標的型攻撃対策 ハンズオン・トレーニング - チェック・ポイント・ソフトウェア

標的型攻撃対策 ハンズオン・トレーニング
次世代ファイアウォール/Software Blade基本設定コース
Last updated on Jul 28, 2016
©2016
Check
Point
Software
Technologies
©2016
Check
Point
Software
Technologies
Ltd.Ltd1
アジェンダ
1
2
3
4
5
6
7
アプライアンスの概要
GAiAセットアップ
FWセットアップ
IPSセットアップ
Anti-BotとAntivirusのセットアップ
Threat Emulationのセットアップ
運用管理オペレーション
©2016 Check Point Software Technologies Ltd. 2
アジェンダ
1
2
3
4
5
6
7
アプライアンスの概要
GAiAセットアップ
FWセットアップ
IPSセットアップ
Anti-BotとAntivirusのセットアップ
Threat Emulationのセットアップ
運用管理オペレーション
©2016 Check Point Software Technologies Ltd. 3
アプライアンス・シリーズ
アプライアンス
1) 理想的なテスト環境におけるパフォー
マンス(RFC 3511, 2544, 2647, 1242)
2) アクセラレータ・カード使用時
Security Power
FWスループット1)
標準メモリ
2200
121
3Gbps
2GB（最大2GB)
32bit
4200
121
3Gbps
4GB (最大4GB）
32bit
4400
230
5Gbps
4GB (最大4GB）
32bit
4600
405
9Gbps
4GB（最大4GB)
32bit
4800
673
11Gbps
4GB
8GB/8GB
32bit / 64bit
12200
811
15Gbps
4Gb
8GB/8GB
32bit / 64bit
12400
1185
25Gbps
4GB
8GB/12GB
32bit / 64bit
12600
2050
30Gbps
6GB
6GB/12GB
32bit / 64bit
13500
3200
77Gbps
16GB
16GB/64GB
32bit / 64bit
13800
3800
77Gbps
16GB
16GB/64GB
32bit / 64bit
21400
2175/29002)
50/110Gbps2)
12GB
12GB/24GB
32bit / 64bit
21700
3300/35512)
78.6/110Gbps2)
16GB
16GB/32GB
32bit / 64bit
21800
4100/43002)
78/110Gbps2)
16GB
16GB/64B
32bit / 64bit
64bitメモリ
（最小/最大）
OS対応
2200 アプライアンス
12000 アプライアンス
4000 アプライアンス
21000 アプライアンス
13000 アプライアンス
©2016 Check Point Software Technologies Ltd. 4
アプライアンス・シリーズ
アプライアンス
Security Power
FWスループット1)
同時接続数
（標準/最大）
10/100/1000BaseTポート数
（標準/最大）
標準メモリ
(標準/最大)
3200
250
4Gbps
320万
6
8GB
5200
425
16Gbps
320万/640万
6/14
8/16GB
5400
600
22Gbps
320万/1280万
10/18
8/32GB
5600
950
25Gbps
320万/1280万
10/18
8/32GB
5800
1750
35Gbps
320万/1280万
10/26
8/32GB
15400
2600
58Gbps
320万/2560万
10/26
8/64GB
15600
3850
76Gbps
640万/2560万
10/26
16/64GB
23500
4900
116Gbps
640万/5120万
10/42
16/128GB
23800
6200
128Gbps
1280万/5120万
10/42
32/128GB
1) 理想的なテスト環境におけるパフォーマンス(RFC 3511, 2544, 2647, 1242)
1400/3200 アプライアンス
15000 アプライアンス
5000 アプライアンス
23000 アプライアンス
©2016 Check Point Software Technologies Ltd. 5
新旧アプライアンス製品の性能比較
※NGTP – Next Generation Threat Prevention (Firewall, IPS, Anti Virus, Anti Bot, App Control, URL Filtering)
300
1600
250
200
150
NGFW
NGTP※
100
Mbps (Prod. Traffic)
Mbps (Prod. Traffic)
1200
800
NGFW NGTP※
400
50
0
0
4400
5200
12400
15400
性能劣化なしにNGTP※を処理可能
[Confidential] For designated groups and individuals
©2016 Check Point Software Technologies Ltd. 6
NGTX※を高い性能で実行
350
2400
300
2000
200
NGTX※
150
NGTP
100
Mbps (Prod. Traffic)
Mbps (Prod. Traffic)
250
1600
1200
NGTP
800
50
400
0
0
4600
5400
NGTX※
13500
15600
※NGTX – Next Generation Threat Extraction (NGTP + Threat Extraction + Threat Emulation)
[Confidential] For designated groups and individuals
©2016 Check Point Software Technologies Ltd. 7
パッケージ化されたソリューション
標準
*
オプション
NGTP
NGTX
Next Generation Threat Prevention
Next Generation Threat Extraction
Firewall
Identity Awareness
IPsec VPN
ADN&C
Mobile Access
IPS
App Control
URL Filtering
Antivirus
Anti-Bot
Anti-Spam & Email
Threat Extraction
Threat Emulation
DLP
*
*
*
*
©2016 Check Point Software Technologies Ltd. 8
標的型攻撃 – 代表的な攻撃シナリオ
1. 1 マルウェア・ファイル付メールの送信
1. 2 C&CサイトのURL付メールの送信
2. 1 受信者が添付ファイルをオープン、文書中
に存在するリンクをクリック
2. 2 または、メール本文中のリンクをクリック
3. 攻撃が仕組まれたサイトへ誘導、アクセス
4. 攻撃プログラムがダウンロード
５. 侵入したボットが 攻撃者に指令を求めて通信
個人情報の流出、企業データの流出
©2016 Check Point Software Technologies Ltd.
