# Policy 2/1
在未手動給規則包前,即使刪了inital規則包,設備重開後預設會再次啟動inital規則包

expert
A-SMS:Chkp@345
A-GW:Chkp%678
B-GW:Chkp^789

由前最後測試得到黑、白名單的特性
FW Ping 設備-OK
設備Ping GW-不OK

inital的規則包

==TAB鍵==可查指令
`show interfaces`
`show interface eth1`

`show route`

`netstat -rn`

`netstat -a`

`tcpdump -nni eth0`
(以需專家模式**expert**)
防火牆通常會有類似的模式
接著用GUI Ping 可觀察即時

設定expert密碼
最後需`save config`

同帳號(同群組)
使用了不同的運行模式
稱為**僅知**，需要時才**知**道()

新增2個使用者

show users
add user joe uid 200 homedir /home/joe
set user joe newpass vpn123
add rba user joe roles adminRole

add user jane uid 300 homedir /home/jane
set user jane newpass vpn123
add rba user jane roles adminRole
show users

刪除使用者
`delete user jane`

show backup status
add backup local

需Exp模式才能進夾看備份檔案

使用備份檔還原
`set backup restore local backup_xxx(用TAB帶出檔名)`

==B-GW==
joe2/~~vpn123~~第二次重建改用vpn456
jean2/~~vpn456~~第二次重建改用UID600，vpn456
重創同名稱User不可使用同一組密碼
即使備份還原後使用者不存在，CP仍有記錄使用者帳號與密碼歷史，測試後密碼不是與UID關聯
**改jane2**(設錯名稱~~jean~~)

**Backup**
B-GW

A-SMS
A-GW

# Initial Policy
`fw unloadlocal`:移除初始Policy
Smart Console連SMS,再使用SIC將GW拉進來

Check Point solution
Cisco ASA solution

在安全中間都是物件(Object/Entity)
設備、帳號、角色、規則等

Smart Console可連到SMS
確認5台組態(Net,預設路由,Users,BISO時間)
5台都建立快照2

改顏色

需發佈才會生效

Smart Logs


Logs
以設備角度記錄，是完整的記錄

Audit Log
重點放在管理層面，記錄了Who在When做了What

# 建立物件：A-GW-02

IP使用對外的IP：172.21.101.1
HW：Open Server

以SIC加入

:warning::warning::warning:
輸入SIC一次性密碼建立信賴
不可輸入錯誤，且不可丟棄Session
若出錯需重置SIC(或用快照還原)
:::spoiler **GW重置SIC**
`cpconfig`

5:重設SIC

9:離開與重開
:::



發佈



設定Interface描述
Summary+發佈

## 信任關係-物件

==直接信任：Direct Trust==
1.One Way(埋暗碼時)
2.Two Way(回傳指紋後)

==間接信賴：Indirect Trust==
1.Vertical 3rd Party

2.Web P2P

==建立GUI與GW為間接信賴關係，並由第3方SMS認證==

關係皆是物件與物件的，信賴關係也是
新增物件：A-GUI、LAN2

New Host(非CP的設備)

Lan2為內網

廣播Addr(FF.FF.FF.FF.FF.FF)
需考量廣播風暴等


CP規則間則的原則
有關鍵沖突：不能並存
有部份沖突：能並存？

規則是依順序
越精細的規則：放越前面
越小範圍的規則：放越前面
一樣範圍則比較精細程度

擦屁股規則
預設的Drop，也都會放在最後一條
實務通常不留記錄(量太大了)
規則名稱：Policy Name
實務上常用代碼取名，避免名稱容易被識別

**Management Role**
含兩條主要規則
1.組態控制能透過GUI
2.組態控制交給SMS
3.最後明確的將A-GW隱身(範圍較廣,放第3條)
因擦屁規則太廣泛，需以GW角度將其它的Drop

**縱深防禦**
雖第3條與第4條重疊但仍為必要，
此多重防禦稱縱深防禦

4.內網出去皆允許

**全域規則：Global Policy**
此為設在FW上，不管之後換了什麼規則包

Accept ICMP req：First
優先權：First、Last、Before Last

Log

Publish-Verify-Install
不可全靠Verify檢查，
Verify只能檢查邏輯錯誤


:::spoiler

:::
錯誤測試：
3調到1-有錯誤

12互換-查不出錯誤

Install
Each、All


可查看差異與(目標?)

