Check Point Trusted Access Review

POR FAVOR, APLIQUE SIEMPRE LOS PARCHES DEL VENDEDOR LO ANTES POSIBLE

Aplicación web local para realizar un Check Point Trusted Access Review con comandos confiables de la API de Management de Check Point. La mayoría de las comprobaciones son solo de revisión. Cualquier acción de remediación disponible requiere la aprobación explícita del operador.

Este escáner está creado específicamente para buscar problemas de configuración en torno a CVE-2026-16232 (https://support.checkpoint.com/results/sk/sk185169), CVE-2026-62144 (https://support.checkpoint.com/results/sk/sk185152) y CVE-2026-62145 (https://support.checkpoint.com/results/sk/sk185153).

Le permitirá escanear y remediar usos de ANY, así como examinar los registros en busca de posibles actores maliciosos.

Esta herramienta no está creada ni respaldada por Check Point y debe utilizarse bajo su propio riesgo.

Lanzamientos Autocontenidos

Hay versiones precompiladas disponibles en dist/ para los usuarios que no quieran instalar Node.js, npm, Git ni el código fuente:

• Windows x64: dist/windows-x64/ contiene el .exe independiente y un ZIP coincidente.
• macOS Apple Silicon: dist/macos-apple-silicon/ contiene el ZIP de la .app distribuible, la aplicación extraída y el ejecutable independiente para arm64.

Los lanzamientos autocontenidos incluyen el runtime de Node.js, la interfaz web, el backend y el generador directo de informes PDF. Se vinculan solo a 127.0.0.1, prefieren el puerto 4000, prueban automáticamente los puertos 4001, 4002 y superiores cuando es necesario, y abren la URL local seleccionada en el navegador predeterminado.

Para GitHub, publique los ZIP de plataforma —y opcionalmente el .exe de Windows— como recursos de lanzamiento de GitHub. Los usuarios no deberían descargar node_modules ni el árbol de código fuente únicamente para ejecutar un lanzamiento autocontenido. Consulte dist/README.md para conocer la estructura de los artefactos.

La aplicación actual está alineada con la Guía de administración de endurecimiento de Check Point Gateway y Management.

Esta herramienta no está creada ni respaldada por Check Point y debe utilizarse bajo su propio riesgo.

La aplicación se ejecuta localmente, inicia sesión en un Check Point Security Management Server o MDS, escanea la evidencia disponible de la API de Management y presenta comprobaciones de endurecimiento alineadas con la guía. La mayoría de las comprobaciones son solo de revisión; las acciones de remediación específicas solo se ofrecen cuando están implementadas explícitamente y requieren la aprobación del operador. Las comprobaciones que requieren revisión del diseño de red, Gaia Portal, Gaia API, SSH/Clish, configuración del proveedor de identidad o inspección de gestión fuera de banda están marcadas para validación manual.

Qué Comprueba

El escáner cubre actualmente estas áreas de la guía de endurecimiento:

• Revisión de la regla de ocultación (stealth) del Security Gateway.
• Revisión de reglas implícitas y del registro de reglas implícitas.
• Revisión de la restricción del segmento protegido y de las fuentes administrativas del Management Server.
• Evidencia de restricción de clientes confiables de SmartConsole.
• Revisión de cuentas de administrador, MFA, contraseñas, tiempo de inactividad, caducidad y bloqueo.
• Revisión de la autenticación administrativa mediante MFA y proveedor de identidad externo.
• Revisión de credenciales de integración con privilegios mínimos.
• Evidencia de consentimiento para actualizaciones dinámicas / AutoUpdater.
• Evidencia de consentimiento para cpdiag / diagnósticos y telemetría.
• Inventario de endurecimiento del sistema operativo Gaia para gateways.
• Comprobaciones manuales de SNMP, syslog, modo Expert, LOM y reemplazo avanzado de reglas implícitas.
• Revisión del uso de funciones de seguridad para blades licenciados y evidencia de caducidad de funciones.

Flujo de Trabajo

1. Inicie sesión con un usuario de la API de Management de Check Point.
2. Haga clic en Escanear Postura de Endurecimiento.
3. Revise los hallazgos de aprobado, requiere remediación, necesita revisión, manual y desconocido.
4. Utilice la evidencia y las referencias a las secciones de la guía para impulsar la validación del operador.

Para entornos MDS, active Escaneo MDS en el formulario de inicio de sesión. Esto expone dos campos relevantes:

• Dominio selecciona el contexto de dominio de la API de Management para las comprobaciones de políticas y objetos a nivel de dominio.
• Nombre del Objeto MDS Global nombra el objeto MDS real utilizado para las comprobaciones de run-script de Gaia contra el propio equipo. Esto es obligatorio cuando el host de inicio de sesión es la IP del MDS pero el dominio de API seleccionado es un CMA/dominio, porque comandos como run-script deben apuntar al nombre del objeto MDS, no a la IP del MDS ni a la IP del CMA/dominio.

Cuando Escaneo MDS está activado, la aplicación crea dos sesiones de la API de Management de Check Point:

• Una sesión de dominio/CMA inicia sesión con el Dominio seleccionado y se utiliza para objetos a nivel de dominio, paquetes de políticas, reglas de acceso, administradores, clientes confiables y otras comprobaciones normales de dominio.
• Una sesión MDS/global inicia sesión en el mismo host de Management sin dominio y se utiliza únicamente para comandos de run-script de Gaia que apuntan al Nombre del Objeto MDS Global. Esto es necesario para las comprobaciones que inspeccionan el propio sistema operativo del servidor MDS, como el descubrimiento de interfaces/ruta predeterminada del servidor de management, la configuración de administradores de Gaia, la política de contraseñas de Gaia, SNMP y el reenvío de syslog del servidor de management.
• También se abre una sesión de dominio Global cuando está disponible. Se utiliza cuando una política de dominio está instalada bajo una capa de Política Global y la aplicación necesita leer las reglas de acceso parentales Globales por encima del marcador de dominio.

En términos de mgmt_cli, las comprobaciones de dominio se comportan como comandos que incluyen --domain "<Domain>", mientras que las comprobaciones del host MDS se comportan como mgmt_cli -r true run-script targets.1 "<Global MDS Object Name>" ... ejecutadas en el contexto MDS global.

Algunas comprobaciones MDS evalúan intencionalmente más de un plano de gestión. Por ejemplo, Restringir Direcciones IP de Origen Administrativas evalúa tanto la IP del host de gestión MDS/global como la IP del Dominio/CMA seleccionado. Para cada IP, intenta resolver el objeto coincidente en el dominio seleccionado, comprueba los objetos de red y los rangos de direcciones que contienen la IP, sigue los grupos que contienen esos objetos y luego recopila las reglas de acceso que los referencian. Si la regla de dominio coincidente está bajo una capa parental de Política Global, la aplicación lee la base de reglas Global hasta Placeholder for domain rules e incluye esas reglas Globales en la misma tabla de evidencia del Paquete de Políticas con un marcador GLOBAL RULES.