[Confidential] For designated groups and individuals
9
©2016 Check Point Software Technologies Ltd. 9
標的型攻撃の防御に必要な機能
1 マルウェア・ フ
1. 1 マルウェア・ファイル付メールの送信
2 C&CサイトのU
1. 2 C&CサイトのURL付メールの送信
Emulation
Extraction
1 受信 者が添付フ
2. 1 2.
受信者が添付ファイルをオープン、文書中
に存在するリンクをクリック
2. 2 または、メール本文中のリンクをクリック
Threat
Threat
Antivirus
3. 攻撃が仕組まれたサイトへ誘導、アクセス
4.
Antivirus
IPS
Threat
Emulation
攻撃プログラムがダウンロード
５. 侵入したボットが 攻撃者に指令を求めて通信
個人情報の流出、企業データの流出
Anti-bot
©2016 Check Point Software Technologies Ltd.
DLP
[Confidential] For designated groups and individuals
1
©2016 Check Point Software Technologies Ltd. 10
0
ゼロデイ標的型攻撃への多層防御
IPS
Antivirus
（入口） 既知の脆弱性を狙
うエクスプロイトからの保護
（入口） 既知のマルウェア・ファ
イルのダウンロードをブロック
Threat Emulation
（入口） 未知のマルウェアに
よるゼロデイ攻撃をブロック
Threat Extraction
（入口）ゼロ秒でドキュメン
トを無害化し配信
Anti-Bot
ThreatCloud
（出口）ボットによる
被害を検出し、阻止
リアルタイムのセキュリ
ティ・インテリジェンス
©2016 Check Point Software Technologies Ltd. 11
HTTPSインスペクション
SSLで暗号化された通信の検査を実現
IPS
Application
Control
URL Filtering
Antivirus
Anti-Bot
Threat
Emulation
©2016 Check Point Software Technologies Ltd. 12
三層構造アーキテクチャ
スタンドアロン構成
赤枠: 一台のアプライアンス
セキュリティ・ポリシーなど
ログやステータスなど
ゲートウェイ
Security Management サーバ
管理コンソール
SmartConsole & Webブラウザ
• Security Managementサーバでは、セキュリティ・ポリシーの保存やコンパイルなど
が行われます
• ゲートウェイで生成されるログは、 管理サーバに保存されます
©2016 Check Point Software Technologies Ltd. 13
構成パターン
本ドキュメントは、
こちらについて解説します！
分散構成
スタンドアロン構成
Gateway
Gateway
Management
Management
冗長構成
冗長構成 (Full HA)
(Cluster-XL or VRRP)
Management
Gateway
Management
Gateway
Management
Gateway
Gateway
©2016 Check Point Software Technologies Ltd. 14
アジェンダ
1
2
3
4
5
6
7
アプライアンスの概要
GAiAセットアップ
FWセットアップ
IPSセットアップ
Anti-BotとAntivirusのセットアップ
Threat Emulationのセットアップ
運用管理オペレーション
©2016 Check Point Software Technologies Ltd. 15
GAiAのサポート・ブラウザ
• Microsoft Internet Explorer 8 or higher
• Google Chrome 14 or higher
• Firefox 6 or higher
• Apple Safari 5 or higher
©2016 Check Point Software Technologies Ltd. 16
ネットワーク構成図
Internet
192.168.100.1
External:192.168.100.0/24
(GW)
192.168.100.xx
（ポート1）
xxは別紙参照
（グループごとに異なります）
本トレーニングでは
使用しません
172.16.1.1
（ポート6）
192.168.10.101
（ポート2）
DMZ:192.168.10.0/24
管理PC:172.16.1.5
Internal:172.16.1.0/24
[Restricted] ONLY for designated groups and individuals
©2016 Check Point Software Technologies Ltd. 17
アプライアンス初期設定
• アプライアンスは、初期設定においてMGMTインター
フェースに192.168.1.1/24のIPアドレスが割り当てられて
います
• PCのIPアドレスが192.168.1.x/24 (.1以外)に設定されてい
ることを確認します
• PCをMGMTインターフェースに接続します
• ブラウザを起動して以下のURLにアクセスします
– https://192.168.1.1
MGMTポート
Consoleポート
2200 アプライアンスの例
©2016 Check Point Software Technologies Ltd. 18
初期アカウント
• 初期設定では、以下のアカウントが設定されています
– ユーザ名：admin, パスワード：admin
• ログイン後、First Time Configuration Wizardが表示されます
©2016 Check Point Software Technologies Ltd. 19
First Time Configuration Wizard 1
• クリーンインストールによるR77.20の設定を行います
• Nextボタンをクリックして初期パスワードを変更します
– 今回は、例としてP@ssw0rdと入力します
©2016 Check Point Software Technologies Ltd. 20
First Time Configuration Wizard 2
• Mgmtインターフェースのアドレスを構成図のアドレスに変更
します。アドレスを変更すると、初期のアドレスは、セカン
ダリIPアドレスに変更されます
• 構成図の通り、デフォルト・ゲートウェイのアドレスを設定
します
©2016 Check Point Software Technologies Ltd. 21
First Time Configuration Wizard 3
• ライセンス、コントラクト、防御機能などのアップデートを
行うためにCheck Point User Centerと通信するインター
フェースを設定します
• 今回は、eth1がインターネット接続可能なインターフェース
になりますので、eth1のアドレスを設定します
©2016 Check Point Software Technologies Ltd. 22
First Time Configuration Wizard 4
• ホスト名、ドメイン名、DNSサーバを設定します
• ホスト名は、ゲートウェイ管理の“オブジェクト名”に利用さ
れますので、複数ある場合は重複しない名前を入力します
©2016 Check Point Software Technologies Ltd. 23
First Time Configuration Wizard 5
• アプライアンスの構成を決定します
• 今回は、スタンドアロン構成になるのでSecurity Gatewayと
Security Managementにチェックをします
• Check Point User Centerのアカウントがないので、今回は自
動ダウンロードのチェックを外します（推奨は有効）
