تتضمن الإصدارات القائمة بذاتها بيئة تشغيل Node.js وواجهة الويب والخلفية ومولّد تقارير PDF مباشر. ترتبط هذه الإصدارات فقط بـ 127.0.0.1، وتفضّل المنفذ 4000، وتحاول تلقائيًا استخدام المنافذ 4001 و4002 وما فوقها عند الحاجة، وتفتح عنوان URL المحلي المحدد في المتصفح الافتراضي.

بالنسبة إلى GitHub، انشر ملفات ZIP الخاصة بالمنصات—واختياريًا ملف Windows .exe—كأصول إصدار GitHub Release assets. يجب ألا يقوم المستخدمون بتنزيل node_modules أو شجرة المصدر فقط لتشغيل إصدار قائم بذاته. راجع dist/README.md لمعرفة تخطيط المخرجات.

التطبيق الحالي منسجم مع دليل إدارة التحصين الخاص بـ Check Point Gateway and Management.

هذه الأداة غير منشأة أو مدعومة من Check Point ويجب استخدامها على مسؤوليتك الخاصة.

يعمل التطبيق محليًا، ويسجّل الدخول إلى خادم إدارة الأمان من Check Point أو MDS، ويفحص الأدلة المتاحة من Management API، ويعرض فحوصات التحصين المتوافقة مع الدليل. معظم الفحوصات للمراجعة فقط؛ لا تُقدَّم إجراءات المعالجة المحددة إلا عندما تكون منفذة بشكل صريح وتتطلب موافقة المشغّل. الفحوصات التي تتطلب مراجعة تصميم الشبكة، أو Gaia Portal، أو Gaia API، أو SSH/Clish، أو إعدادات موفر الهوية، أو فحص إدارة خارج النطاق (out-of-band) يتم وضع علامة عليها للتحقق اليدوي.

ما الذي يفحصه

يغطي الماسح حاليًا مجالات دليل التحصين التالية:

• مراجعة قاعدة التخفي (stealth rule) الخاصة بـ Security Gateway.
• مراجعة القواعد الضمنية وتسجيلها.
• مراجعة القطاع المحمي وتقييد المصادر الإدارية لخادم الإدارة (Management Server).
• أدلة تقييد العملاء الموثوقين في SmartConsole.
• مراجعة حساب المسؤول، وMFA، وكلمة المرور، ومهلة الخمول، وانتهاء الصلاحية، والقفل.
• مراجعة MFA والمصادقة الإدارية عبر موفر الهوية الخارجي.
• مراجعة بيانات اعتماد التكامل بأقل صلاحية.
• أدلة الموافقة على التحديثات الديناميكية / AutoUpdater.
• أدلة الموافقة على cpdiag / التشخيصات والقياس عن بُعد.
• جرد مراجعة تحصين Gaia OS للبوابات.
• فحوصات يدوية لـ SNMP وsyslog ووضع الخبير (Expert mode) وLOM واستبدال القواعد الضمنية المتقدم.
• مراجعة استخدام ميزات الأمان للوحدات المرخصة وأدلة انتهاء صلاحية الميزات.

سير العمل

1. سجّل الدخول باستخدام مستخدم Check Point Management API.
2. انقر على Scan Hardening Posture.
3. راجع النتائج: ناجح، يتطلب معالجة، يحتاج مراجعة، يدوي، وغير معروف.
4. استخدم الأدلة والمراجع إلى أقسام الدليل لتوجيه تحقق المشغّل.

بالنسبة لبيئات MDS، فعّل MDS Scan في نموذج تسجيل الدخول. يعرض هذا حقلين مهمين:

• Domain: يحدد سياق نطاق Management API لفحوصات السياسات والكائنات على مستوى النطاق.
• Global MDS Object Name: يسمّي كائن MDS الفعلي المستخدم لفحوصات Gaia run-script على الجهاز نفسه. هذا مطلوب عندما يكون مضيف تسجيل الدخول هو عنوان IP الخاص بـ MDS ولكن نطاق API المحدد هو CMA/نطاق، لأن أوامر مثل run-script يجب أن تستهدف اسم كائن MDS وليس عنوان IP الخاص بـ MDS أو عنوان IP الخاص بـ CMA/النطاق.

