Check Point R80.10 API。 CLI、スクリプトなどによる管理

私は、これまでにCheck Pointで作業したことがあるすべての人が、コマンドラインから構成を編集できないことについて不満を持っていると確信しています 。 これは、以前にCisco ASAで働いていた人にとって特にワイルドです。CLIですべてを完全に設定できます。 Check Pointには逆があります。すべてのセキュリティ設定は、グラフィカルインターフェイスからのみ実行されました。 ただし、GUIを介して行うには完全に不便なものもあります（チェックポイントと同じくらい便利です）。 たとえば、100個の新しいホストまたはネットワークを追加するタスクは、長くて退屈な手順になります。 オブジェクトごとに、マウスを数回クリックして、IPアドレスを入力する必要があります。 同じことは、サイトのグループを作成したり、IPS署名を大幅に有効化/無効化する場合にも当てはまります。 また、間違いを犯す可能性があります。



比較的最近、「奇跡」が起こりました。 Gaia R80の新しいバージョンのリリースにより、 APIを使用する可能性が発表され、設定、管理、監視などの自動化の幅広い可能性が開かれました。 次のことができます。

• オブジェクトを作成します。
• アクセスリストを追加または編集します。
• ブレードの有効化/無効化。
• ネットワークインターフェイスを構成する
• ポリシーをインストールします。
• などなど。

正直に言うと、このニュースがどのようにHabrを通過したのかわかりません。 この記事では、APIの使用方法を簡単に説明し、スクリプトを使用してCheckPointを構成する実用的な例を紹介します 。



すぐに予約したいのですが、APIは管理サーバーにのみ使用されます。 すなわち 管理サーバーなしでゲートウェイを管理することは依然として不可能です。

誰が原則としてこのAPIを使用できますか？

1. Check Pointのセットアップのルーチンタスクを単純化または自動化するシステム管理者。
2. Check Pointを他のソリューション（仮想化システム、チケットシステム、構成管理システムなど）と統合したい企業。
3. チェックポイントに関連する設定を標準化するか、追加の製品を作成するシステムインテグレーター。

典型的な回路

したがって、Check Pointを使用したサンプルダイアグラムを想像してください。







いつものように、ゲートウェイ（ SG ）、管理サーバー（ SMS ）、および管理コンソール（ SmartConsole ）があります。 この場合、ゲートウェイを構成する通常のプロセスは次のとおりです。







すなわち まず、管理サーバー（ SMS ）に接続する管理者のコンピューターでSmartConsoleを実行する必要があります。 SMSでは、セキュリティ設定が行われ、その設定のみがゲートウェイ（ SG ）に適用（ インストールポリシー ）されます。



Management APIを使用する場合、原則として最初の項目をスキップし（SmartConsoleを起動）、 APIコマンドを管理サーバー（SMS）に直接適用できます 。

APIの使用方法

APIを使用して構成を編集するには、主に4つの方法があります。

1）mgmt_cliユーティリティの使用

例- ＃mgmt_cli add host name host1 ip-address 192.168.2.100

このコマンドは、管理サーバー（SMS）のコマンドラインから起動します。 コマンド構文は明確だと思います-host1はアドレス192.168.2.100で作​​成されます。

2）cli​​shを使用してコマンドAPIを入力します（エキスパートモード）

実際、必要なのは、SmartConsole経由で接続するときに使用されるアカウント（またはrootアカウント）でコマンドライン（ mgmt login ）にログインすることだけです。 その後、 APIコマンドを入力できます （この場合、各コマンドの前にmgmt_cliユーティリティを使用する必要はありません）。 本格的なBASHスクリプトを作成できます。 ホストを作成するサンプルスクリプト：





興味がある場合は、対応するビデオを見ることができます：

3）SmartConsoleを介して、CLIウィンドウを開きます

以下の画像に示すように、必要なことはSmartConsoleから直接CLIウィンドウを起動することだけです。







このウィンドウで、APIコマンドの入力をすぐに開始できます。

4）Webサービス。 HTTPS Postリクエストを使用（REST API）

私たちの意見では、これは最も有望な方法の1つです。 管理サーバーを管理するためのアプリケーション全体を「ビルド」できます （トートロジーについては謝罪します ）。 以下では、この方法をより詳細に検討します。