©2016 Check Point Software Technologies Ltd. 24
First Time Configuration Wizard 6
• 管理サーバのユーザ名、パスワードを設定します
• 今回は例として以下を入力します
– Administrator Name: fwadmin, Password: P@ssw0rd
©2016 Check Point Software Technologies Ltd. 25
First Time Configuration Wizard 7
• 管理サーバに専用GUIからのアクセスを許容するアドレスを
設定します
• アドレス、ネットワーク、アドレスレンジの設定が可能です
©2016 Check Point Software Technologies Ltd. 26
First Time Configuration Wizard 8
• ライセンスの投入を行います
• 購入ライセンスがない場合、Activation laterを選択すること
で、15日間のトライアル・ライセンスで動作します
©2016 Check Point Software Technologies Ltd. 27
First Time Configuration Wizard 9
• ライセンスの投入を行います
• 購入ライセンスがない場合、Activation laterを選択すること
で、15日間のトライアル・ライセンスで動作します
• システムのフィードバックをCheck Pointに送信するか否かの
チェックを今回は外します
設定のプロセスを開始します
©2016 Check Point Software Technologies Ltd. 28
First Time Configuration Wizard 10
• ゲートウェイと管理サーバの設定プロセスが進みます
• 設定内容の一覧を確認してOKボタンをクリックします
• 自動的に GAiA ポータルにログインしますが、
一旦サインアウトします。
©2016 Check Point Software Technologies Ltd. 29
GAiA Portal 1
• クライアントのアドレスを構成図に合わせて変更します
• 新たに設定したMgmtインターフェースのアドレスにアクセスします
– https://172.16.1.1/
– ユーザ名：admin, パスワード：P@ssw0rd
©2016 Check Point Software Technologies Ltd. 30
GAiA Portal 2
• First Time Configuration Wizardで設定したインターフェース
やゲートウェイのバージョンを確認できます
©2016 Check Point Software Technologies Ltd. 31
GAiA Portal 3
• 初期設定時のアドレス(192.168.1.1)がMgmt:1に割り当てられ
ているのが分かります
• Mgmt:1は必要ないので削除します
– Network Interfaces> Mgmt:1を選択してDeleteボタンをクリック
します
©2016 Check Point Software Technologies Ltd. 32
GAiA Portal 4
• eth2を選択してEditボタンをクリックします。Enableに
チェックを入れて所定のアドレスを入力します
• Commentには、インターフェースの利用目的を記すと管理し
やすくなります
• Ethernetタブでは、Link Speedなどの設定ができます
©2016 Check Point Software Technologies Ltd. 33
GAiA Portal 5
• eth2と同様の手順で、Mgmtとeth1の修正を行います(Comment部分)
– ハンズオンでは、eth2は物理的には接続されていないのでDownの状態です
©2016 Check Point Software Technologies Ltd. 34
GAiA Portal 6
• GAiA PortalからTerminalアクセスが可能です
• login: admin, Password: P@ssw0rdでログインできます
©2016 Check Point Software Technologies Ltd. 35
GAiA Portal 7
• expertモードでは、Unixコマンドを実行できます
• expertモードのアカウントを設定します
– set expert-password P@ssw0rd（今回はP@ssw0rdで設定）
– CLIで設定変更した場合、save configコマンドによる保存が必
要です
©2016 Check Point Software Technologies Ltd. 36
GAiA Portal 8
• show version allコマンドでプロダクトのバージョンを確認で
きます
• show configurationコマンドでGAiAの設定を確認できます
©2016 Check Point Software Technologies Ltd. 37
GAiA Portal 9
• 設定変更の権限がない場合、コンフィグレーション・ロック
の状態になります
– GAiAポータルでは、鍵マークをクリックすると権限を得られます
– CLIでは、lock database overrideコマンドで権限を得られます
©2016 Check Point Software Technologies Ltd. 38
アジェンダ
1
2
3
4
5
6
7
アプライアンスの概要
GAiAセットアップ
FWセットアップ
IPSセットアップ
Anti-BotとAntivirusのセットアップ
Threat Emulationのセットアップ
運用管理オペレーション
©2016 Check Point Software Technologies Ltd. 39
SmartConsoleのインストール 1
• SmartConsoleのインストールは[Download Now!]をクリックし
ます
©2016 Check Point Software Technologies Ltd. 40
SmartConsoleのインストール 2
• SmartConsoleのインストールを開始します
• ライセンスに同意してプロセスを進めます
©2016 Check Point Software Technologies Ltd. 41
SmartDashboardの接続 1
• プログラムからSmartDashboard R77.20を選択して、管理
サーバにアクセスを行います
• First Time Configuration Wizardで設定した管理サーバの
ユーザ名、パスワードを入力します
– ユーザ名：fwadmin, パスワード：P@ssw0rd
• SmartDashboardは、実機が無くてもSoftware Bladeの機能を
確認できるDemo modeを利用できます
©2016 Check Point Software Technologies Ltd. 42
SmartDashboardの接続 2
• 管理サーバが成りすまされていないかFingerprintを確認し
ます
• 評価期間であることと、その残存日数が表示されますの
で、”OK”ボタンをクリックします
©2016 Check Point Software Technologies Ltd. 43
SmartDashboardの接続 3
• 各Software Bladeの設定がタブで分かれています
Software Bladeタブ
オブジェクト
管理サーバで管理している
ゲートウェイ
©2016 Check Point Software Technologies Ltd. 44
ゲートウェイ・オブジェクトの編集 1
• オブジェクトでGW-1を選択してダブルクリックします
• 購入したSoftware Bladeに応じたものを選択します
• トライアル・ライセンスでは、各種Software Bladeを確認
できます
©2016 Check Point Software Technologies Ltd. 45