عند تمكين MDS Scan، ينشئ التطبيق جلستين من Check Point Management API:

• جلسة نطاق/CMA تسجّل الدخول باستخدام Domain المحدد وتُستخدم لكائنات النطاق وحزم السياسات وقواعد الوصول والمسؤولين والعملاء الموثوقين وفحوصات النطاق العادية الأخرى.
• جلسة MDS/عمومية تسجّل الدخول إلى نفس مضيف الإدارة بدون نطاق وتُستخدم فقط لأوامر Gaia run-script التي تستهدف Global MDS Object Name. هذا ضروري للفحوصات التي تفحص نظام تشغيل خادم MDS نفسه، مثل اكتشاف واجهة خادم الإدارة/المسار الافتراضي، وإعدادات مسؤول Gaia، وسياسة كلمة مرور Gaia، وSNMP، وإعادة توجيه syslog لخادم الإدارة.
• يتم أيضًا فتح جلسة نطاق عمومي عند توفرها. تُستخدم عندما تكون سياسة نطاق مثبتة تحت طبقة سياسة عمومية ويحتاج التطبيق إلى قراءة قواعد الوصول العمومية الأصلية فوق العنصر النائب للنطاق.

من منظور mgmt_cli، تتصرف فحوصات النطاق مثل الأوامر التي تتضمن --domain "<Domain>"، بينما تتصرف فحوصات مضيف MDS مثل mgmt_cli -r true run-script targets.1 "<Global MDS Object Name>" ... المنفذة في سياق MDS العمومي.

تقيّم بعض فحوصات MDS عمدًا أكثر من مستوى إدارة واحد. على سبيل المثال، يقوم Restrict Administrative Source IP Addresses بتقييم كل من عنوان IP الخاص بمضيف إدارة MDS/العام وعنوان IP الخاص بالنطاق/CMA المحدد. لكل عنوان IP، يحاول حل الكائن المطابق في النطاق المحدد، ويفحص كائنات الشبكة ونطاقات العناوين التي تحتوي على عنوان IP، ويتتبع المجموعات التي تحتوي تلك الكائنات، ثم يجمع قواعد الوصول التي تشير إليها. إذا كانت قاعدة النطاق المطابقة تحت طبقة سياسة عمومية أصلية، يقرأ التطبيق قاعدة الوصول العمومية حتى Placeholder for domain rules ويُدرج تلك القواعد العمومية في نفس جدول أدلة حزمة السياسات مع علامة GLOBAL RULES.

بالنسبة إلى Smart-1 Cloud، فعّل Smart-1 Cloud context URL في نموذج تسجيل الدخول وأدخل مضيف الإدارة مع مسار السياق الخاص به، على سبيل المثال:```text tenant-name.maas.checkpoint.com/context-id/web_api

هذا يطابق بنية سياق Smart-1 Cloud الخاصة بـ mgmt_cli:```bash mgmt_cli -m tenant-name.maas.checkpoint.com --session-id --context context-id/web_api <cli_command>

تتحقق فحوصات آخر تسجيل دخول للمسؤول من سجلات تدقيق SmartConsole باستخدام عامل تصفية مكافئ لـ administrator:<name> AND SmartConsole AND "Log In". يتحكم CP_LOG_API_TIMEOUT_MS في المهلة الزمنية لطلبات show-logs هذه بشكل منفصل عن استدعاءات Management API العادية.

تستخدم فحوصات مجتمعات IKE VPN في CVE ترقيم الصفحات لأمرَي show-vpn-communities-star و show-vpn-communities-meshed مع VPN_COMMUNITY_PAGE_LIMIT، الذي يبلغ افتراضياً 50، وتعتمد CP_VPN_API_TIMEOUT_MS، الذي يبلغ افتراضياً 120000 ms. يحول ذلك دون قيام عمليات فحص Smart-1 Cloud وMDS بطلب حمولات كبيرة جداً من مجتمعات VPN بمستوى details-level full في استدعاء واحد.

استخدم هذا الوضع عند فحص بيئات MDS الإنتاجية، أو خوادم الإدارة المزدحمة، أو النشرات التي تضم عشرات بوابات الحماية حيث تكون حماية استجابة fwm / Management API أكثر أهمية من تحقيق أسرع وقت فحص مطلق.

تتطلب بعض الفحوصات مراجعة من المشغّل حتى عندما يكون شرط الخطورة العالية الآلي غائباً. يمكن وضع علامة «تمت المراجعة» على فحوصات عملاء SmartConsole الموثوقين، وحسابات المسؤولين، وسياسات كلمة مرور المسؤول / مهلة الخمول / انتهاء الصلاحية / القفل. في نفس جلسة تسجيل الدخول، تتغير الحالة إلى تمت المراجعة. أما تسجيل الدخول الجديد فيعيد الحالة إلى بحاجة إلى مراجعة، بينما يظل آخر قرار مراجعة ظاهراً مع اسم مستخدم Management API المسجّل دخوله والطابع الزمني.

بالنسبة لفحص سياسة كلمة مرور المسؤول / مهلة الخمول / انتهاء الصلاحية / القفل، يمكن للمشغّلين أيضاً وضع علامة مراجعة على الفحص بينما تكون حالته مطلوب معالجة. يحذّر التطبيق من أن المشغّل يقبل إعدادات لا توصي بها Check Point قبل تسجيل تلك المراجعة.

