wadesweaponshed/check-point-trusted-access-reviewCheck Point Trusted Access Review를 수행하기 위한 로컬 웹 앱입니다. 이 스캐너는 CVE-2026-16232, CVE-2026-62144 및 CVE-2026-62145 관련 구성 문제를 찾기 위해 특별히 제작되었습니다. 이 도구는 Check Point가 만들거나 지원하지 않으며, 사용자는 본인의 책임 하에 사용해야 합니다.
가능한 한 빨리 공급업체 패치를 반드시 적용하십시오.
신뢰할 수 있는 Check Point Management API 명령을 사용하여 Check Point Trusted Access Review를 수행하기 위한 로컬 웹 앱입니다. 대부분의 검사는 검토 전용입니다. 사용 가능한 수정 조치는 명시적 운영자 승인이 있어야만 수행됩니다.
이 스캐너는 CVE-2026-16232(https://support.checkpoint.com/results/sk/sk185169), CVE-2026-62144(https://support.checkpoint.com/results/sk/sk185152), CVE-2026-62145(https://support.checkpoint.com/results/sk/sk185153) 관련 구성 문제를 찾기 위해 특별히 제작되었습니다.
이 도구를 사용하면 ANY 사용을 스캔하고 수정할 수 있으며, 잠재적인 악의적 행위자를 찾기 위해 로그를 스캔할 수도 있습니다.
이 도구는 Check Point가 만들거나 지원하지 않으며, 사용에 따른 책임은 사용자 본인에게 있습니다.
Node.js, npm, Git 또는 소스 코드를 설치하고 싶지 않은 사용자를 위해 dist/에서 사전 빌드된 버전을 제공합니다:
dist/windows-x64/에는 독립 실행형 .exe와 그에 해당하는 ZIP이 포함되어 있습니다.dist/macos-apple-silicon/에는 배포 가능한 .app ZIP, 추출된 앱, 그리고 독립 실행형 arm64 실행 파일이 포함되어 있습니다.자체 포함 릴리스에는 Node.js 런타임, 웹 인터페이스, 백엔드, 직접 PDF 보고서 생성기가 포함됩니다. 이들은 127.0.0.1에만 바인딩되고, 포트 4000을 우선 사용하며, 필요 시 4001, 4002 및 더 높은 포트를 자동으로 시도하고, 선택된 로컬 URL을 기본 브라우저에서 엽니다.
GitHub의 경우, 플랫폼 ZIP(선택적으로 Windows .exe 포함)을 GitHub Release 자산으로 게시하십시오. 사용자가 자체 포함 릴리스를 실행하기 위해 node_modules나 소스 트리를 다운로드할 필요는 없습니다. 아티팩트 레이아웃은 dist/README.md를 참조하십시오.
현재 앱은 Check Point Gateway and Management Hardening Administration Guide에 맞춰져 있습니다.
이 도구는 Check Point가 만들거나 지원하지 않으며, 사용에 따른 책임은 사용자 본인에게 있습니다.
이 앱은 로컬에서 실행되고, Check Point Security Management Server 또는 MDS에 로그인하여 사용 가능한 Management API 증거를 스캔하고 가이드에 맞춘 강화 검사를 제시합니다. 대부분의 검사는 검토 전용이며, 구체적인 수정 작업은 명시적으로 구현된 경우에만 제공되며 운영자 승인이 필요합니다. 네트워크 설계 검토, Gaia Portal, Gaia API, SSH/Clish, ID 공급자 설정 또는 대역 외 관리 검사가 필요한 검사는 수동 검증으로 표시됩니다.
