Обзор CheckPoint Skyline

CheckPoint Skyline

Коллеги, всем привет. В этой небольшой статье мы рассмотрим новый механизм мониторинга от CheckPoint — Skyline. Уходящий год запомнится многим безопасникам и администраторам как неспокойный и в какие-то моменты тяжелый из-за колоссальных атак и возросшей нагрузки, связанной с обработкой разного рода инцидентов. К нам в CPSupport приходило множество заявок от заказчиков с просьбами помочь в настройке и проконсультировать по новым требованиям регуляторов, а мы героически боролись с напастями, спасая виртуальные миры заказчиков. Однако вместе с увеличением количества атак и добавлением новых настроек безопасности увеличивалась и нагрузка на оборудование. В такой ситуации перспектива оставить предприятие без связи и систем защиты из-за перегрузки оборудования является вполне реальной и совсем уж безрадостной. В связи с этим система мониторинга инфраструктуры является такой же необходимой компонентой, как и сама сеть со средствами защиты.

Обзор системы

До появления Skyline мы могли пользоваться SNMP и системами мониторинга, которые получали от шлюзов/менеджмента данные с его использованием, например, Zabbix, NagiOS и прочие. В дальнейшем, для новых версий и уже начиная с грядущей R81.20, вендор не планирует поддержку и дальнейшее развитие SNMP, т.к. Skyline имеет большую оптимизацию и призван заменить SNMP. Об этом написано представителем вендора в официальном коммьюнити CheckMates:

Технически Skyline состоит из трёх программных компонентов:

OpenTelemetry CPView Agent
OpenTelemetry Collector
Prometheus и Grafana Servers

OpenTelemetry является открытым стандартом, включающим в себя утилиты, API и средства разработки SDK для сбора метрик, отслеживания состояния систем, в нашем случае оборудования CheckPoint. Источником метрик является CPView, при этом все метрики описаны в документе Skyline Metric Repository.

Главным концептом OpenTelemetry является сбор метрик с помощью специального OpenTelemetry Agent’а и затем в передаче этих метрик на OpenTelemetry Collector с помощью удалённого вызова процедур (gRPC), а также формата передачи OpenTracing. Преимущество такого подхода в том, что коллектор физически может быть установлен отдельно от агента и обслуживать множество агентов одновременно. В текущей пилотной версии Skyline коллектор пока может работать только с одним агентом, установленным на том же устройстве, но в будущих версиях вендор возможно добавит конфигурацию для привязки одного коллектора к нескольким агентам. Сам коллектор является расширяемым компонентом, т.е. написано уже достаточно много экспортеров для различных отслеживаемых систем разными вендорами.

В случае CheckPoint такой экспортер — Prometheus Remote Write Exporter, созданный под систему мониторинга Prometheus. В связке с Prometheus предполагается использование системы визуализации метрик Grafana. Под неё написано несколько готовых Dashboard’ов, что удобно когда нужно сразу и быстро развернуть систем, чтобы начать работу, но можно и создать свой кастомный Dashboard.

OpenTelemetry CPView Agent и OpenTelemetry Collector устанавливаются на оборудование Checkpoint (либо openserver с Gaia), Prometheus с Grafana ставятся на выделенный сервер (возможно поставить под Windows Server, Linux). Связь между экспортером и самим Prometheus’ом для безопасности передаваемых метрик можно защитить используя TLS шифрование, либо basic auth по логину с паролем.

Теперь, когда вы имеете представление о Skyline, мы завершим обзор. Оставайтесь с нами, во второй статье будет интереснее, там мы перейдём от слов к делу и потрогаем технологию руками, настроив Skyline на стенде с R81.10.

Автор: Герман Чурилин, инженер TS Solution