يلخّص الملخص العلوي نتائج مطلوب معالجة وموصى بالمعالجة في عدّاد واحد بحاجة إلى معالجة.

ملاحظات الأمان

• يتصل التطبيق افتراضياً عبر HTTPS عند الاتصال بخادم إدارة Check Point.
• لا تُدخل خادم الإدارة بصيغة http://...؛ لأن ذلك سيرسل تسجيل دخول Check Point API عبر HTTP نصي واضح.
• يتواصل المتصفح مع الواجهة الخلفية المحلية عبر http://127.0.0.1:4000 افتراضياً، أو عبر المنفذ المحلي التالي المتاح.
• يُرسل اسم المستخدم وكلمة المرور من المتصفح إلى الواجهة الخلفية المحلية على localhost فقط.
• ترسل الواجهة الخلفية اسم المستخدم وكلمة المرور إلى Check Point عبر طلب تسجيل دخول Management API.
• لا يسجّل التطبيق كلمات المرور.
• يُخزَّن معرّف جلسة Check Point في ذاكرة الخادم فقط طوال عمر عملية Node المحلية.
• يحافظ خيار السماح بشهادة موقّعة ذاتياً على تشفير TLS ولكنه يعطّل التحقق من الشهادة. استخدمه فقط عند الحاجة.
• تتطلب إجراءات المعالجة موافقة صريحة من المشغّل في المتصفح قبل أن ترسل الواجهة الخلفية أمر تغيير.

أوامر API المستخدمة

تعمل الواجهة الخلفية كوسيط لهذه الأوامر من Check Point Management API:

• login
• logout
• show-trusted-clients
• delete-trusted-client
• show-api-settings
• set-api-settings
• publish
• discard
• show-administrators
• delete-administrator
• show-default-administrator-settings
• set-default-administrator-settings
• show-smart-console-idle-timeout
• set-smart-console-idle-timeout
• show-login-restrictions
• show-cp-password-requirements
• set-cp-password-requirements
• show-simple-gateways
• show-global-properties
• set-global-properties
• run-script
• show-task
• insights/v3.0/show-suggestions-summary
• insights/v3.0/show-suggestions

يفحص استخدام ميزات الأمان (Security Feature Usage) عبر تشغيل run-script من Gaia على كل بوابة مُدارة مستهدفة:```sh mgmt_cli run-script script-name "show license" targets.1 "GATEWAY_OBJECT_NAME" script "clish -c 'show license status'" --format json mgmt_cli show-task task-id "" details-level full --format json

يسجّل تطبيق الويب الدخول إلى نطاق Management API System Data، ويستخرج بيانات name وtype الخاصة بالعميل الموثوق وبيانات IP المرتبطة بالنوع، ويعرضها في جدول أدلة. ويضع علامة على الفحص بأنه Remediation Required عندما يكون حقل type لأي كائن مُرجَع معيّنًا إلى any.

عندما يكون حقل type لكائن عميل موثوق معيّنًا إلى any، يقدّم التطبيق إجراء المعالجة الأول. ويبحث عن uid الفعلي لذلك الكائن وينفّذ ما يعادل:```sh mgmt_cli delete trusted-client uid "" --domain "System Data" mgmt_cli publish --domain "System Data"

بالنسبة لعدة عملاء محددين، يتم تنفيذ أمر الحذف مرة واحدة لكل uid محدد، متبوعًا بنشر واحد. إذا فشل حذف أو نشر بعد بدء التغييرات، يحاول التطبيق discard في نفس جلسة System Data.

يقوم فحص تسجيل القواعد الضمني بتشغيل ما يعادل:```sh mgmt_cli -r true show global-properties details-level full --format json

يقوم فحص الوصول إلى Management API بتشغيل ما يعادل:```sh mgmt_cli -r true show api-settings --domain "System Data" --format json

إذا كان الوصول إلى API مقيدًا بالفعل بعملاء GUI، يعرض الفحص جدول أدلة العملاء الموثوقين للمراجعة.

تقوم فحوصات Policy Insights بإجراء استدعاءات Access Control Insights للقراءة فقط:```sh mgmt_cli insights/v3.0/show-suggestions-summary --method POST --format json mgmt_cli insights/v3.0/show-suggestions --method POST --format json

يقوم تطبيق الويب بتسجيل الدخول إلى نطاق Management API الخاص بـ System Data لخطوة الجمع هذه، ثم يعرض جدول أدلة يتضمن Name وPermission Profile Name وAuthentication-Method وexpiration-date. يتم تحويل قيم انتهاء الصلاحية من iso-8601 إلى تاريخ ووقت قابلين للقراءة البشرية. يُعرض المسؤولون الذين ليس لديهم مفتاح expiration-date على أنهم Never.