ゲートウェイ・オブジェクトの編集 2
• スタンドアロン構成では、管理サーバのBladeも選択でき
ます
©2016 Check Point Software Technologies Ltd. 46
ゲートウェイ・オブジェクトの編集 3
• Topology> Get> Interfaces with Topologyを選択します
• Anti-Spoofingが設定されているメッセージが表示されます
ので、”OK”ボタンをクリックします
©2016 Check Point Software Technologies Ltd. 47
ゲートウェイ・オブジェクトの編集 4
• インターフェースのTopology情報を収集した結果が出力さ
れますので”Accept”ボタンをクリックします
• Mgmtインターフェースを選択して”Edit”ボタンをクリック
します
©2016 Check Point Software Technologies Ltd. 48
ゲートウェイ・オブジェクトの編集 5
• MgmtインターフェースのTopologyがInternalになっている
かを確認します
• Internal> TopologyのNetwork defined by the interface IP
and Net Maskが選択されていることで、172.16.1.0/24が
internalインターフェースで認識されるIPアドレスと判断さ
れます
©2016 Check Point Software Technologies Ltd. 49
ゲートウェイ・オブジェクトの編集 6
• eth1インターフェースのTopologyがExternalになっている
かを確認します
©2016 Check Point Software Technologies Ltd. 50
ゲートウェイ・オブジェクトの編集 7
• eth2インターフェースのTopologyがInternalになっている
かを確認します
• Interface leads to DMZにチェックを入れます。この設定は
コンテンツ検査を行うBladeでInternal, DMZを認識して検
査するのに用いられます
©2016 Check Point Software Technologies Ltd. 51
ゲートウェイ・オブジェクトの編集 8
• ゲートウェイ・オブジェクトの設定を終了するために
“OK“ボタンをクリックします
©2016 Check Point Software Technologies Ltd. 52
ネットワーク・オブジェクトの追加 1
• オブジェクトでNetworksを右クリックしてNetworkを選択
します
• 内部ネットワークの172.16.1.0を設定します
©2016 Check Point Software Technologies Ltd. 53
ネットワーク・オブジェクトの追加 2
• NATタブを選択して、Add Automatic Address Translation
ruleにチェックを入れます
• Translation method:は、Hideを選択します
– Hide behind Gatewayを選択して、ゲートウェイのアドレスに
変換されるように設定します
©2016 Check Point Software Technologies Ltd. 54
ホスト・オブジェクトの追加 1
• オブジェクトでNodesを右クリックしてNode> Hostを選択
します
• DNSサーバをホスト・オブジェクトに設定して”OK“ボタン
をクリックします
©2016 Check Point Software Technologies Ltd. 55
ホスト・オブジェクトの追加 2
• 同様に管理クライアント[Admin_PC] (172.16.1.5)をホス
ト・オブジェクトに追加します
• NATを選択してAdd Automatic Address Translation ruleに
チェックを入れます
– 公開Webサーバなどは、Translation methodをStaticにして公
開アドレスを設定します
©2016 Check Point Software Technologies Ltd. 56
FWポリシーの作成 1
• Policy> Add Rule at the Topボタンをクリックすると、
ルールが1行追加されます
©2016 Check Point Software Technologies Ltd. 57
FWポリシーの作成 2
• Sourceでは管理PCを選択、DestinationではGW-1を選
択します
©2016 Check Point Software Technologies Ltd. 58
FWポリシーの作成 3
• Actionで右クリックしてacceptを選択します
• Trackで右クリックしてlogを選択します
©2016 Check Point Software Technologies Ltd. 59
FWポリシーの作成 4
• Add Ruleでルールを追加して以下のポリシーを完成させ
ます（次のページで拡大画面を用意しています）
• Serviceでは制御したいサービスを選択します
©2016 Check Point Software Technologies Ltd. 60
FWポリシーの作成 5
• ルール１：Admin_PCからGW-1の通信を許可
• ルール２：IntranetからDNS_ServerにDNS, icmpの通信
を許可
• ルール３：IntranetからAnyに対してhttp, https, icmp,
smtpのみ通信を許可
• ルール４：クリーンアップ・ルールで全ての通信を破棄
©2016 Check Point Software Technologies Ltd. 61
ポリシーのインストール
• Install PolicyをクリックしてGW-1にポリシーをインス
トールします
• ゲートウェイが複数ある場合、チェックの有無でポリ
シーインストールするゲートウェイを指定できます
©2016 Check Point Software Technologies Ltd. 62
SmartView Tracker 1
• SmartView Trackerは、各種Software Bladeで検出した
ログ、監査ログなどをリアルタイムで確認できます
• 特定のログをダブルクリックすると詳細を確認できます
©2016 Check Point Software Technologies Ltd. 63
SmartView Tracker 2
• Managementタブでは、管理系のログを確認できます
©2016 Check Point Software Technologies Ltd. 64
暗黙のルール 1
• Launch Menu> View> Implied Rulesを選択すると、暗黙
のルールが確認できます。これは、SmartDashboardク
ライアント、管理サーバ、ゲートウェイを管理する上で
必要なルールが予め設定されています
• もう一度選択すると、元の表示に戻ります
©2016 Check Point Software Technologies Ltd. 65
暗黙のルール 2
• Launch Menu> Policy> Global Properties> FireWallで暗
黙のルールを制御することができます
• 誤った設定を行うと、管理に影響が出ますので、注意し
てください
©2016 Check Point Software Technologies Ltd. 66
Evaluationライセンスの投入 1
• SmartUpdateを開き、License & Contractsタブを表示し
ます
©2016 Check Point Software Technologies Ltd. 67
Evaluationライセンスの投入 2
• Launch Menu> Licenses & Contracts> Add License>
From FileでEvaluationライセンスを投入します
– デスクトップ> Evaluation-license>にある
