🎇 ☦️ 👨‍🎤 चेक प्वाइंट सिक्योरिटी सेटिंग्स चेकलिस्ट 👩🏽‍🚒 😻 🔛

अपेक्षाकृत हाल ही में, हमने एक ओपन एक्सेस मिनी-कोर्स " चेक पॉइंट टू द मैक्स " प्रकाशित किया। वहां हमने सूचना सुरक्षा के दृष्टिकोण से चेक प्वाइंट कॉन्फ़िगरेशन में सबसे सामान्य त्रुटियों पर विचार करने के लिए संक्षेप में और उदाहरणों के साथ प्रयास किया। वास्तव में, हमने आपको बताया कि डिफ़ॉल्ट सेटिंग्स क्या खराब हैं और "अखरोट को कसने" के लिए कैसे। पाठ्यक्रम (हमारे लिए अप्रत्याशित रूप से) को काफी अच्छी समीक्षा मिली। उसके बाद, हमें इस सामग्री के एक संक्षिप्त "निचोड़" के लिए कई अनुरोध प्राप्त हुए - सुरक्षा सेटिंग्स के लिए एक चेकलिस्ट । हमने फैसला किया कि यह एक अच्छा विचार है, और इसलिए इस लेख को प्रकाशित करें।

शुरू करने से पहले, मैं दो बातों पर ध्यान देना चाहूंगा:

यह चेकलिस्ट आत्मनिर्भर दस्तावेज या मैनुअल नहीं है। यह केवल आवश्यक न्यूनतम जांच है जिसे करना वांछनीय है। अतिरिक्त (विस्तारित) सिफारिशें बुनियादी ढांचे की एक विस्तृत परीक्षा के बाद ही प्राप्त की जा सकती हैं।
चेकलिस्ट न केवल चेक प्वाइंट मालिकों के लिए प्रासंगिक होगी। अन्य विक्रेताओं को डिफ़ॉल्ट सेटिंग्स के साथ समान समस्याएं हैं: फोर्टिगेट , पालोएल्तो , सिस्को फायरपावर , केरियाओ , सोफोस , आदि।

और अब प्रत्येक आइटम पर कुछ टिप्पणियों के साथ ही चेकलिस्ट:

1) HTTPS निरीक्षण सक्षम

मैंने दूसरे पाठ में HTTPS निरीक्षण के महत्व के बारे में बात की , "प्वाइंट टू द मैक्स।" इस विकल्प के बिना, आपका प्रिय NGFW नेटवर्क की परिधि में एक बड़ा छेद बन जाता है।

2) अवांछित संसाधन और अनुप्रयोग अवरुद्ध हैं (ऐप और URL फ़िल्टरिंग)

चेक प्वाइंट पर, दो ब्लेड इसके लिए जिम्मेदार हैं - एप्लिकेशन कंट्रोल और URL फ़िल्टरिंग। लगभग यही बात अन्य विक्रेताओं के साथ मामूली अंतर के साथ है। इन कार्यों का मुख्य उद्देश्य संभावित खतरनाक संसाधनों या अनुप्रयोगों तक पहुंच को अवरुद्ध करके हमले के क्षेत्र को कम करना है। किसी कारण से, पूर्व-कॉन्फ़िगर की गई श्रेणियों (बेनामी, बॉटनेट्स, क्रिटिकल रिस्क, हैकिंग, हाई रिस्क, फ़िशिंग, रिमोट एडमिनिस्ट्रेशन, सोसपियस कंटेंट, स्पाईवेयर / दुर्भावनापूर्ण साइट्स, चुपके टैक्टिक्स आदि) की उपस्थिति के बावजूद, लोग इन प्रतिबंधों का उपयोग नहीं करते हैं। । नेटवर्क स्तर पर ऐसी चीजों को ब्लॉक करना बेहतर है और अधिक परिष्कृत सुरक्षा उपायों (IPS, एंटीवायरस, एंटी-बॉट, खतरा अनुकरण) के साथ ट्रैफिक चेक नहीं लाना है। यह झूठी सकारात्मकता से बचाएगा और आपको गेटवे प्रदर्शन से बचाएगा। जांच करें कि आपके गेटवे को किन श्रेणियों और अनुप्रयोगों से ब्लॉक किया जा सकता है, फिर अपनी पहुंच नीति की समीक्षा करें यहां एक अच्छी मदद स्मार्टईवेंट है, जो उपयोगकर्ता यातायात पर एक रिपोर्ट उत्पन्न कर सकता है।