يستخدم فحص تكامل MFA وموفّر الهوية الأمر show default-administrator-settings لعرض authentication-method الافتراضي، ثم يستخدم show-administrators لسرد المسؤولين الذين تكون authentication-method الخاصة بهم check point password أو os password. إذا كانت الطريقة الافتراضية أو أي مسؤول يستخدم مصادقة قائمة على كلمة المرور، يتم وضع علامة إصلاح موصى به على الفحص. يمكن للمشغّلين وضع علامة على القسم كمراجَع، ويُعرض نفس نمط تاريخ المراجَع من قبل. يتضمن الفحص زر تعليمات الإعداد مع إرشادات تكوين SmartConsole وSAML الخاصة بموفّر الهوية الخارجي.

يسمح جدول حسابات المسؤولين للمشغّلين بتحديد كائن مسؤول واحد أو أكثر من الكائنات المعادة وحذفها من تطبيق الويب. يتحقق التطبيق من قيم uid المحددة مقابل مخرجات show-administrators الحالية، ثم ينفذ ما يعادل:```sh mgmt_cli delete administrator uid "" --domain "System Data" mgmt_cli publish --domain "System Data"

يعرض تطبيق الويب الإعدادات المُرجعة في جدول Setting وValue وState. يتم وضع علامة على انتهاء صلاحية المسؤول الافتراضي المضبوط على never، وتعطيل مهلة الخمول في SmartConsole، وتعطيل قفل حساب المسؤول، وتعطيل الفتح التلقائي، أو min-password-length أقل من 10 على أنها تتطلب معالجة.

عندما تكون طريقة مصادقة المسؤول الافتراضي هي check point password، يوصي عمود State باستخدام طريقة مصادقة تدعم MFA أو مزوّد هوية خارجي.

بالنسبة لانتهاء صلاحية المسؤول الافتراضي، يعرض عمود State تفاصيل الانتهاء المُرجعة: قيمة expiration-date منسّقة، أو قيمة expiration-period بالإضافة إلى expiration-period-time-units عندما يكون النوع expiration-period.

عندما يتم ضبط انتهاء صلاحية المسؤول الافتراضي على never، يقدم التطبيق إجراء معالجة موصى به. ينفّذ ما يعادل:```sh mgmt_cli set default-administrator-settings expiration-type "expiration period" expiration-period "4" expiration-period-time-units "months" --domain "System Data" --format json mgmt_cli publish --domain "System Data"

إذا فشل النشر بعد تغيير مهلة الخمول، يحاول التطبيق تنفيذ discard في نفس جلسة System Data.

عندما يكون الحد الأدنى لطول كلمة المرور أقل من 10، يقدم التطبيق إجراءً تصحيحيًا موصى به. وينفذ ما يعادل:```sh mgmt_cli set cp-password-requirements min-password-length "10" --domain "System Data" --format json mgmt_cli publish --domain "System Data"

2. قم بتنزيل أو استنساخ هذا المشروع. ```sh git clone cd "Check Point Trusted Access Review"
   root@kitploit:~

3. تثبيت التبعيات وتشغيل التطبيق المحلي. ```sh npm install npm start
   root@kitploit:~

4. افتح التطبيق. ```text http://127.0.0.1:4000
   root@kitploit:~

Windows من المصدر

1. ثبّت Node.js 18 أو أحدث من nodejs.org.

2. نزّل واستخرج ملف ZIP الخاص بالمشروع، أو استنسخ المستودع باستخدام Git for Windows. ```powershell git clone cd "Check Point Trusted Access Review"

   root@kitploit:~

3. ثبّت التبعيات وشغّل التطبيق المحلي. ```powershell npm install npm start

   root@kitploit:~

4. افتح التطبيق في متصفح. ```text http://127.0.0.1:4000

   root@kitploit:~

تغيير المنفذ الاختياري

بشكل افتراضي يفضّل التطبيق 127.0.0.1:4000 وينتقل تلقائيًا إلى منفذ أعلى إذا كان المنفذ مشغولًا. لتحديد منفذ معيّن:

macOS:```sh PORT=4500 npm start

ثم افتح:```text http://127.0.0.1:4500

إذا أظهر المتصفح خطأ تسجيل دخول مع معرّف طلب (request ID) ولكن التقاط الحزم لا يُظهر أي محاولة صادرة إلى خادم الإدارة، قارن قيمة target= في الطرفية مع عامل تصفية التقاط الحزم الخاص بك.

إذا لم يكن هناك سطر Local API request على الإطلاق، فإن المتصفح لا يصل إلى الخادم الخلفي المحلي. تأكد من أن التطبيق يعمل وأنك فتحت عنوان URL المحلي الصحيح.