CPLicenseFile.licを選択します
©2016 Check Point Software Technologies Ltd. 68
Evaluationライセンスの投入 3
• GW1を右クリックしてAttach Licensesを選択して表示
されたライセンスをすべて(2つ)アタッチします
©2016 Check Point Software Technologies Ltd. 69
コントラクトのアップデート
• Launch Menu> Licenses & Contracts> Update
Contracts> From FilesでEvaluationライセンス(コントラ
クト)を投入します
– デスクトップ> Evaluation-licenseにある
ServiceContract.xmlを選択します
©2016 Check Point Software Technologies Ltd. 70
ライセンスとコントラクトの確認
• cpsg-xxの表示がゲートウェイ用のライセンス
• cpsm-xxの表示が管理サーバ用のライセンス
• コントラクトのアップデート後に”Has Contracts”カラム
が Yes になっているかを確認
©2016 Check Point Software Technologies Ltd. 71
アジェンダ
1
2
3
4
5
6
7
アプライアンスの概要
GAiAセットアップ
FWセットアップ
IPSセットアップ
Anti-BotとAntivirusのセットアップ
Threat Emulationのセットアップ
運用管理オペレーション
©2016 Check Point Software Technologies Ltd. 72
IPSブレードで脅威の侵入を防御
既知の脆弱性を悪用する攻撃を防御
アノマリ検出をベースとした
ゼロデイ攻撃の防御
IPS
攻撃パターンの検出
ハッカー
怪しいサイト
アノーマリ検出
©2016 Check Point Software Technologies Ltd. 73
IPSブレードの有効化
• GW-1のオブジェクトを選択してNetwork Securityタブ
のIPSにチェックを入れます
©2016 Check Point Software Technologies Ltd. 74
IPSブレードによる防御
• IPSブレードはCheck Point ThreatCloudから最新の防御
機能をダウンロードして防御機能を提供します
©2016 Check Point Software Technologies Ltd. 75
IPSプロファイルの指定
• プロファイルにより、どの防御機能が有効化されている
かが決まります。Recommendedを選択して推奨の防御
機能にします
今回はラボ環境なので特別にall trafficの検査を選択しますが
選択するとパフォーマンス影響のメッセージがでます
通常は侵入検出・防御の目的なので、internal host onlyを選択します
©2016 Check Point Software Technologies Ltd. 76
フェイル・セーフなメカニズム
• 高負荷時にIPS機能をバイパス処理する事ができます
• Highの値に達するとバイパス処理され、Lowの値に達す
ると再びIPS検査が行われます
今回は機能確認できたらチェックをしないで
OKをクリックします
©2016 Check Point Software Technologies Ltd. 77
IPS Overview画面
• IPSタブを選択するとIPSの詳細画面を確認できます
アクション・アイテム
•
コントラクト
•
シグネチャ更新など
プロファイル適用状況
インシデントの発生状況
最新のアドバイザリ
©2016 Check Point Software Technologies Ltd. 78
プロファイルの管理 1
• プロファイルは各防御機能を制御するグループです
• ゲートウェイごとに異なるプロファイルを割り当てる事
で、異なる防御の設定で複数ゲートウェイを展開できます
•
デフォルトで２つのプロファイルが用意されています
Default – 必要最小限の防御機能が有効化
Recommended – 推奨の防御機能が有効化
©2016 Check Point Software Technologies Ltd. 79
プロファイルの管理 2
• Recommended_Protectionのプロファイルをダブルクリッ
クするとIPSモードをPreventで動作させるかDetectで動作
させるか選択できます
検出と防御を行いたい場合、
デフォルト値のPreventで動作させます
©2016 Check Point Software Technologies Ltd. 80
IPSポリシー
• IPSポリシーは、有効化する防御機能を制御します
• 各防御機能には、Client/Server, Severity, Confidence
Level, performance impactの情報があり、それぞれのレベ
ルに応じて検査の有効化と無効化の制御ができます
IPSポリシーを変更すると、
ポリシーに従って防御機能が変更されます
©2016 Check Point Software Technologies Ltd. 81
アップデート・ポリシー
• 防御機能のアップデートを行った際に、新しく追加された
防御機能をDetect/Preventのどちらにするかを決定します
• 通常は、デフォルト値の”Detect”にしておきます
©2016 Check Point Software Technologies Ltd. 82
IPS防御機能
• プロファイルに含まれている各種防御機能の項目とそれぞ
れの設定値を確認できます
©2016 Check Point Software Technologies Ltd. 83
IPS防護機能の例
Severity（緊急度）
•
攻撃によりどの程度の影響が出るのか
Confidence Level（信頼度）
•
攻撃トラフィックであると確信できる信頼度
パフォーマンス影響度
•
ゲートウェイのパフォーマンスに与える影響
保護タイプ
•
クライアント保護・サーバ保護
関連セキュリティ勧告
•
この例ではMS14-018: CVE-2014-1755
©2016 Check Point Software Technologies Ltd. 84
更新された防御機能
• Check Point ThreatCloudから最新の防御機能がダウンロー
ドされると、その防御機能は一時的に強調表示になり、
Follow Upフラグが付きます
©2016 Check Point Software Technologies Ltd. 85
Max Ping Size防御機能の変更
• ラボ環境でIPS防御機能の動作を確認するために、Max
Ping Sizeの設定を変更してみます
pingで検索
Max Ping Sizeをダブルクリック
Preventに変更
Recommended_Protectionを
ダブルクリック
200 bytes
パケット・キャプチャ
©2016 Check Point Software Technologies Ltd. 86
ポリシーのインストール
• IPSブレードの設定をゲートウェイに反映するためにポリ
シーのインストールを行います
©2016 Check Point Software Technologies Ltd. 87
IPS防御機能の確認
• デフォルト・ゲートウェイにサイズの大きいpingを実施し
て、IPS防御されていることを確認します
– 例：ping 192.168.100.1 -l 500
©2016 Check Point Software Technologies Ltd. 88
SmartView Trackerの詳細ログ
• SmartView Trackerの詳細ログには、IPSブレードで検出し
た攻撃のパケット情報を含むことができます
©2016 Check Point Software Technologies Ltd. 89
防御機能のアップデート
• 実環境では、Download Updatesを設定して最新の防御機