3) अवांछित फ़ाइलों के डाउनलोड को रोकना (सामग्री जागरूकता)

मैंने तीसरे पाठ में इस बारे में बात की। चेक प्वाइंट पर, सामग्री जागरूकता ब्लेड इस सुविधा के लिए जिम्मेदार है। अन्य विक्रेताओं के लिए, शायद यह आपको एंटी-वायरस या डीएलपी मॉड्यूल करने की अनुमति देता है। इस क्रिया का अर्थ जानबूझकर अवांछित फ़ाइल प्रकारों को अवरुद्ध करना है। क्या आपके उपयोगकर्ताओं को वास्तव में exe फ़ाइलों को डाउनलोड करने की आवश्यकता है? लिपियों के बारे में क्या? इन फ़ाइलों की जांच क्यों करें और अपने गेटवे की विश्वसनीयता के लिए आशा करें, यदि आप उन्हें अनुपयुक्त सामग्री के रूप में अवरुद्ध कर सकते हैं? एनजीएफडब्ल्यू पर कम भार और उच्च स्तर की सुरक्षा। कभी-कभी उपयोगकर्ता यह भी नहीं जान सकता है कि उसने कुछ डाउनलोड करना शुरू कर दिया है (पृष्ठभूमि डाउनलोड)। अपनी नीति की समीक्षा करें, कम से कम निष्पादन योग्य फ़ाइलों को ब्लॉक करें।

4) एंटीवायरस फ़ाइलों की पूरी स्कैन करता है (एंटीवायरस - डीप स्कैन)

यह बिल्कुल सभी विक्रेताओं का उल्लंघन करता है। डिफ़ॉल्ट सेटिंग्स में, स्ट्रीमिंग एंटीवायरस केवल फ़ाइल के हैश या पहले कुछ बाइट्स को स्कैन करता है। पर्याप्त सुरक्षा के लिए यह पर्याप्त नहीं है। वायरस को संशोधित करना मुश्किल नहीं है। उन्हें पकड़ने के लिए, आपको एक गहरी जांच की आवश्यकता है। चेक प्वाइंट पर, गहन निरीक्षण विकल्प इसके लिए जिम्मेदार है। लेकिन सावधान रहें। इस सुविधा को बिल्कुल सभी फ़ाइलों के लिए सक्षम न करें। यदि आपके पास "कमजोर" गेटवे है, तो लोड बहुत अधिक बढ़ सकता है। सबसे खतरनाक (और अक्सर डाउनलोड की गई) फ़ाइलों के लिए गहन निरीक्षण का उपयोग करें: pdf, docx, xlsx, rtf, zip, rar, exe (यदि आप उन्हें डाउनलोड करने की अनुमति देते हैं), आदि। अधिक विवरण के लिए चौथा पाठ देखें।

5) अभिलेखागार की जाँच की जाती है, पासवर्ड से सुरक्षित लोगों को ब्लॉक किया जाता है (एंटीवायरस - आर्काइव स्कैन)

हैरानी की बात है, कई इस विकल्प के बारे में भूल जाते हैं। मुझे लगता है कि सभी को अभिलेखागार की जांच करने की आवश्यकता है। और यह सभी के लिए स्पष्ट होना चाहिए कि पासवर्ड वाले अभिलेखागार को अवरुद्ध करने की आवश्यकता है। मुझे यहाँ और अधिक विस्तृत कुछ चित्रित करने का कोई कारण नहीं दिखता। बस जांचें कि आपके पास यह कॉन्फ़िगर है।

6) अतिरिक्त स्कैन इंजन शामिल हैं (एंटीवायरस - प्रोटेक्शन)

डिफ़ॉल्ट खतरा निवारण (अनुकूलित) प्रोफ़ाइल में, अतिरिक्त सत्यापन तंत्र अक्षम हैं, जैसे: दुर्भावनापूर्ण गतिविधि - हस्ताक्षर , असामान्य गतिविधि - व्यवहार पैटर्न । इन सेटिंग्स की उपेक्षा न करें। उन्हें कैसे शामिल किया जाए मैंने चौथे पाठ में दिखाया।

