Check Point Trusted Access Review

BITTE WENDEN SIE VENDOR-PATCHES SO SCHNELL WIE MÖGLICH AN

Lokale Web-App zur Durchführung einer Check Point Trusted Access Review mit vertrauenswürdigen Check Point Management API-Befehlen. Die meisten Prüfungen sind reine Überprüfungen. Jegliche verfügbare Abhilfemaßnahme erfordert die ausdrückliche Zustimmung des Operators.

Dieser Scanner wurde speziell entwickelt, um Konfigurationsprobleme im Zusammenhang mit CVE-2026-16232 (https://support.checkpoint.com/results/sk/sk185169), CVE-2026-62144 (https://support.checkpoint.com/results/sk/sk185152) und CVE-2026-62145 (https://support.checkpoint.com/results/sk/sk185153) zu identifizieren.

Er ermöglicht das Scannen und Beheben von Verwendungen von ANY sowie das Durchsuchen von Protokollen nach potenziellen böswilligen Akteuren.

Dieses Tool wurde nicht von Check Point erstellt oder wird von Check Point unterstützt. Die Nutzung erfolgt auf eigenes Risiko.

Eigenständige Releases

Vorgefertigte Versionen sind unter dist/ für Benutzer verfügbar, die Node.js, npm, Git oder den Quellcode nicht installieren möchten:

• Windows x64: dist/windows-x64/ enthält die eigenständige .exe und ein passendes ZIP.
• macOS Apple Silicon: dist/macos-apple-silicon/ enthält das verteilbare .app-ZIP, die extrahierte App und die eigenständige arm64-Ausführungsdatei.

Die eigenständigen Releases enthalten die Node.js-Laufzeitumgebung, die Weboberfläche, das Backend und den direkten PDF-Berichtsgenerator. Sie binden nur an 127.0.0.1, bevorzugen Port 4000, versuchen automatisch 4001, 4002 und höhere Ports, falls nötig, und öffnen die ausgewählte lokale URL im Standardbrowser.

Für GitHub veröffentlichen Sie die Plattform-ZIPs – und optional die Windows .exe – als GitHub Release-Assets. Benutzer sollten nicht node_modules oder den Quellbaum herunterladen müssen, nur um ein eigenständiges Release auszuführen. Siehe dist/README.md für das Artefakt-Layout.

Die aktuelle App ist am Check Point Gateway and Management Hardening Administration Guide ausgerichtet.

Dieses Tool wurde nicht von Check Point erstellt oder wird von Check Point unterstützt. Die Nutzung erfolgt auf eigenes Risiko.

Die App läuft lokal, meldet sich bei einem Check Point Security Management Server oder MDS an, scannt verfügbare Management API-Nachweise und präsentiert guide-orientierte Härtungsprüfungen. Die meisten Prüfungen sind reine Überprüfungen; spezifische Abhilfemaßnahmen werden nur angeboten, wenn sie explizit implementiert sind, und erfordern die Zustimmung des Operators. Prüfungen, die eine Netzwerkdesign-Überprüfung, Gaia Portal, Gaia API, SSH/Clish, Identity Provider-Einstellungen oder Out-of-Band-Management-Inspektion erfordern, sind als manuelle Validierung markiert.

Was wird geprüft

Der Scanner deckt derzeit diese Bereiche des Härtungsleitfadens ab:

• Überprüfung der Stealth-Regel des Security Gateways.
• Überprüfung impliziter Regeln und Protokollierung impliziter Regeln.
• Überprüfung der geschützten Segmente und administrativen Quellenbeschränkungen des Management Servers.
• Nachweis der SmartConsole-Trusted-Client-Beschränkung.
• Überprüfung von Administratorkonten, MFA, Passwort, Leerlaufzeit-Timeout, Ablauf und Sperrung.
• Überprüfung der administrativen Authentifizierung über MFA und externen Identity Provider.
• Überprüfung der Integrationsanmeldeinformationen nach dem Least-Privilege-Prinzip.
• Nachweis der Zustimmung zu dynamischen Updates / AutoUpdater.
• Nachweis der Zustimmung zu cpdiag / Diagnose und Telemetrie.
• Bestandsaufnahme der Gaia OS-Härtungsüberprüfung für Gateways.
• Manuelle Prüfungen für SNMP, Syslog, Expert-Modus, LOM und Advanced Implied Rule Replacement.
• Überprüfung der Nutzung von Sicherheitsfunktionen für lizenzierte Blades und Funktionsablauf-Nachweise.