能をダウンロードできるようにします
– マニュアル、自動、オフライン、何れかのアップデート方法
を選択できます
アップデートには、UserCenterの
アカウントが必要です
©2016 Check Point Software Technologies Ltd. 90
アジェンダ
1
2
3
4
5
6
7
アプライアンスの概要
GAiAセットアップ
FWセットアップ
IPSセットアップ
Anti-BotとAntivirusのセットアップ
Threat Emulationのセットアップ
運用管理オペレーション
©2016 Check Point Software Technologies Ltd. 91
Anti-Botブレードによるボット通信の防御
多層的な検出エンジンによる感染マシンの検出
アウトバウンドの通信を停止することにより、
ボットによるダメージを低減
Anti-Bot
C&Cサーバ
コマンド＆コント
ロール用のアドレス
通信パターン
振る舞い解析
©2016 Check Point Software Technologies Ltd. 92
Antivirusブレードのマルウェア侵入防御
侵入してくる不正なファイルをスキャンして防御
サンドボックスによるゼロデイの検出
不正な Web サイトへのアクセスを防御

マルウェア感染の検出にThreatCloudを活用

ファイル全体をバッファ

ユーザが利用しやすいように簡単に設定可能
ThreatCloud™
サイトのアドレスを確認
レジストリ
Antivirus
OS ファイル
不正ファイル
不正なWebサイト
©2016 Check Point Software Technologies Ltd. 93
Anti-BotとAntivirusブレードの有効化 1
• GW-1のオブジェクトを選択してNetwork Securityタブ
のAnti-BotとAntivirusにチェックを入れます
©2016 Check Point Software Technologies Ltd. 94
Anti-BotとAntivirusブレードの有効化 2
• Anti-Bot, Antivirusにチェックを入れると、First Time
Activationが出力されます
• 検出と防御を行うに場合は、”According to the Anti-Bot
and Antivirus policy”のチェックでOKボタンをクリック
します
匿名で攻撃の情報をCheck Point
ThreatCloudに共有できる場合は、
チェックを入れたままにします
今回はラボ環境なのでチェックを
外してみます
First Time Activationの内容
が反映されています
©2016 Check Point Software Technologies Ltd. 95
プロファイルの管理 1
• Threat Preventionタブを選択してデフォルトで用意され
ているプロファイルを確認します
• Recommended_Profileを選択してEditボタンをクリック
します
©2016 Check Point Software Technologies Ltd. 96
プロファイルの管理 2
• Anti-BotとAntivirusの設定を確認します
• UserCheckはAnti-Bot, Antivirusの防御時に、リダイレク
ションのメッセージを決定しています
ボットの活動を検査する
emailのサイズ(KB)
防御対象の
インターフェース指定
検査対象プロトコル
©2016 Check Point Software Technologies Ltd. 97
ポリシーの管理
Recommended_Profileを使用しています
Anti-BotとAntivirusは、ルールベースの
防御範囲に基づいて検査を行います
©2016 Check Point Software Technologies Ltd. 98
ポリシーのインストール
• Anti-BotとAntivirusブレードの設定をゲートウェイに反映
するためにポリシーのインストールを行います
©2016 Check Point Software Technologies Ltd. 99
プロテクションの確認
• プロテクションをクリックすると、レピュテーション、
シグネチャ、振る舞いなどの検出・防御機能が確認でき
ます
©2016 Check Point Software Technologies Ltd. 100
Threat Wiki 1
• Threat Wikiでは、マルウェア・データベース上にあるマ
ルウェア確認できます
©2016 Check Point Software Technologies Ltd. 101
Threat Wiki 2
• マルウェア・データベースは、インターネットからも閲
覧できます
– http://threatwiki.checkpoint.com/threatwiki/public.htm
©2016 Check Point Software Technologies Ltd. 102
Anti-Bot防御機能の確認 1
Anti-Botのテストを実施してみます
UserCheckのブロックメッセージ
＊メッセージを日本語に変更できます
©2016 Check Point Software Technologies Ltd. 103
Anti-Bot防御機能の確認 2
• SmartView Trackerで防御ログを確認します
防御のログが確認できます
©2016 Check Point Software Technologies Ltd. 104
Antivirus防御機能の確認 1
Antivirusのテストを実施してみます
UserCheckのブロックメッセージ
©2016 Check Point Software Technologies Ltd. 105
Antivirus防御機能の確認 2
• SmartView Trackerで防御ログを確認します
防御のログが確認できます
©2016 Check Point Software Technologies Ltd. 106
アジェンダ
1
2
3
4
5
6
7
アプライアンスの概要
GAiAセットアップ
FWセットアップ
IPSセットアップ
Anti-BotとAntivirusのセットアップ
Threat Emulationのセットアップ
運用管理オペレーション
©2016 Check Point Software Technologies Ltd. 107
Threat Emulationブレードによる未知マルウェア防御
不正なファイルが
添付されたメール
Threat Emulation Software
Bladeがインターセプト
添付ファイルを抽出
マルウェア検出
問題なし
サンドボックス内で
エミュレート
脅威の挙動観察により
新しい攻撃を検出およびストップ
©2016 Check Point Software Technologies Ltd. 108
Threat Emulationの検査プロセス
File Aggregation
(kernel, dlpu)
Cache
キャッシュの負荷は、非常に軽量で
パフォーマンスにプラスの効果がある
Static Analysis
悪意あるコードを含むことができない
と判断すると
エミュレーションをスキップする
Emulation
サンドボックス環境（クラウド/オンプ
レミス）によるエミュレーション
[Restricted] ONLY for designated groups and individuals
©2016 Check Point Software Technologies Ltd. 109
Threat Emulationの導入オプション
オプション①
オプション②
Threat Emulation
クラウドサービス
SandBlast
アプライアンス
セキュリティ・ゲートウェイ
に統合
Security Gateway, R77
導入要件にそった最適な導入オプションを提供
[Restricted] ONLY for designated groups and individuals