7) IPS को सप्ताह में कम से कम एक बार अपडेट किया जाता है

पांचवें सबक में, मैंने यह दिखाने की कोशिश की कि नेटवर्क सुरक्षा के लिए IPS कितना महत्वपूर्ण है। और दक्षता के लिए महत्वपूर्ण शर्तों में से एक "ताज़ा" हस्ताक्षर आधार है। सुनिश्चित करें कि आपका IPS अक्सर पर्याप्त अपडेट किया जाता है। मेरी सिफारिश कम से कम हर तीन दिन में है। एक नियम के रूप में, लगभग सभी विक्रेताओं के लिए डिफ़ॉल्ट मान बहुत अधिक (एक सप्ताह से एक महीने तक) हैं।

8) IPS को एक अलग लेयर में ले जाया जाता है

एक और महत्वपूर्ण बिंदु। IPS को एक अलग लेयर में रखना सुनिश्चित करें। केवल इस तरह से आप इसका अधिकतम लाभ उठा सकते हैं। मैंने कुछ विस्तार से बताया कि पाठ्यक्रम के छठे पाठ में ऐसा क्यों और कैसे करना है।

9) विभिन्न नेटवर्क सेगमेंट के लिए अलग-अलग खतरा निवारण नीतियां

खतरा निवारण नीतियों में ऐसे ब्लेड शामिल हैं जैसे: एंटीवायरस, एंटी-बॉट, आईपीएस, थ्रेट इम्यूलेशन, थ्रेट एक्सट्रैक्शन। जैसा कि हमने पहले ही ऊपर कहा है, IPS को एक अलग लेयर में ले जाना चाहिए। वहां आपकी कम से कम दो नीतियां होनी चाहिए - एक क्लाइंट डिवाइस के लिए, दूसरी सर्वर डिवाइस के लिए। इसी समय, आदर्श रूप से, राजनीति को और भी अधिक टुकड़े करना चाहिए, क्योंकि प्रत्येक खंड में विभिन्न प्रकार के उपकरण और विभिन्न प्रकार की सेवाएं हो सकती हैं। मुख्य कार्य केवल आवश्यक सुरक्षा तंत्र को सक्षम करना है। यह लिनक्स-होस्ट के लिए इच्छित ट्रैफ़िक-विंडोज़-हस्ताक्षरों की जाँच करने का कोई अर्थ नहीं रखता है। वही अन्य ब्लेड के लिए जाता है। एक खंडित खतरा निवारण नीति पर्याप्त सुरक्षा की कुंजी है।

10) होल्ड मोड का उपयोग करें

डिफ़ॉल्ट रूप से, थ्रेट प्रिवेंशन बैकग्राउंड मोड का उपयोग करता है। इसका मतलब है, अगर फ़ाइल नई है और कोई आवश्यक हस्ताक्षर नहीं है, तो यह तब पास हो सकता है जब पृष्ठभूमि में "इन-डेप्थ" चेक चल रहा हो। यह वही नहीं है जो आमतौर पर उपायों से आवश्यक होता है। इसलिए, सुनिश्चित करें कि थ्रेड प्रिवेंशन प्रॉपर्टीज़ (वैश्विक सेटिंग और प्रोफ़ाइल सेटिंग्स में) में होल्ड मोड सक्षम है।

11) जियो पॉलिसी का गठन किया

यह फ़ंक्शन भी अवांछनीय रूप से भूल गया है। यह विकल्प आपको अपने नेटवर्क के लिए किसी भी देश के किसी भी ट्रैफ़िक (इनकमिंग और आउटगोइंग) को ब्लॉक करने की अनुमति देता है। क्या आपके उपयोगकर्ताओं को बांग्लादेश या कांगो की यात्रा करने की आवश्यकता है? लेकिन हमलावर उन देशों के सर्वर का उपयोग करना पसंद करते हैं जहां साइबर क्राइम के संदर्भ में कानून खराब तरीके से विकसित किए गए हैं। एक सक्षम भू-नीति न केवल सुरक्षा के स्तर को बढ़ाएगी, बल्कि गेटवे पर लोड को भी कम करेगी, क्योंकि उत्तरार्द्ध को सब कुछ जांचना नहीं है।

