13. Check Point Getting Started R80.20. Licencia

Saludos amigos! Y finalmente llegamos a la última lección final de Check Point Getting Started . Hoy hablaremos de un tema muy importante: las licencias . Me apresuro a advertir que esta lección no es una guía exhaustiva para la selección de equipos o licencias. Esto es solo un resumen de los puntos clave que cualquier administrador de Check Point debe conocer. Si está realmente desconcertado por la elección de una licencia o dispositivo, entonces es mejor recurrir a profesionales, es decir a nosotros :) Hay muchas trampas de las que es muy difícil hablar en el marco del curso, y tampoco podrás recordar esto de inmediato.

La lección será completamente teórica, por lo que puede apagar los servidores de la placa y relajarse. Al final del artículo encontrará una lección en video donde hablo con más detalle.

Licencia de puerta de enlace

Comencemos describiendo las características de licencia de las puertas de enlace de seguridad. Y esto se aplica tanto a las superposiciones de hierro como a los virtualoks. Supongamos que decide comprar una puerta de enlace. ¡Es imposible comprar solo una pieza de hierro o una máquina virtual sin "suscripciones"! Hay tres opciones de suscripción:



¡Y ahora la primera característica interesante! Puede comprar un dispositivo o máquina virtual solo con suscripciones NGTP o NGTX. Pero cuando renueve su suscripción, ya puede elegir el paquete NGFW si no necesita blades AV, AB, URL, AS, TE y TX. Aquí hay un momento. Las suscripciones se pueden comprar por un período de uno, dos o tres años.

¡Puedo predecir tu primera pregunta! " ¿Qué sucede si la suscripción no se renueva? " Destaqué específicamente en verde aquellas cuchillas que SIEMPRE funcionarán, y SIN renovaciones. El llamado sangrado perpetuo. Los blades restantes, que requieren una actualización constante, simplemente dejarán de funcionar. Bueno, excepto que IPS seguirá funcionando con firmas clave (pero hay muy pocas de ellas). Esto es cierto tanto para las glándulas como para las máquinas virtuales, es decir. vSec.

Como elemento separado, destaqué tres blades que no están incluidos en ningún conjunto, estos son: DLP, MAB y Capsule.

Recuerde también que si está comprando una solución de clúster, seleccione el modelo con el sufijo HA (es decir, Alta disponibilidad) como segundo dispositivo. En la imagen hay un ejemplo para la puerta de enlace 5400. Esto es para puertas de enlace. Ahora el servidor de gestión.

Licencias de Servidor de Administración

Como ya dijimos en las primeras lecciones, hay dos escenarios para implementar Check Point: Independiente (cuando tanto la puerta de enlace como la administración están en el mismo dispositivo) y Distribuido (cuando el servidor de administración se mueve a un dispositivo separado). Sin embargo, las opciones no terminan ahí. Veamos tres escenarios típicos de implementación del servidor de administración:

1. Compra dedicada NGSM . La opción más popular. Elija una pieza de hardware Smart-1 o una Virtalka. Por supuesto, usted elige en función de cuántas puertas de enlace administrará, 5, 10, 25, etc. Al implementar este dispositivo, puede usar los 4 blades clave del servidor de administración: NPM (es decir, administración de políticas), Registro y estado (es decir, registro), Evento inteligente (SIEM desde Check Point, que nos brinda todos los informes) y Cumplimiento (esta es una evaluación de la calidad de la configuración, ya sea para el cumplimiento de los requisitos reglamentarios, el mismo PCI DSS o simplemente las mejores prácticas). Es inmediatamente evidente que las cuchillas NPM y LS son cuchillas permanentes, es decir funcionará sin renovación de suscripciones, ¡pero las cuchillas Smart Event y Compliance se incluyen solo durante el primer año! Luego necesitan ser renovados por algo de dinero. Este es un punto importante, no lo olvides. Y si aún puede vivir sin la hoja Cumplimiento, entonces el Evento Inteligente es definitivamente necesario para todos.
2. Adquirir un servidor de gestión de eventos dedicado ADEMÁS de un servidor de gestión NGSM existente. ¿Por qué se necesita esto? El hecho es que la funcionalidad de registro y especialmente Smart Event "consume" recursos del sistema muy decentes. Y si hay muchos registros, esto puede conducir a "frenos" en el servidor de administración. Por lo tanto, a menudo practican la eliminación de esta funcionalidad en un dispositivo separado, una pieza de hardware Smart-1 o, de nuevo, una máquina virtual. Las grandes integraciones con una gran cantidad de registros casi siempre requieren un servidor dedicado para Smart Event. Él puede tomar troncos. Por lo tanto, su servidor de administración solo realizará funciones de administración. Esto mejora enormemente la estabilidad y respuesta del sistema. Como puede ver, cuando compra un servidor Smart Event dedicado, obtiene estos dos blades para uso continuo, incluso sin una extensión. En el horizonte de 3-4 años, será aún más económico que comprar extensiones de Smart Event para un servidor NGSM cada año.
3. Servidor de gestión de registros dedicado , que viene además de los servidores NGSM y Smart Event. Creo que lo entendí. Con una gran cantidad de registros, podemos mover la función de registro a un servidor separado. El servidor de registro dedicado también tiene una licencia permanente y no requiere renovación.

Lección de video

Aquí encontrará información adicional sobre la gestión de licencias y el soporte técnico de Check Point: