nível de máquina vive aqui, e não no SmartConsole.
O Gaia (clish) é o shell estruturado, com completação e validação de comandos. Configura as mesmas coisas que o Portal.
O modo expert cai num shell completo como root. É onde vivem os comandos de diagnóstico da própria Check Point, e onde se pode causar dano real. A distinção entre clish e expert vale ser internalizada cedo: o clish valida o que você digita, o expert não.
A divisão que importa para o exame e para o trabalho real: o Gaia configura a máquina; o SmartConsole configura a política de segurança. Um endereço de interface é Gaia. Uma regra de firewall é SmartConsole. Confundir os dois é onde administradores novos perdem tempo.
Navegar o SmartConsole
Quatro visões, e saber para que serve cada uma encurta tudo depois:
- Gateways & Servers — o parque gerenciado, seu estado e sua versão.
- Security Policies — as bases de regras: controle de acesso, prevenção de ameaças, e suas camadas.
- Logs & Monitor — o que de fato aconteceu, mais relatórios e visões.
- Manage & Settings — administradores, perfis de permissão, sessões, revisões, e as preferências que governam o próprio banco de dados.
O explorador de objetos fica ao lado dessas e é onde vivem as peças reutilizáveis. Ficar à vontade com a busca ali vale os dez minutos que leva, porque um ambiente grande tem milhares de objetos e rolar a lista não é estratégia.
O que quem vai prestar o CCSA precisa saber de cor
O servidor de gerência guarda o banco de dados e não aplica nada; o gateway aplica uma cópia compilada; o SmartConsole é um cliente que não armazena nada. Implantações são distribuídas ou standalone. A política precisa ser instalada para valer, e um gateway continua aplicando sua política instalada quando a gerência está inalcançável. O SIC é confiança baseada em certificados emitidos pela Internal Certificate Authority do servidor de gerência, estabelecida com senha de uso único, e sua falha se apresenta como problema de política e de logs. O Gaia configura a máquina pelo Portal ou pelo clish, com o modo expert como shell root sem validação; o SmartConsole configura a política de segurança.
Esta série, em ordem
Este artigo abre a série Check Point, das três camadas ao upgrade. Sua divisão entre gerência, gateway e SmartConsole explica quase todo o resto; as partes seguem o caminho de um administrador pela plataforma na ordem em que as trilhas de certificação o percorrem: fazer mudanças, escrever a política, traduzir endereços, acrescentar identidade e inspeção, ligar sites, ler o que aconteceu e manter a gerência, os gateways e as versões saudáveis.
- Administradores, sessões e objetos na Check Point: publicar não é instalar. Uma sessão privada por administrador: mudanças invisíveis até serem publicadas e inertes até serem instaladas.
- A base de regras da Check Point: ordem, regras implícitas e as regras que todo mundo esquece. De cima para baixo, o primeiro casamento vence, um drop implícito que não registra nada e as regras convencionais que todos esquecem.
- Camadas de política na Check Point: ordenadas, inline e compartilhadas. Camadas ordenadas que precisam todas aceitar, camadas inline penduradas numa regra e camadas compartilhadas reutilizadas entre políticas.
- NAT na Check Point: automático contra manual, hide contra estático, e o proxy ARP. A tradução de endereços de rede gerada a partir de um objeto ou escrita à mão, hide contra static, e o proxy de que ela depende.
- NAT do Check Point que não registra nada: proxy ARP e a falha uma camada abaixo. Uma tradução estática manual para a própria sub-rede do gateway que instala limpa, não registra nada e não entrega nada.
- Identity Awareness na Check Point: escrever regras sobre pessoas em vez de endereços. Regras sobre pessoas em vez de endereços, e as fontes de que um gateway aprende o mapeamento de usuário para endereço.
- HTTPS Inspection, Application Control e URL Filtering na Check Point. O que o controle de aplicações e o filtro de URL conseguem ver no tráfego criptografado, antes e depois de o gateway decifrá-lo.
- Prevenção de ameaças na Check Point: os blades, os perfis, e prevenir contra detectar. Vários motores sob uma política, cada um pegando um estágio diferente de um ataque, e a configuração que mais importa: prevenir ou detectar.
- VPN site a site na Check Point: comunidades, domínios de criptografia, e por que o túnel está vazio. Comunidades de rede privada virtual, domínios de criptografia e o motivo habitual de um túnel subir vazio.
- Registro e monitoramento na Check Point: para onde vão os logs e como fazer perguntas a eles. Um log só existe se uma regra o pediu e um servidor de logs o recebeu, e como fazer perguntas aos logs.
- SmartEvent e o Compliance Blade na Check Point: transformar logs em eventos que valem ser lidos. Cem registros relacionados correlacionados num só evento, e o blade que audita a própria configuração.
- Alta disponibilidade de gerência na Check Point: ativo, standby, e por que o failover é manual. Um segundo servidor de gerência protege o banco de dados, não o tráfego, e por que o seu failover é manual.
- ElasticXL na Check Point: um objeto de cluster, muitos membros. A abordagem de cluster mais nova: um único objeto de cluster gerenciado como uma entidade, quantos membros houver.
- Atualizações e migrações na Check Point: ordem, compatibilidade, e tirar o banco de dados de lá. A gerência primeiro, porque ela gerencia gateways mais antigos e não o contrário, e como tirar o banco de dados.