12) खतरा अनुकरण सक्षम

यहां एक बिंदु पर्याप्त नहीं है। अच्छे के लिए, आपको थ्रेट एमुलेशन सेटिंग्स के लिए एक अलग चेकलिस्ट बनाने की आवश्यकता है। आपकी अनुमति के साथ, मैं ऐसा नहीं करूंगा :) मैं एक मुख्य सिफारिश पर ध्यान केंद्रित करूंगा - ब्लेड चालू होना चाहिए। किसी कारण से, कई और प्रशासक इस सुविधा को एक अनावश्यक विदेशी मानते हैं। कम से कम डिटेक्ट मोड को चालू करें और एक सप्ताह में रिपोर्ट देखें। आप हैरान हो जाएंगे। यदि वर्तमान सदस्यता स्तर इस ब्लेड के उपयोग की अनुमति नहीं देता है, तो आप 30 दिनों के लिए डेमो लाइसेंस का अनुरोध कर सकते हैं ।

13) मिसिंग फाल्स पॉजिटिव

अंतिम लेकिन कम से कम नहीं। मैंने कई बार दोहराया है (और कभी नहीं दोहराते हुए) कि सुरक्षा एक सतत प्रक्रिया है, परिणाम नहीं। इसलिए, भले ही आप अच्छी तरह से तैयार हों, आपको कम से कम प्रभावशीलता और परिणामों की जांच करनी चाहिए। क्या संरक्षण कार्य करता है और क्या इसमें कोई त्रुटि है? ऐसा करने के लिए सबसे सरल उदाहरण समय-समय पर सुरक्षा लॉग की जांच करना है। खतरा निवारण ब्लेड लॉग की जाँच करें। क्या उच्च के साथ गंभीर या गंभीर और आत्मविश्वास के स्तर के साथ गंभीरता से पता लगाने की घटनाएं हैं। लॉग फ़िल्टर उदाहरण:

product_family: (खतरा या समापन बिंदु या मोबाइल) और कार्रवाई: पता लगाएँ और गंभीरता: (गंभीर या उच्च) और confidence_level: (मध्यम-उच्च या उच्च)

यदि आपने इस फ़िल्टर के अंतर्गत आने वाले लॉग को देखा, तो आपने उस नेटवर्क को याद किया जिसे आपको ब्लॉक करना था। या तो आपने कुछ गलत तरीके से कॉन्फ़िगर किया है, या आपके उपाय के रूप में यह काम नहीं करना चाहिए। ऐसी घटनाओं के लिए समय-समय पर जाँच करें, या सूचनाएँ (SmartEvent कार्यक्षमता) कॉन्फ़िगर करें।

सर्वोत्तम अभ्यास

आप चेक प्वाइंट के आधिकारिक दस्तावेज में अधिकांश आइटम पा सकते हैं। हमने पहले से ही " चेक प्वाइंट इंस्ट्रक्शंस और उपयोगी दस्तावेज " लेख में एक संपूर्ण संग्रह प्रकाशित किया है। हमारे मामले में, सूचना का मुख्य स्रोत लेखों का चयन होगा - सर्वश्रेष्ठ अभ्यास और एटीआरजी । यदि आप चेक प्वाइंट उत्पादों के एक खुश मालिक हैं, तो इन विषयों को पढ़ना आवश्यक है।

निष्कर्ष

इसके साथ हम अपने "लानत दर्जन" चेक को समाप्त कर देंगे। यदि आप इस सूची के अनुसार अपनी गेटवे सेटिंग्स को व्यवस्थित करते हैं, तो आपकी सुरक्षा का स्तर 80% कंपनियों (व्यक्तिगत अनुभव के आँकड़े) से अधिक होगा। मैं दोहराता हूं कि ये सिर्फ बुनियादी जांच हैं। उन्नत और अधिक विशिष्ट अनुशंसाओं के लिए, आपको वर्तमान सेटिंग्स और नेटवर्क आर्किटेक्चर के व्यापक विश्लेषण की आवश्यकता है। यहां आप सेटिंग्स के ऐसे ऑडिट के परिणामों पर एक उदाहरण रिपोर्ट ( चेक प्वाइंट सिक्योरिटी ऑडिट ) पा सकते हैं। यदि आप चाहें, तो आप सुधारों के लिए विशिष्ट सिफारिशों और निर्देशों के साथ एक रिपोर्ट प्राप्त कर सकते हैं।

अतिरिक्त प्रशिक्षण सामग्री हमारे समूह या टेलीग्राम चैनल में मिल सकती है ।

आप यहां चेक प्वाइंट सुरक्षा सेटिंग्स का निःशुल्क ऑडिट कर सकते हैं।

चेक प्वाइंट सिक्योरिटी सेटिंग्स चेकलिस्ट