이 스캐너는 현재 다음 강화 가이드 영역을 다룹니다:
MDS 환경에서는 로그인 양식에서 MDS Scan을 활성화합니다. 그러면 중요한 두 개의 필드가 표시됩니다:
run-script 검사에 사용되는 실제 MDS 객체 이름을 지정합니다. 로그인 호스트가 MDS IP이고 선택한 API 도메인이 CMA/도메인인 경우, run-script 같은 명령은 MDS IP나 CMA/도메인 IP가 아닌 MDS 객체 이름을 대상으로 해야 하므로 이 필드가 필요합니다.MDS Scan이 활성화되면 앱은 두 개의 Check Point Management API 세션을 생성합니다:
run-script 명령에만 사용됩니다. 이는 관리 서버 인터페이스/기본 경로 검색, Gaia 관리자 설정, Gaia 비밀번호 정책, SNMP, 관리 서버 syslog 전달 등 MDS 서버 운영 체제 자체를 검사할 때 필요합니다.mgmt_cli 용어로, 도메인 검사는 --domain "<Domain>"을 포함하는 명령처럼 동작하며, MDS 호스트 검사는 글로벌 MDS 컨텍스트에서 실행되는 mgmt_cli -r true run-script targets.1 "<Global MDS Object Name>" ...처럼 동작합니다.
일부 MDS 검사는 의도적으로 둘 이상의 관리 평면을 평가합니다. 예를 들어 Restrict Administrative Source IP Addresses는 MDS/글로벌 관리 호스트 IP와 선택한 Domain/CMA IP를 모두 평가합니다. 각 IP에 대해 선택한 도메인에서 일치하는 객체를 확인하고, 해당 IP를 포함하는 네트워크 객체 및 주소 범위를 확인하며, 해당 객체를 포함하는 그룹을 추적한 다음 이를 참조하는 액세스 규칙을 수집합니다. 일치하는 도메인 규칙이 Global Policy 상위 레이어 아래에 있으면 앱은 Placeholder for domain rules까지 Global 액세스 규칙베이스를 읽고 해당 Global 규칙을 GLOBAL RULES 마커와 함께 동일한 Policy Package 증거 테이블에 포함합니다.
Smart-1 Cloud의 경우 로그인 양식에서 Smart-1 Cloud context URL을 활성화하고 컨텍스트 경로와 함께 Management 호스트를 입력합니다. 예:```text tenant-name.maas.checkpoint.com/context-id/web_api
앱은 해당 경로를 유지하고 다음 주소로 API 요청을 보냅니다:```text
https://tenant-name.maas.checkpoint.com/context-id/web_api/<command>
이는 mgmt_cli Smart-1 Cloud 컨텍스트 구조와 일치합니다:```bash
mgmt_cli -m tenant-name.maas.checkpoint.com --session-id --context context-id/web_api <cli_command>
**Smart-1 Cloud context URL**이 활성화되면 고객 소유 Management Server Gaia 객체에 직접 액세스해야 하는 검사는 건너뜁니다. 실제로 이는 **Management Plane Protection** 검사(예: **Protect Management Server Behind A Firewall**, **Restrict Administrative Source IP Addresses**)를 제거합니다. 관리 서버가 Check Point에서 호스팅되고 테넌트 도메인에 일반적인 고객 관리 Gaia 객체로 존재하지 않기 때문입니다.
검사 요약에는 현재 검사 시간과 해당 검사를 실행한 Management API 사용자 이름을 포함하여 로컬 앱이 기록한 이전 검사가 표시됩니다. 이 기록은 메모리에 유지되며 로컬 Node 프로세스가 다시 시작되면 초기화됩니다.
### 대규모 환경 모드
로그인 양식에는 MDS 또는 대규모 멀티 게이트웨이 환경을 위한 **대규모 환경 모드**가 포함되어 있습니다. 이 모드는 검사를 건너뛰거나 증거 수집을 변경하지 않습니다. 전체 검사 중 동시 API 요청과 Gaia `run-script` 작업을 제한하여 Management API에 대한 검사 부하를 낮춥니다.
기본 표준 검사 동작:
- Management API 수집 명령은 로컬 Node 프로세스가 예약하는 대로 최대한 빠르게 실행됩니다.
- Gaia `run-script` 수집은 `RUN_SCRIPT_CONCURRENCY`로 제한되며 기본값은 `8`입니다.
- 관리자 마지막 로그인 감사 쿼리는 `show-logs`를 사용하며 `SHOW_LOGS_CONCURRENCY`로 직렬화됩니다. 기본값은 `1`입니다.
- `show-task` 폴링은 폴링 시도 사이에 `750 ms`를 기다립니다.
대규모 환경 모드 동작:
- Management API 검사 호출은 `LARGE_ENV_API_CONCURRENCY`로 제한되며 기본값은 `10`입니다.