完成

A-GW己使用新Policy

A區互Ping-OK
A-GUI己可Ping到A-GW上的3個GW(與A-SMS,A-DMZ)

A-GUI可開A-DMZ的網頁(第4條通)

A-DMZ開不了A-GUI的網頁(第5條擋,同時保護內部其它網路設備)

---

# 加入B-GW
B-GW的Initial Policy會擋Ping
刪掉後能Ping到B-GW的2個GW IP，但Ping不到B-GUI

從S.C加入B-GW物件



---

2/10(2/3)
A-GUI安裝新版WireShark

Ping後觀察WireShark
`icmp && ip.addr==10.1.1.201 && ip.addr==10.1.1.101`
`icmp && ip.src == 10.1.1.201 && ip.addr == 192.0.2.10 `
ip.addr
ip.src
ip.dst
icmp.type==0
icmp.type==8

建新規則包



以原本的作為樣本Copy&Post到B規則包後調整
B-GW受控於A-SMS與A-GUI不變

第4條改為Bravo-Internal(LAN4)

Verify&Install

只安裝B-GW



A-GUI Ping B Site Test-OK

---

# 合併規則包
合併兩個規則包，並一起安裝

貼上A規則及B規則進行調整

A、B出去不限制，需再增加A、B進來的限制規則
進A只能用FTP，進B只能HTTP

**丟掉某些特定服務**，不記錄
1.UDP High Ports：UDP後端埠(Ex:1024~65535)
2.Bootp:
3.NTB:NetBIOS
4.RIP:UDP/520

# 規則分類
Section

規則分組(Install On):依需要的GW設定規則條

**Summary**

**Verify&Install**

共有3個Session,82個變化

確定覆蓋


GW皆己上新規則包


**測試**
B-GUI先建FTP站台(需用IE開FTP，Edge,Firefox可能會擋)


開WireShark觀察Http封包與CP的Log
B-GUI連A-GUI的Web

再將雙邊補上允許Http及FTP觀察

# DMZ 2/14(2/4)
新增Host：A-DMZ

CP另有依Server類型提供基本預設的防護組態
(實務上會勾選,FW練習不勾選)
EX:Web Server
Mail Server
DNS Server

新增Network:A-DMZ

新增DMZ規則，與調整
調整

**Verify檢查**

# NAT
討論點：合作夥伴共用的資料是否可放DMZ？
需求情境:開權限讓廠商來檢查物料庫存量
()

**Extranet**：廠商外部連入,非內網；位於內部,也非外網
藏網段裡與藏FW裡

用NAT將A-DMZ隱藏

NAT會將封包檔頭的Src與Dst位子換掉
Method
1. Hide:藏在某個地方
2. Static:使用對照表

設定A-DMZ的NAT(使用FW的外部IP同網段)
由FW將172.21.101.10轉到192.0.2.10

設定後會新增於NAT中(圖示s代表靜態NAT,最下方兩條為預設NAT規則)

以A-B_Combine來Clone一個**新的A-B_Combine_NAT**規則包
(若一開始設為DMZ網段，則此段無NAT設定，沒有搭配)

出去也要加A-DMZ，否則會能進不能出

**Verify**&**Install**

測試以B-GUI連DMZ的Web，172與192
(目前若使用原192的IP仍可進的來)

再從A-GW的Log觀查如何NAT轉換
172時：B-GW是172出去，A-GW轉192


192時：B-GW是172出去，A-GW不NAT

**SMS設定NAT**

(要開啟外網能透過VPN連入)

**將Alpha-Internal隱藏**
(以NAT並給一個假IP)

Install後以SMS Ping A-GW 172.21.101.1
再Pig 172.22.102.1

看Log，Src設AB-GW、SMS
NAT設定前後在A-GW與B-GW看到的Src將會不同了

A-DMZ與B-GUI安裝WireShark(含NCap網卡驅動抓封包分析)

A-GUI Ping A-DMZ
觀察SC Log、A-GUI與A-DMZ的WireShark
SC Log：在A-GW上Src與Dst各符合1條NAT規則

A-GUI的WireShark：會同時有過與不過(出去的誤差＋回來的誤差)，但**最後的結果仍會是正確的**
因NAT對照表在GW上，所以A-GUI不知而有此誤差，
==因而資安中會需要SIEM來做結合比對==

