27 июня 2007
NGX R65 – новая версия линейки Check Point Internet Security Product Suite
Вышла новая версия линейки продуктов Check Point Internet Security Product Suite – NGX R65. От предыдущих версий её отличает ряд новинок, среди которых – возможность перемещения компьютера нарушителя в карантин, дополнительный механизм противодействия DOS-атакам, фильтрация web-трафика.
В версии NGX R65 реализована технология End Point Quarantine (EPQ). Это позволяет администратору поместить персональный компьютер нарушителя в карантин, как только тот начнёт проявлять подозрительную (с точки зрения администратора безопасности) активность. EPQ изолирует ПК нарушителя от сети, применяя к нему политику безопасности, блокирующую все исходящие и входящие пакеты. EPQ поддерживает такие платформы, как SecurePlatform и Linux.
Встроен дополнительный механизм противодействия DoS-атакам (Denial of Service - отказ обслуживания) – Aggressive Aging. Aggressive Aging – набор коротких таймаутов (Aggressive Timeouts). Если соединение длится дольше, чем определено параметром Agressive Timeout, то оно помечается как “eligible for deletion” – претендент на удаление. Когда таблица соединений или объём потребляемой памяти шлюза достигает своего критического заданного размера, то механизм Aggressive Aging, разрывая “старые” сессии, высвобождает ресурсы шлюза.
В NGX R65 также реализована возможность организации контроля за использованием средств защиты Integrity теми пользователями, которые получают доступ через шлюз. При конфигурировании Check Point Gateway администратор определяет, какие из сетевых узлов, доступные с внутреннего интерфейса, должны быть авторизованы сервером Integrity Server. Пользователь, не авторизованный сервером Integrity, получает об этом уведомление (по почте или посредством http).
В новой версии линейки Internet Security Product Suite доступна функция URL-фильтрации. Web-трафик фильтруется на основе проверки принадлежности URL-адреса к определённым группам сайтов.
Начиная с версии R65, шлюзы межсетевого экрана Check Point могут функционировать как устройства 2-го уровня (Layer-2 Firewall Deployment) и устанавливаться в прозрачном для 3-го уровня режиме, без IP-адресов, не нарушая существующую архитектуру сети.
В версии R65 доработаны механизмы защиты VoIP. Новые возможности SIP-протокола:
- Поддержка MGCP NAT
- MGCP на динамических портах
- Поддержка SIP NAT в конфигурации Back-to-Back User Agent (B2BUA)
- Static NAT для SIP Proxy во внутренней сетке
- Extended SIP state machine
- Блокирование/Разрешение команд SIP
- Функциональная совместимость с Nortel, Broadsoft, Cisco, NEC, Polycom, Sylantro, Avaya, др.
Для противодействия таким DoS-атакам, как SYN flood, был внедрён ещё один механизм - SYN Cookie и доработан SYNDefender. SYN Cookie позволяет:
- для сервера, подвергшегося атаке(ам) – не хранить какую-либо информацию о входящих SYN, а, значит, быть неуязвимым для DoS SYN flood атак
- для шлюза межсетевого экрана – существенно уменьшить расход процессорного времени и оперативной памяти на поддельные SYN-пакеты.
В новой версии линейки продуктов Internet Security Product Suite также используется новый механизм, позволяющий повысить надёжность и отказоустойчивость конфигураций – Interface Bonding. Теперь два интерфейса шлюза можно физически подключить к разным коммутаторам. При этом один интерфейс будет активным, а второй – пассивным. В случае падения канала с активным коммутатором активный интерфейс обнаруживает проблему и передаёт выполнение своих функций резервному интерфейсу, подключенному к другому коммутатору.
Начиная с версии R65, производитель заявляет о поддержке синхронизации информации о multicast-трафике между составляющими кластера. Поддерживаются multicast-протоколы маршрутизации – PIM-DM и PIM-SM.
Начиная с R65, встроенный антивирус и web-фильтр поддерживаются и на платформе NOKIA IPSO.
