Konfigurując Sycope jako flow collector w Gaia, organizacje mogą wykorzystywać istniejącą infrastrukturę Check Point jako źródło network telemetry do ciągłego monitoringu i analizy historycznej.
Integracja wykorzystuje standardowe protokoły flow obsługiwane przez obie platformy i nie wymaga dedykowanego proprietary connector.
Table of Contents
Od ruchu Check Point do analizy sieciowej
Check Point obsługuje eksport NetFlow v5, NetFlow v9 i IPFIX. Konfiguracja collectora definiuje docelowy adres IP i port, source address tam, gdzie jest wymagany, oraz format wykorzystywany do eksportu.
Security Gateways i Cluster Members mogą eksportować rekordy opisujące ruch przechodzący przez te urządzenia. Gaia obsługuje do trzech NetFlow collectors i wysyła rekordy do każdego skonfigurowanego destination.
Po odebraniu flow records przez Sycope dane stają się dostępne do analizy sieciowej, w dashboardach, wyszukiwaniu, raportowaniu i regułach monitoringu.
Rozszerza to widoczność zapewnianą przez gateway o historyczną analizę komunikacji obserwowanej w czasie.
Uzupełniające się możliwości, z jasno określonym podziałem ról
Check Point i Sycope pozostają niezależnymi platformami i pełnią różne role w architekturze sieciowej i bezpieczeństwa.
Check Point zapewnia:
- Firewall i egzekwowanie polityk Access Control
- Security inspection
- Przetwarzanie sesji sieciowych
- Funkcjonalność Security Gateway i cluster
- Eksport NetFlow v5, NetFlow v9 i IPFIX
- Kontrolę nad tym, który zaakceptowany ruch jest uwzględniany w eksporcie NetFlow
Sycope zapewnia:
- Zbieranie i analizę NetFlow i IPFIX
- Widoczność komunikacji host-to-host
- Historyczne dane o ruchu sieciowym
- Analizę wydajności sieci
- Wykrywanie anomalii i zagrożeń sieciowych
- Wyszukiwanie i filtrowanie ruchu
- Dashboardy, raportowanie i alerting
Check Point kontroluje i analizuje komunikację podczas jej przechodzenia przez Security Gateway. Sycope wykorzystuje wyeksportowane flow records do analizy tej komunikacji w czasie oraz razem z telemetry z innych urządzeń sieciowych.
Wykorzystanie danych Security Gateway do szerszej widoczności sieciowej
Flow records generowane przez Check Point dostarczają informacji o komunikacji przechodzącej przez gateway. Zbieranie tych informacji w Sycope pozwala wykorzystywać te same dane o ruchu do długoterminowej analizy operacyjnej i bezpieczeństwa.
Komunikacja pomiędzy systemami
Flow data dostarczają informacji o endpointach uczestniczących w komunikacji, portach, wolumenach ruchu i czasie.
Sycope może wykorzystywać te rekordy, aby pokazać, które systemy się komunikowały, kiedy dochodziło do komunikacji i jaka ilość danych została wymieniona.
Wspiera to analizy dotyczące problemów z łącznością, nieoczekiwanej komunikacji i zmian we wzorcach ruchu wpływających na systemy znajdujące się za Check Point Security Gateways.
Historyczna analiza ruchu
Analiza często rozpoczyna się już po wystąpieniu komunikacji, która ma znaczenie dla danego zdarzenia.
Retencja flow records w Sycope pozwala zespołom wrócić do momentu incydentu lub problemu wydajnościowego i przeanalizować komunikację związaną z konkretnym systemem lub usługą.
Analitycy mogą przeglądać partnerów komunikacji, wolumeny ruchu i aktywność w czasie, zamiast polegać wyłącznie na bieżącym stanie gateway lub pojedynczych wpisach w logach.
Wydajność sieci i wykorzystanie ruchu
Flow data mogą być również wykorzystywane do zrozumienia, w jaki sposób zużywana jest przepustowość sieci.
Sycope analizuje wolumeny ruchu pomiędzy hostami, usługami, exporterami i interfejsami, pomagając zespołom identyfikować zmiany w wykorzystaniu sieci oraz systemy odpowiedzialne za nietypowo duże ilości ruchu.
Te same historyczne informacje mogą wspierać troubleshooting, capacity analysis i analizę pogorszenia wydajności.
Analiza bezpieczeństwa oparta na zachowaniu sieci
Mechanizmy bezpieczeństwa Check Point i flow analytics w Sycope zapewniają różne perspektywy na ten sam ruch.
Security Gateway pozostaje odpowiedzialny za egzekwowanie polityk i security inspection. Sycope analizuje wzorce komunikacji i zachowanie historyczne, zapewniając dodatkowe źródło danych, gdy nietypowa lub podejrzana aktywność wymaga dalszej analizy.
Daje to zespołom NOC i SOC dostęp do długoterminowej perspektywy sieciowej, przy jednoczesnym zachowaniu istniejącej roli Check Point na granicy bezpieczeństwa.
Kontrola nad tym, jaki ruch jest eksportowany
Check Point zapewnia kontrolę nad ruchem uwzględnianym w eksporcie NetFlow.
