Check Point NGFW Cấu hình tính năng IPS ngăn chặn các cuộc tấn công trên Check Point R82

Cấu hình IPS ngăn chặn tấn công trên Check Point R82: Thực chiến với Log4j Exploit​

IPS - Intrusion Prevention System là một trong những tính năng quan trọng của NGFW, giúp phát hiện và ngăn chặn các hành vi tấn công khai thác lỗ hổng, dò quét hoặc traffic bất thường trong hệ thống mạng.
Trong bài viết này, mình sẽ hướng dẫn cấu hình tính năng IPS trên Check Point R82 và kiểm tra thực tế bằng payload giả lập khai thác lỗ hổng Log4j.

---

1. Mô hình triển khai​

Mô hình lab bao gồm các thành phần chính:

---

2. Các bước cấu hình trên SmartConsole​

Bước 1: Kích hoạt IPS Blade​

Trên giao diện SmartConsole, truy cập:
Gateways & Servers → Double-click vào Gateway SGW
Tại mục General Properties → Network Security, tick chọn:
Sau đó bấm OK và Publish để lưu cấu hình.

---

Bước 2: Cập nhật IPS Database​

IPS hoạt động dựa trên các signature/protection, vì vậy cần cập nhật database mới nhất từ ThreatCloud.
Truy cập:
Security Policies → Custom Policy Tools → Updates
Tại mục IPS, chọn:
Sau khi update thành công, hệ thống sẽ hiển thị trạng thái gateway đã được cập nhật.

---

Bước 3: Tìm kiếm IPS Protection Log4j​

Tiếp theo, truy cập:
Security Policies → Custom Policy Tools → IPS Protections
Tại thanh tìm kiếm, nhập:
Sau đó chọn protection:
Double-click vào protection để mở phần cấu hình chi tiết.

---

Bước 4: Override Action sang Prevent​

Trong cửa sổ cấu hình protection, tại profile đang sử dụng, ví dụ Optimized, chọn Override settings.
Cấu hình như sau:
Việc bật Capture Packets giúp firewall lưu lại gói tin thô phục vụ cho việc kiểm tra và phân tích sau này.
Sau đó bấm OK và Close.

---

Bước 5: Publish và Install Policy​

Sau khi cấu hình xong, chọn:
Tiếp theo chọn:
Tick chọn layer Threat Prevention, chọn đúng Gateway SGW - 10.120.170.200, sau đó bấm Install.
Chờ hệ thống báo trạng thái Succeeded.

---

3. Kiểm tra hoạt động của IPS​

Để kiểm tra IPS, mình sử dụng máy Client PC có IP 192.168.10.10 trong mạng nội bộ. Máy client đã được NAT qua Gateway để có thể truy cập Internet.
Trên máy Client, mở Windows PowerShell và chạy lệnh sau:
Payload trên giả lập hành vi khai thác lỗ hổng Log4j thông qua chuỗi JNDI trong HTTP Header User-Agent.

Kết quả trên máy Client​

Kết nối HTTP bị ngắt do firewall phát hiện payload độc hại và can thiệp vào phiên kết nối.
PowerShell hiển thị lỗi:

---

4. Kiểm tra log trên SmartConsole​

Quay lại SmartConsole, truy cập:
Tại ô tìm kiếm log, nhập:
Kết quả log hiển thị thông tin IPS đã phát hiện và chặn thành công payload Log4j.
Các thông tin cần chú ý trong log:
Khi double-click vào log, có thể xem thêm chi tiết protection, source/destination và file packet capture nếu đã bật Capture Packets.

---

5. Kết luận​

Sau khi triển khai IPS trên Check Point R82, Gateway đã có thể phát hiện và ngăn chặn các hành vi khai thác lỗ hổng dựa trên signature.
Trong bài lab này, IPS đã chặn thành công payload giả lập khai thác Log4j và ghi nhận log đầy đủ trên SmartConsole với action là Prevent.
Một số điểm quan trọng cần kiểm tra khi cấu hình IPS:

• Gateway phải được bật IPS Blade.
• IPS Database cần được update thành công.
• Protection cần được chuyển sang Prevent.
• Phải Publish và Install Policy xuống Gateway.
• Log phải hiển thị Blade: IPS và Action: Prevent.

Chúc anh em triển khai thành công!