Workflow

1. Melden Sie sich mit einem Check Point Management API-Benutzer an.
2. Klicken Sie auf Scan Hardening Posture.
3. Überprüfen Sie die Ergebnisse: bestanden, abhilfebedürftig, überprüfungsbedürftig, manuell und unbekannt.
4. Nutzen Sie die Nachweise und Referenzen der Leitfadenabschnitte zur Steuerung der Operator-Validierung.

Für MDS-Umgebungen aktivieren Sie MDS Scan im Anmeldeformular. Dadurch werden zwei Felder angezeigt, die wichtig sind:

• Domain wählt den Management API-Domänenkontext für domänenbezogene Richtlinien- und Objektprüfungen aus.
• Global MDS Object Name benennt das tatsächliche MDS-Objekt, das für Gaia run-script-Prüfungen gegen die Box selbst verwendet wird. Dies ist erforderlich, wenn der Anmelde-Host die MDS-IP ist, die ausgewählte API-Domäne jedoch eine CMA/Domäne ist, da Befehle wie run-script das MDS-Objektnamen als Ziel haben müssen, nicht die MDS-IP oder die CMA/Domänen-IP.

Wenn MDS Scan aktiviert ist, erstellt die App zwei Check Point Management API-Sitzungen:

• Eine Domänen-/CMA-Sitzung meldet sich mit der ausgewählten Domain an und wird für domänenbezogene Objekte, Richtlinienpakete, Zugriffsregeln, Administratoren, vertrauenswürdige Clients und andere normale Domänenprüfungen verwendet.
• Eine MDS/globale Sitzung meldet sich beim selben Management-Host ohne Domäne an und wird nur für Gaia run-script-Befehle verwendet, die auf das Global MDS Object Name abzielen. Dies ist notwendig für Prüfungen, die das MDS-Server-Betriebssystem selbst inspizieren, wie z. B. die Erkennung von Management-Server-Schnittstellen/Standard-Route, Gaia-Administrator-Einstellungen, Gaia-Passwortrichtlinie, SNMP und Syslog-Weiterleitung des Management-Servers.
• Eine globale Domänensitzung wird ebenfalls geöffnet, wenn verfügbar. Diese wird verwendet, wenn eine Domänenrichtlinie unter einer globalen Richtlinienebene installiert ist und die App die globalen übergeordneten Zugriffsregeln oberhalb des Domänenplatzhalters lesen muss.

In mgmt_cli-Begriffen verhalten sich die Domänenprüfungen wie Befehle, die --domain "<Domain>" enthalten, während MDS-Host-Prüfungen sich wie mgmt_cli -r true run-script targets.1 "<Global MDS Object Name>" ... im globalen MDS-Kontext verhalten.

Einige MDS-Prüfungen bewerten absichtlich mehr als eine Verwaltungsebene. Beispielsweise bewertet Restrict Administrative Source IP Addresses sowohl die MDS/globale Management-Host-IP als auch die IP der ausgewählten Domäne/CMA. Für jede IP wird versucht, das passende Objekt in der ausgewählten Domäne aufzulösen, Netzwerkobjekte und Adressbereiche, die die IP enthalten, werden überprüft, Gruppen, die diese Objekte enthalten, werden verfolgt, und dann werden Zugriffsregeln gesammelt, die auf sie verweisen. Wenn die passende Domänenregel unter einer globalen Richtlinien-übergeordneten Ebene liegt, liest die App die globale Zugriffsregelbasis bis zu Placeholder for domain rules und fügt diese globalen Regeln in dieselbe Richtlinienpaket-Nachweistabelle mit einem GLOBAL RULES-Marker ein.