A-GUI Ping A-SMS 10.1.1.101、172.21.101.101
兩個TTL值不同，TTL少1因NAT而有繞出去FW外了(對外的172.21.101.101)

練習與觀察
A-GUI Ping B-GUI
B-GUI連A-DMZ的Web

# User
透過驗證後可使用Telnet(仍要透過FW NAT)

**新增User**
Identity Provider:搭配第三方，Ex:SSO,雲服務



驗證方式選項:
**vpn123**

(另有OS系統密碼、多因子驗證)

登入位置限制：不設
使用時間：AM9～1630

**新增User Group**


新增Policy
需右鍵另選
Service有多個FW驗證功能的選項
Summary

B-GUI安裝Telnet

輸入`telnet`進入,`q`離開

`telnet 172.21.101.1 259`

259埠未開，需反查Log為何規則擋的(Src：B-GUI)
查看B-GW與A-GW都正常未擋，
明天接著查看服務端口

:::info
傳統驗證是以帳號做驗證，
新的(或AWS)是以**身份**驗證
帳號屬於身份的一種，(身份能有多個?)

**帳號:看身份**代表一個身份，帶著一個識別的方法，與一個驗證的方法
**群組:看?**代表有相同權力的帳號集合在一起
**角色:看？**代表有相同能力與權限
:::

# Identity Awareness
2/15
B-GUI Ping 172.21.101.77時(假IP)，B-GW會回應不知道給誰

全雲：推AWS
雲地：推Azure

**設定A-GW**


Web Browser(Don't Azure AD)


All portal：預設內部介面才能接portal





---

**新增角色**:New Access Role
Specific Network,橘色

將群組加入此角色中，附予權力與能力

預設,

預設,Any Client(與應用程式有關係)

---

限制存取需為DMZ_HTTP的角色

**Captive Portal**是一個介面的設定，有時會搭配SSO技術，再搭配驗證機制
透過Portal嚴格限制第13條的A-DMZ不限制出去的流量
右鍵Negate(新版無法對單一做設定，暫不設定)

Install
有時會警告快過期，因無正式版授權，可不理會

---

==A-GUI連A-DMZ==
用Web連192.0.2.10會轉到172.21.101.1(A-GW)

進入後為另一驗證網站

(Testuser/vpn123)登入後會再轉回192正常瀏覽

172.21.101.10(A-DMZ)也會轉到172.21.101.1(A-GW)
(以上需第一次連才看的到差異,第二次會被Web Cache影响)

觀查SC Log有出現不同的樣子(濾Dst:A-DMZ)
打開看轉向的細節



移除13條的A-DMZ再觀查一次(需刪Web Cache)

==B-GUI連A-DMZ==
用Web連192.0.2.10與連172.21.101.1結果皆連不到
因移除A-DMZ對外不限的動作(所以移不移除將依需求而設定)

---

# VPN(Side To Side)
VPN靠的是加密，一種連續加解密的應用
家裡連公司是End to End

Clone 規則包

A-GW、B-GW勾選VPN
VPN Domain：自訂義，Alhpa、BravoInternal
IPSec VPN皆使用預設



新增星狀架構**社群**(非群組)
加入主站A-GW，衛星站：B-GW
Policy-左下


加密:預設
上面是加密方式(AES-256)
下面是解密方式(SHA1)
SHA1為目前標準，但己找到碰撞，需用SHA1以上的
MD5是舊的，早己找到碰撞

Phase 1連線時，Phase 2傳輸時

通道:預設

停掉NAT(此S to S VPN無法使用NAT，E to E才可以)

**Blades**

---

**新增VPN的規則**

VPN欄位右鍵選*社群*

通常會放Stealth上方,或另放VPN裡

發佈,Verifity,Install

---

測試
A-GUI以SSH:10.1.1.101
admin/Chkp!


以B-GUI開WireShark
Ping 10.1.1.1
SSH：10.1.1.101

WireShrak，濾TCP，看三向交握


接著有SSH(PSH強制送)
只有版本與工具
傳輸的內容皆加密

可看到Key Install與SSH的加解密

A-GW的???
(1)IKE