©2016 Check Point Software Technologies Ltd. 110
CPUレベル脅威防御
©2016 Check Point Software Technologies Ltd. 111
攻撃の感染フロー
脆弱性
パッチが適用されていないソフトウェアや、
ゼロ・デイ脆弱性に対するアタックをトリガー
エクスプロイト
エクスプロイト方法を用いて、CPUとOS
のセキュリティ制御をバイパス
シェルコード
マルウェア
埋め込んだペイロードを有効化し、
マルウェアを読み込み
悪質なコードを実行
©2016 Check Point Software Technologies Ltd. 112
攻撃の感染フロー
脆弱性
エクスプロイト
数千種類
マルウェア側で回避困難
数種類
エクスプロイト開始前に検知
シェルコード
マルウェア
回避技術を持つマルウェアを探すのでは
なく、エクスプロイト自身を特定
数百万種類
©2016 Check Point Software Technologies Ltd. 113
CPUレベル脅威防御の仕組み
最新のCPU技術(Intel Haswell)を利用
エクスプロイトが、OSのセキュリティ制御を
バイパスしようとするCPUベースの命令を監視
最先端の CPUレベルでの
脅威防御エンジン
©2016 Check Point Software Technologies Ltd. 114
サードパーティ（Miercom）による
「Unknown 300」テストの検証結果
©2016 Check Point Software Technologies Ltd. 115
Threat Emulationブレードの有効化 1
• GW-1のオブジェクトを選択してNetwork Securityタブ
のThreat Emulationにチェックを入れます
• Threat Emulation にチェックを入れると、First Time
Activationが出力されます
©2016 Check Point Software Technologies Ltd. 116
Threat Emulationブレードの有効化 2
• ThreadCloudで未知のマルウェアか否かを検査するため
に、ThreadCloud Emulation Serviceにチェックを入れ
てNextをクリックします
• ライセンスが登録されているユーザセンターのアカウン
トに、Threat Emulationのライセンスが登録されていな
い場合、エラーになります
©2016 Check Point Software Technologies Ltd. 117
Threat Emulationブレードの有効化 3
• First Time Activationで設定した内容がGW-1のオブジェ
クトのThreat Emulationで確認できます
デフォルトのエミュレーションは以下の２つです
WinXP, Office 2003/7, Adobe9
Win7, Office 2003/7, Adobe9
*追加の場合は他のイメージにチェックを入れます
-
©2016 Check Point Software Technologies Ltd. 118
ファイル・タイプの追加
• Threat Preventionタブを選択Messages and Actionsに検
査対象にできるファイルタイプが追加されていないか確
認します
検査対象に加えたいファイルタイプを選択します
©2016 Check Point Software Technologies Ltd. 119
プロファイルの管理 1
• Threat Preventionタブを選択してデフォルトで用意され
ているプロファイルを確認します
• Recommended_Profileを選択してEditボタンをクリック
します
©2016 Check Point Software Technologies Ltd. 120
プロファイルの管理 2
• Threat Emulationの設定を確認します
• 検査対象に加えたファイルタイプが、File Typesに追加
されています
防御対象の
インターフェース指定
検査対象プロトコル
検査対象のファイル・タイプ
©2016 Check Point Software Technologies Ltd. 121
プロファイルの管理 3
• Advanced設定では、Threat Emulationによる検査を行う
際のコネクションの扱いを決定できます
• ラボ環境でThreat Emulation防御機能の動作を確認する
ために、今回はHoldに変更します
Background
ファイルの検査が終了しなくてもコネクションを許可します。
マルウェアと判断されたファイルは、次回からは防御します
Hold
ファイルの検査が終了するまでコネクションを許可しません
Custom
プロトコル毎にコネクションの扱いを変えることができます
Hold設定にするとコネクションのタイムアウトが
発生する可能性がある旨がポップアップされま
す。SMTPのHold設定は、MT Aの併用がお勧め
です
©2016 Check Point Software Technologies Ltd. 122
ポリシーのインストール
• Threat Emulation ブレードの設定をゲートウェイに反映す
るためにポリシーのインストールを行います
©2016 Check Point Software Technologies Ltd. 123
Threat Emulation防御機能の確認 1
Threat Emulationのテスト
を実施してみます
マルウェアのファイルと検出・防御されたので、
ダウンロードが完了しない
©2016 Check Point Software Technologies Ltd. 124
Threat Emulation防御機能の確認 2
マルウェアではないファイルの
ダウンロードが正常に行えるこ
とを確認してみます
©2016 Check Point Software Technologies Ltd. 125
Threat Emulation防御機能の確認 3
• SmartView Trackerで防御ログを確認します
©2016 Check Point Software Technologies Ltd. 126
Threat Emulation防御機能の確認 4
Threat Emulationの検査結果
レポートが添付されています
不正な活動
システムプロセス
レジストリの値
ファイル・システムの
アクティビティ
©2016 Check Point Software Technologies Ltd. 127
Threat Emulation防御機能の確認 5
• 検出されたマルウェアのファイルを入手できます
• マルウェアのファイルは、扱いに注意が必要なので、パス
ワード付きのtar.gzファイルになっています
©2016 Check Point Software Technologies Ltd. 128
Threat Emulation防御機能の確認 6
• Threat Emulationでマルウェアと判断されたファイルは、
以降はlocal cacheの情報と照合して防御対象になります
Cloud
Local
cache
©2016 Check Point Software Technologies Ltd. 129
MTAの設定（補足情報）
• GWをMTAとして動作させると、Hold設定時にSMTPのコ
ネクションを保持しながら検査できます
SMTPトラフィックのインターフェース
MTAがメールを保持する時間やHDの空き容量
©2016 Check Point Software Technologies Ltd. 130
今日のソリューション・ギャップ
100%
ANTI-VIRUS
ZERO-DAY
PROTECTION
既知、古い
マルウェアを捕獲
新しい未知の
マルウェアを検知
1,000の既知のマルウェアの
100インスタンスのうち5は、
うち、71は非検知
未知のマルウェアで非検知
セキュリティ
ギャップ
©2016 Check Point Software Technologies Ltd. 131
チェック・ポイントが発表….