要約すると：

1. API + cliは 、シスコに慣れている人により適しています。
2. スクリプトを適用し、ルーチンタスクを実行するためのAPI +シェル 。
3. 自動化のためのREST API 。

API有効

デフォルトでは、4GB以上のRAMを備えた管理サーバーおよび8GB以上のRAMを備えたスタンドアロン構成でAPIが有効になっています。 次のコマンドを使用してステータスを確認できます： api status



APIがオフになっていることが判明した場合、SmartConsoleで有効にするのは非常に簡単です： 管理と設定>ブレード>管理API>詳細設定







次に、変更の公開を公開し 、 api restartコマンドを実行します。

Webリクエスト+ Python

Pythonおよびrequest 、 jsonライブラリを使用してWeb要求を使用して、APIコマンドを実行できます。 一般に、Webリクエストの構造は3つの部分で構成されています。



1）住所

 (https://<managemenet server>:<port>/web_api/<command>)
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
    
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

2）HTTPヘッダー

 content-Type: application/json x-chkp-sid: <session ID token as returned by the login command>
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
    
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

3）要求ペイロード



さまざまなパラメーターを含むJSON形式のテキスト



さまざまなコマンドを呼び出す例：

 def api_call(ip_addr, port, command, json_payload, sid): url = 'https://' + ip_addr + ':' + str(port) + '/web_api/' + command if sid == “”: request_headers = {'Content-Type' : 'application/json'} else: request_headers = {'Content-Type' : 'application/json', 'X-chkp-sid' : sid} r = requests.post(url,data=json.dumps(json_payload), headers=request_headers,verify=False) return r.json() 'xxx.xxx.xxx.xxx' -> Ip address GAIA
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

以下に、Check Pointを管理するときに最も頻繁に発生するいくつかの典型的なタスクを示します。



1）許可およびログアウト機能の例：





2）ブレードとネットワーク設定の有効化：





3）ファイアウォールルールを変更します。





4）アプリケーション層の追加：





5）コマンドの実行（task-id）を検証する公開およびポリシー設定：





6）ホストを追加：





7）脅威防止フィールドを追加します。





8）セッションのリストを表示する





9）新しいプロファイルを作成します。





10）IPS署名のアクションを変更します。





11）サービスを追加します。





12）カテゴリ、サイト、またはグループを追加します：





さらに、 Web APIを使用して、ネットワーク、ホスト、アクセスロールなどを追加および削除できます。 アンチウイルス、アンチボット、IPS、VPNブレードを構成することが可能です。 run-scriptコマンドを使用してライセンスをインストールすることもできます。 すべてのCheck Point APIはここにあります 。

Check Point API + Postman

PostmanとともにCheck Point Web APIを使用することも便利です。 Postmanには、Windows、Linux、およびMacOS用のデスクトップバージョンがあります。 さらに、Google Chrome用のプラグインがあります。 使用します。 まず、Google ChromeストアでPostmanを見つけてインストールする必要があります。







このユーティリティを使用して、Check Point APIへのWebリクエストを生成できます。 すべてのAPIコマンドを記憶しないために、必要なすべてのコマンドが既に含まれている、いわゆるコレクション（テンプレート）をインポートすることができます。







ここにR80.10の コレクションがあります。 インポート後、APIコマンドテンプレートが利用可能になります。







私の意見では、それは非常に便利です。 Check Point APIを使用して、アプリケーションの開発をすぐに開始できます。

チェックポイント+ ansible

また、CheckPoint APIにはAnsible モジュールがあることに注意してください。 このモジュールを使用すると、構成を管理できますが、エキゾチックな問題を解決するにはそれほど便利ではありません。 任意のプログラミング言語でスクリプトを記述すると、より柔軟で便利なソリューションが提供されます。

おわりに

これで、Check Point APIの短いレビューは終了です。 私の意見では、この機能は非常に待望され、必要でした。 APIの登場は、システム管理者とCheck Point製品を使用するシステムインテグレーターの両方に非常に幅広い機会をもたらします。 オーケストレーション、自動化、SIEMからのフィードバック...これらすべてが可能になりました。



PSいつものように、 Habrブログまたはウェブサイトのブログで、 Check Pointに関する記事を見つけることができます。



PSS Check Pointのセットアップに関する技術的な質問については、ここをクリックしてください。