W przypadku czystej instalacji R82 eksport NetFlow jest domyślnie włączony dla ruchu zaakceptowanego przez reguły Access Control. Administratorzy mogą również włączyć opcję NetFlow Fw rule, aby ograniczyć eksport do ruchu zaakceptowanego przez reguły skonfigurowane w SmartConsole z ustawieniem Track: Log and Accounting.
Pozwala to dopasować zakres eksportu flow do wymaganego zakresu monitoringu w organizacji, zamiast traktować cały ruch gateway w ten sam sposób.
Dokładna konfiguracja zależy od wersji Gaia oraz od tego, czy środowisko jest czystą instalacją, czy zostało zaktualizowane z wcześniejszego wydania, dlatego podczas wdrożenia należy stosować odpowiednią dokumentację Check Point.
Wiele gatewayów i collectorów
Check Point umożliwia skonfigurowanie do trzech NetFlow collectors na Security Gateway. Każdy skonfigurowany collector otrzymuje kopię eksportowanych rekordów.
Pozwala to wprowadzić Sycope obok innego istniejącego flow collectora bez konieczności zastępowania obecnego destination.
W większych środowiskach wiele Check Point Security Gateways może eksportować dane do tego samego środowiska Sycope. Uzyskane flow data mogą być następnie analizowane razem z telemetry odbieraną z innych kompatybilnych urządzeń sieciowych.
Zapewnia to wspólną warstwę analityczną obejmującą różne segmenty sieci i typy exporterów.
Jak działa integracja
Integracja składa się z trzech głównych elementów.
1. Eksport NetFlow w Check Point Gaia
NetFlow collector jest konfigurowany w Gaia Portal lub Gaia Clish z wykorzystaniem adresu IP i portu collectora Sycope.
Administrator wybiera wymagany format eksportu: NetFlow v5, NetFlow v9 lub IPFIX. W razie potrzeby wynikającej z konfiguracji sieci można również zdefiniować source IPv4 address.
W środowiskach cluster Check Point wymaga spójnej konfiguracji NetFlow na wszystkich Cluster Members.
Konfiguracja może dodatkowo określać, czy zaakceptowany ruch jest eksportowany ogólnie, czy wyłącznie wtedy, gdy odpowiada regułom Access Control wykorzystującym Log and Accounting.
2. Zbieranie flow w Sycope
Sycope odbiera wyeksportowane rekordy NetFlow lub IPFIX i przetwarza je jako network telemetry.
Domyślny port nasłuchiwania NetFlow w Sycope to 2055, choć można skonfigurować dodatkowe porty. Sycope obsługuje NetFlow v5, NetFlow v9 i IPFIX, a także inne protokoły flow używane przez różne exportery.
Dane Check Point mogą być więc analizowane w tym samym środowisku co flows odbierane ze switchy, routerów, firewalli i innej wspieranej infrastruktury.
3. Analiza, wizualizacja i alerting
Po przetworzeniu flow records Check Point stają się dostępne w całym środowisku analitycznym Sycope.
Zespoły mogą wykorzystywać dane do przeszukiwania historycznej komunikacji, analizowania wzorców ruchu, tworzenia dashboardów i raportów oraz stosowania reguł monitoringu lub bezpieczeństwa.
Check Point nadal egzekwuje polityki firewalla i bezpieczeństwa, natomiast Sycope zapewnia historyczną i behawioralną analizę komunikacji obserwowanej przez gateway.
Od ruchu gateway do historycznego kontekstu sieciowego
Rozważmy wewnętrzny serwer, którego komunikacja przechodzi przez Check Point Security Gateway.
Gateway przetwarza ruch zgodnie ze skonfigurowanymi politykami Access Control i bezpieczeństwa oraz eksportuje odpowiadające informacje flow do Sycope.
Sycope przechowuje i analizuje te rekordy w czasie.
Jeśli serwer później stanie się częścią analizy bezpieczeństwa lub wystąpi na nim problem wydajnościowy, zespół może przeanalizować jego historyczną komunikację w Sycope, w tym partnerów komunikacji, usługi, wolumeny ruchu i zmiany aktywności w odpowiednim okresie.
Te same informacje mogą być porównywane z flow data z innych exporterów, aby odtworzyć szerszy obraz aktywności sieciowej.
Check Point pozostaje odpowiedzialny za kontrolowanie komunikacji na gateway, natomiast Sycope zapewnia historyczne dane sieciowe wykorzystywane do zrozumienia sposobu komunikacji systemów objętych analizą.
Integracja Check Point i Sycope
Eksport NetFlow i IPFIX z Check Point zapewnia standardowy sposób wykorzystania istniejących Security Gateways jako źródeł danych sieciowych dla Sycope.
Flow data zbierane z Check Point mogą być analizowane razem z telemetry z innych urządzeń sieciowych, zapewniając szerszą widoczność komunikacji, wykorzystania sieci i zachowań związanych z bezpieczeństwem bez zmiany roli istniejącej infrastruktury firewall.
Aby omówić wykorzystanie flow data z Check Point w Sycope, skontaktuj się z naszym zespołem.
