מילון מושגים:
RDP - פרוטוקול של מיקרוסופט לחיבור לשולחן עבודה מרוחק של מחשב Windows והפעלתו מרחוק.
NAT - מנגנון שמתרגם כתובות IP פרטיות לכתובת ציבורית אחת, כדי לאפשר למחשבים ברשת פנימית לגשת לאינטרנט.
IPS - מערכת למניעת חדירות שמזהה תעבורה זדונית וחוסמת אותה בזמן אמת.
אנטי וירוס - תוכנה שמזהה, חוסמת ומסירה תוכנות זדוניות מהמחשב, ומנטרת פעילות חשודה.
וירוס - תוכנה זדונית שמשכפלת את עצמה ומתפשטת ממחשב למחשב, ועלולה לפגוע בקבצים או בפעולת המערכת.
TCP - פרוטוקול תקשורת אמין שמוודא שכל חבילות המידע מגיעות ליעד בשלמות ובסדר הנכון.
ביט - יחידת המידע הקטנה ביותר במחשב, שערכה 0 או 1. שמונה ביטים מרכיבים בייט.
VLAN - רשת מקומית וירטואלית שמחלקת מתג פיזי לרשתות לוגיות נפרדות, לשם ארגון ואבטחה.
ראיון עבודה - Check Point Gaia - VPN Site-to-Site
בשיעור זה ממשיכים את שאלות ההכנה לריאיון עבודה בתחום הפיירוול, עונים איך מתמודדים עם תעבורה לגיטימית שנחסמה, איך מגדירים VPN בין אתרים, מהו ההבדל בין Stateful ל-Stateless, כיצד מיישמים Zero Trust, אילו איומים חוסמים במערכות Check Point, ואיך עוברים מסביבת בדיקות לסביבת ייצור.
נושאי הסיכום המוצגים בשיעור:
1. התמודדות עם תעבורה לגיטימית שנחסמה: דבר ראשון מבררים מה קרה, מה נחסם ולמי, ממקמים את התחנה ברשת, מבינים לאן היא פנתה או מי פנה אליה, ורק אחר כך נכנסים ללוגים.
2. חיפוש בלוגים לפי IP או משתמש: הכלי המרכזי הוא חיפוש בלוגים במכונת הניהול, אפשר לסנן לפי כתובת ה-IP של התחנה ולראות את כל התעבורה שקשורה אליה ומה נחסם, למשל תעבורה בפורט של RDP, או לסנן לפי שם משתמש, source user, ולראות את כל התעבורה שקשורה לאותו משתמש בלוגי הפיירוול.
3. הפתרון ביצירת חוק מתאים: אם התעבורה מתבררת כלגיטימית יוצרים לה חוק או מוסיפים אותה לחוק קיים, לא יוצרים חוק לכל דבר אלא מרכזים בחוק אחד את כל מי שמורשה ומעבירים את התעבורה שלו.
4. הכנת הגדרות ל-site to site: בהגדרת VPN בין אתרים קודם מחליטים על ההגדרות, מי פונה אלינו ולמה, למשל שירות שמתקבל מספק חיצוני שהתעבורה אליו אינה דרך האינטרנט, ומבררים מול הצד השני את כתובת ה-IP של הפיירוול שלו, אילו הצפנות נשים, איזה שירות ספציפי נעביר ומה הכתובת הפנימית של השרת אצלו, מתעדים הכל במסמך, מסכימים בין שני הצדדים ורק אז מגדירים בפיירוול.
5. הגדרת ה-VPN Community: יוצרים VPN community בשם שמזהה את החיבור, ובלי מכונת ניהול אי אפשר להגדיר site to site, מוסיפים את ה-gateway של הצד השני, ואם זה gateway של Check Point שמנוהל אצלנו בוחרים אותו מהרשימה, ואם הוא לא Check Point אלא למשל סיסקו או פורטי מוסיפים אותו כ-interoperable device.
6. הצפנה ו-tunnel: בהגדרות מגדירים את ההצפנה ואת אופן ניהול ה-tunnel, קבוע או לא, וכדאי לדעת ש-tunnel קבוע אפשר ליצור רק בין מכשירי Check Point, כי זה פרוטוקול ספציפי שרק Check Point מדבר מול Check Point, ובנוסף מגדירים timers ואם יהיה NAT בתוך ה-tunnel.
7. חוק שמאפשר את התעבורה על ה-tunnel: הדבר החשוב ביותר אחרי הגדרת ה-VPN הוא להגדיר חוק שמאפשר את התעבורה על ה-tunnel, בלי חוק כזה זה לא יעבוד, ובחוק מגדירים בדיוק את הפרוטוקול הרצוי ורק הוא עובר, למשל HTTP או שיתוף קבצים של מיקרוסופט, ולא מומלץ לשים any.
8. כלים לזיהוי ותחקור פריצה: הכלי המרכזי הוא SmartLog ויש גם SmartEvent שמאפשר לחפש אירועי אבטחה, ואפשר לסנן לפי לוגים של בלייד מסוים כמו IPS או Threat Prevention, ובאמצעותו רואים את כל התעבורה, מי פונה לאן, ומחתכים האם זה אירוע התקפה של IPS או אירוע אנטי וירוס.
9. ההבדל בין Stateful ל-Stateless: המהפכה של הפיירוולים התחילה בהבחנה הזו, לפני כן היו ראוטרים עם access list שלא ידעו להבחין בין תעבורה שיצאה מהרשת והתשובה שלה חוזרת לבין תעבורה חדשה, ובפרוטוקול TCP קיים ביט שמודיע אם זו תעבורה חדשה או לא, ו-Stateful inspection מציב את המצב של החבילה ולפי ההמשכיות של הסשן יודע אם לאפשר או לחתוך את התעבורה, ואותה תחנה יכולה לפתוח מאה דפדפנים וכל אחד הוא סשן נפרד ואין שום בעיה.