未然に
ゼロ秒で
ゼロ・マルウェアに
完全な脅威削除を実現する先進の技術
出展: Validated with thousands of “unknown” malware in Check Point Lab Testing as of February 2016
©2016 Check Point Software Technologies Ltd.
ゼロ・マルウェア・ドキュメント
元々のドキュメント
ドキュメントを再構築
ゼロ・マルウェア
ドキュメント
CHECK POINT
T H R E AT E X T R A C T I O N
©2016 Check Point Software Technologies Ltd. 133
リスク・ベース・プロファイルでの再構築オプション
PDFへ変換
元々のフォーマットを維持
•
エクスプロイト可能なコンテンツを削除
©2016 Check Point Software Technologies Ltd. 134
アジェンダ
1
2
3
4
5
6
7
アプライアンスの概要
GAiAセットアップ
FWセットアップ
IPSセットアップ
Anti-BotとAntivirusのセットアップ
Threat Emulationのセットアップ
運用管理オペレーション
©2016 Check Point Software Technologies Ltd. 135
SmartView Monitor
©2016 Check Point Software Technologies Ltd. 136
ログ管理１
• ログはゲートウェイで生成されて、Security Managementサーバに
ネットワーク経由で転送され、 Security ManagementサーバのHDD上
の$FWDIR/log/fw.logに累積的に追加されます
• ログはfw.logのみではなく、ポインタ・ファイルも構成されます
• ログはlog switch(ログ切り換え)という作業を行うことにより、それま
でのログを別ファイルに保存できます。 Log switchではポインタ・
ファイルも別ファイル名で保存されます
• 後に再度ログを閲覧する場合、Security Managementサーバ上の
$FWDIR/logディレクトリに戻して確認します
• Log switchは手動で行う方法と自動で行う方法があります
– 手動では、SmartView TrackerのLaunch Menu> File> Switch Active File、も
しくはCLIからfw logswitchコマンドで実行できます
– 自動では、定時に行う、ログファイルのサイズが指定した大きさを
超えたら行うなどの設定が可能です
©2016 Check Point Software Technologies Ltd. 137
ログ管理２
• $FWDIR/logディレクトリのログファイルの例です
©2016 Check Point Software Technologies Ltd. 138
ログ管理３
• オブジェクトのLogs> Local Log Storageで、自動でLog switchする設
定が可能です
• 初期設定で、幾つかのtimeオブジェクトが用意されています
©2016 Check Point Software Technologies Ltd. 139
システム・バックアップ１
• バックアップは、手動で行う方法とスケジュール化による自動の方法
があります
– バックアップは、GAiA OSとSoftware Bladeの設定です
– $FWDIR/log/配下は含まれません
• バックアップファイルは、/var/log/CPbackup/backups/に保存されます
• リストアは、バックアップしたバージョン、Build、HF、HFAなど全て
合わせて実行する必要があります
©2016 Check Point Software Technologies Ltd. 140
システム・バックアップ２
• バックアップ・リストアは、CLIからも実行できます
• バックアップコマンド： add backup local
• リストアコマンド：set backup restore
• リストア後は、rebootコマンドで再起動を実行します
Localにバックアップの例
show backup statusコマンドの例
©2016 Check Point Software Technologies Ltd. 141
スナップショット・マネジメント
• Snapshot Managementは、Snapshotによるシステムイメージのバック
アップです。/bootにディレクトリが作成され、その中にファイルが生
成されます
– システム全体をイメージとして保存します
– イメージの容量は数GBに達しますので、処理が完了するまで数十分要する
場合があります
– イメージは、export, importが可能です
• Image Managementには、ログファイルは含まれません
Revertで復元できます
©2016 Check Point Software Technologies Ltd. 142
システムの初期化１
• CLIでrebootを行います
• “Press any key to see the boot menu”が表示されている間に、Enter
キーを入力します
©2016 Check Point Software Technologies Ltd. 143
システムの初期化２
• プロセスが終了して、loginプロンプトが表示されたら、初期時の
アカウントでログインします
– ユーザ名: admin, パスワード: admin
• 電源offする場合、Haltコマンドを入力します
• Power downが表示されたら、電源offします
©2016 Check Point Software Technologies Ltd. 144
セキュリティのリスクを可視化をしてみませんか？
(Security CheckUpレポート)
©2016 Check Point Software Technologies Ltd. 145
Security CheckUp構成例
•
•
内部ホストのトラフィックを検査して可視化
FW（NATされた）を通過した外部からの脅威を可視化
境界ファイアウォール
スイッチ
インターネット
ミラーポート(SPANポート)
シグネチャ・アップデート用の
インターネット接続
Security CheckUpレポート
2012 アプライアンス
©2016 Check Point Software Technologies Ltd. 146
セキュリティのリスクを可視化
無償サービスです！
Web セキュリティのイベント
侵入 ＆ 攻撃のイベント
データ損失のイベント
ボットのイベント
ウイルスのイベント
サンドボックスの検査のイベント（未知の脅威）
アプリケーション利用
アプリケーションごとの帯域幅利用
マルウェアの脅威
©2016 Check Point Software Technologies Ltd. 147
ありがとうございました!
Point Software
Technologies
Ltd
©2016©2016
CheckCheck
Point Software
Technologies
Ltd. 148