- Gaia `run-script` 수집은 `LARGE_ENV_RUN_SCRIPT_CONCURRENCY`로 제한되며 기본값은 `3`입니다.
- `show-logs` 관리자 마지막 로그인 조회는 병렬 감사 검색 부하를 피하기 위해 `SHOW_LOGS_CONCURRENCY`로 계속 직렬화됩니다.
- `show-task` 폴링은 `LARGE_ENV_TASK_POLL_INTERVAL_MS` 간격을 기다리며 기본값은 `1250 ms`입니다.
- Gaia `run-script` 작업 출력 폴링은 `TASK_POLL_ATTEMPTS`를 사용하며 기본값은 `20`입니다. 이는 Smart-1 Cloud 또는 원격 게이트웨이가 디코딩된 `show-task details-level full` 출력이 준비되기 전에 `run-script` 요청을 수락할 때 유용합니다.
- Security Gateway Stealth Rule 검사는 대규모 환경 모드 및 Smart-1 Cloud 모드에서 `show-access-rulebase`를 먼저 사용합니다. 이는 게이트웨이당 `where-used details-level full` 호출 하나를 피하며, 대규모/MDS/Smart-1 Cloud 환경에서는 비용이 많이 들거나 시간 초과될 수 있습니다.
이 값들은 로컬 백엔드를 시작하기 전에 환경 변수로 조정할 수 있습니다.```sh
LARGE_ENV_API_CONCURRENCY=8 LARGE_ENV_RUN_SCRIPT_CONCURRENCY=2 LARGE_ENV_TASK_POLL_INTERVAL_MS=1500 TASK_POLL_ATTEMPTS=20 TASK_POLL_INTERVAL_MS=1000 SHOW_LOGS_CONCURRENCY=1 CP_LOG_API_TIMEOUT_MS=120000 CP_VPN_API_TIMEOUT_MS=120000 VPN_COMMUNITY_PAGE_LIMIT=50 npm start
관리자 마지막 로그인 확인은 SmartConsole 감사 로그인을 administrator:<name> AND SmartConsole AND "Log In"과 동일한 필터로 조회합니다. CP_LOG_API_TIMEOUT_MS는 이러한 show-logs 요청의 제한 시간을 일반 Management API 호출과 별도로 제어합니다.
CVE IKE VPN 커뮤니티 확인은 show-vpn-communities-star 및 show-vpn-communities-meshed를 VPN_COMMUNITY_PAGE_LIMIT(기본값 50)으로 페이지 단위로 조회하며, CP_VPN_API_TIMEOUT_MS(기본값 120000 ms)를 사용합니다. 이렇게 하면 Smart-1 Cloud 및 MDS 스캔 시 한 번의 호출로 매우 큰 details-level full VPN 커뮤니티 페이로드를 요청하지 않습니다.
운영 중인 MDS 환경, 바쁜 관리 서버, 또는 수십 개의 게이트웨이가 배포된 환경을 스캔할 때 이 모드를 사용하십시오. 이 경우 fwm / Management API 응답성을 보호하는 것이 절대적으로 가장 빠른 스캔 시간보다 더 중요합니다.
일부 확인은 자동화된 고위험 조건이 없더라도 운영자 검토가 필요합니다. SmartConsole 신뢰 클라이언트, 관리자 계정, 관리자 비밀번호 / 유휴 시간 제한 / 만료 / 잠금 정책 확인은 검토됨으로 표시할 수 있습니다. 동일한 로그인 세션에서는 상태가 검토됨으로 변경됩니다. 새 로그인은 상태를 검토 필요로 되돌리며, 마지막 검토 승인은 로그인한 Management API 사용자 이름 및 타임스탬프와 함께 계속 표시됩니다.
관리자 비밀번호 / 유휴 시간 제한 / 만료 / 잠금 정책 확인의 경우 운영자는 수정 필요 상태에서도 해당 확인을 검토됨으로 표시할 수 있습니다. 앱은 해당 검토를 기록하기 전에 운영자가 Check Point에서 권장하지 않는 설정을 수락하고 있음을 경고합니다.
상단 요약은 수정 필요 및 수정 권장 결과를 하나의 수정 필요 개수로 결합합니다.