10. יישום Zero Trust: Zero Trust אומר שלא סומכים על אף מחשב, בין אם הוא ברשת ובין אם לא, במחשבים מנוהלים בתוך הרשת יש סיבה לסמוך יותר כי מנהלים אותם, התקנו להם אנטי וירוס, מפקחים על התקנת תוכנות ולא לכל אחד יש הרשאות אדמין, אבל במחשבים מהבית לא סומכים כי לא יודעים מה קורה בהם בשעות הפנאי, אילו משחקים וטורנטים רצים שם.
11. איומים נפוצים והגנות Check Point: באינטרנט נכנסים לאימייל וקוראים מיילים עם קישורים וקוד שהדפדפן יכול להריץ, ולכן Check Point סורק את המיילים, כל הגלישה עוברת סינון לפי קטגוריות, אתרי חדשות מאופשרים ואתרי מוזיקה וסרטים נחסמים, וגם תעבורה לאתר מאופשר נסרקת כי גם פורטל פופולרי אפשר להשתלט עליו ולחטוף דרכו וירוס.
12. סריקת הורדות: כשמורידים קובץ הפיירוול סורק אותו, יש לו מנוע אנטי וירוס ויש Threat Emulation שמריץ sandbox ובודק אם הקובץ נקי או לא.
13. הגנה מהתקפות על הפיירוול עצמו: מישהו יכול לתקוף את כתובת ה-IP שלנו ולנסות להפיל את הפיירוול, ולשם כך יש מערכת IPS שמגינה מהתקפות, כאשר הכל חייב להיות מוגדר מראש ואחרי ההגדרה הפיירוול עושה זאת לבד ומתעדכן מהענן של Check Point על כל ההתקפות שהוא מכיר.
14. תחזוקת המכונה ועדכונים: הפיירוול הוא מכונה וכמו כל מכונה צריך תחזוקה, לבדוק שיש מקום בדיסק ולתחזק מבחינת hotfix, כי כל hotfix ש-Check Point מפיצה נועד לפתור בעיה במכונה או התקפה שהפיירוול צריך ללמוד עליה, עוקבים אחרי הפורטל של התמיכה, מורידים את הגרסה האחרונה, מתאמים השבתה כי בזמן העדכון המערכת יורדת ועוברת אתחול, ובגדול מומלץ פעמיים בשנה לבדוק גרסאות, ואם יש משהו קריטי מקבלים דחיפה מהיצרן, כמו אירוע שבו באג חשף סיסמאות אדמיניסטרטור דרך האינטרנט וכל הרשתות עדכנו את הפתרון מיד, ולכן גם חשוב לא לשים את אותן סיסמאות בכל המכונות.
15. מעבר מסביבת בדיקות לסביבת ייצור: זה פרויקט גדול, אחרי שעושים את כל הבדיקות בסביבת test מעמידים משתמשים על הסביבה הזו שרק הם עוברים דרך הפיירוול החדש, מפילים ומרימים פיירוולים ב-cluster ורואים שהשני תופס, ועושים את כל הבדיקות בכל הוריאציות, גישה למערכות עסקיות ולשרתי קבצים, ורק אחר כך מתאמים מעבר, מפילים את הסביבה הישנה, מנתקים את הכבלים ומעבירים הכל לפיירוולים החדשים ול-cluster החדש.
16. השיטה ההדרגתית: יש שיטה נוספת של מעבר הדרגתי, שהיא פחות נפוצה ולוקחת המון זמן, מעבירים VLAN ספציפי לפיירוולים החדשים, מכוונים את הניתוב בפיירוולים ובסוויצ'ים ועושים סוג של פיילוט, וכשכל התעבורה ל-VLAN הזה תקינה ממשיכים ל-VLAN הבאים, כשאת המשתמשים בדרך כלל מעבירים במכה אחת ואת השרתים החשובים לאט לאט.
17. עצות אישיות לריאיון: אם יש ניסיון מספרים על פרויקטים שהשתתפנו בהם ומה עשינו, בשאלות מצבי לחץ חשוב להיות שקולים ולבחון מה התקלה ולא לקפוץ ולהשתגע, תמיד טוב לתרגל במעבדה לפני שנוגעים בסביבת production, וגם עם כל הניסיון עדיין מרימים מעבדות לפני עבודה עם פיצ'רים חדשים או גרסה חדשה, והטיפ הכי חשוב הוא להיות בטוחים ביכולות שלכם, כי אף אחד לא נולד עם החומר, לומדים אותו תוך כדי תנועה בתחום שכל הזמן מתעדכן, והמעבדות מגבשות את הביטחון הזה.
סיכום:
בשיעור זה ענינו על שאלות ריאיון מתקדמות בתחום הפיירוול, למדנו איך מתחקרים חסימה לפי IP או משתמש בלוגים ופותרים אותה בחוק מרוכז, עברנו על הגדרת site to site שלמה מההסכם מול הצד השני, ה-community, ה-gateways וההצפנה ועד החוק שמאפשר את התעבורה על ה-tunnel, הכרנו את SmartLog ו-SmartEvent לתחקור אירועים, את ההבחנה הקלאסית בין Stateful ל-Stateless, את גישת ה-Zero Trust, את שכבות ההגנה של Check Point מפני איומי אימייל, גלישה והורדות, את חשיבות התחזוקה והעדכונים של המכונה, ואת דרכי המעבר מסביבת בדיקות לסביבת ייצור יחד עם עצות אישיות לריאיון.
בשיעור הבא נעסוק בנושא פרויקט גמר של הקורס.
SR13772HE
