IPS & Threat Prevention¶

Access Control 決定「能不能連」，Threat Prevention 則是在允許的流量裡，找出並擋掉攻擊與惡意內容。它是一組 Blade 的集合，靠 Profile 統一管理。

Threat Prevention 的組成¶

Blade	防什麼
IPS	入侵防禦，比對攻擊特徵（漏洞利用、掃描等）
Anti-Bot	偵測已被感染、對外連 C&C 的內部主機
Anti-Virus	攔截已知惡意檔案 / 下載
Threat Emulation	沙箱引爆未知檔案（zero-day），看行為
Threat Extraction	把檔案內可能的惡意成分清掉，交付乾淨版本

Profile：集中管理偵測強度¶

不像 Access Control 一條一條寫，Threat Prevention 用 Profile 設定「偵測什麼、動作是 Detect 還是 Prevent」，再套用到規則：

graph LR
    PR[Threat Prevention 規則] --> PF[Profile<br/>Optimized / Strict / 自訂]
    PF --> B1[IPS]
    PF --> B2[Anti-Bot]
    PF --> B3[Anti-Virus]
    PF --> B4[Threat Emulation]

內建 Profile：

Optimized：效能與防護平衡，最常用的起點。
Strict：防護最高，誤判風險與效能成本也高。
可複製後自訂。

Detect vs Prevent¶

Prevent：阻擋該惡意活動與通訊，可顯示 UserCheck 訊息。
Detect：檢查並記錄威脅但不阻擋，流量照過、記 Log（觀察期 / 上線初期常用，避免誤殺）。
Inactive：該保護不啟用。

上線節奏建議

新環境先用 Detect 跑一段時間，從 Logs 觀察有沒有誤判，調整例外後再切 Prevent。直接全開 Prevent + Strict 容易擋到正常業務。

IPS 的更新與保護等級¶

IPS / Anti-Virus / Anti-Bot 更新預設每 2 小時自動執行（R80.20+ 的 Gateway 可直接下載）；無 Internet 環境支援離線更新（手動上傳），更新後仍須 Install Policy 才生效。設定在 SmartConsole → Threat Prevention → Updates。
每個 Protection 有信心度（Confidence）、效能影響（Performance Impact）、嚴重性（Severity）標記，Profile 可依這些自動套用 Detect/Prevent。
重大漏洞（例如新公布的 CVE）Check Point 常會發布對應 IPS Protection，可當作來不及打 patch 時的虛擬補丁（virtual patching）。

驗證與排錯¶

# Threat Prevention 各 Blade 統計（expert）
cpstat -f all threat-prevention     # 視版本可用子選項
fw stat                              # 確認策略已安裝

# Threat Emulation（沙箱）CLI
tecli show downloads {all|images|dr|sa|raw|types}   # TE 下載中的檔案 / 規則
tecli show emulator vm {synopsis|detailed}          # 佇列與 VM 狀態
tecli debug {on|off}                                # 開關 TE debug

# Logs：在 SmartConsole 的 Logs & Monitor 用 blade 篩選
#   blade:IPS / blade:"Anti-Bot" 看命中事件

效能要評估

Threat Emulation（沙箱）與 HTTPS Inspection 都吃資源。大流量環境上線前，先看 cpview 評估 CPU，必要時用雲端沙箱（Threat Emulation Cloud）分擔。

版本提醒

Profile 化的 Threat Prevention 架構在 R81.10 ~ R82.10 一致。R82 起 AI / 機器學習類的威脅引擎、以及與 Infinity ThreatCloud 的整合持續加強；IPS / AV / AB 特徵更新與大版本無關，雲端即時更新。

深入：IPS 三屬性、政策模式與 TE/TEX¶

IPS Protection 的三個屬性¶

每條 IPS protection 都帶三個排序 / 篩選屬性，是調校的依據：

Confidence（信心度）：判定準確度。低 → 誤判機率高 → 先設 Detect。
Performance Impact（效能影響）：對 Gateway 的負擔。高 → 高流量時影響明顯。
Severity（嚴重度）：攻擊成功的傷害。官方建議啟用 Critical / High Severity。

調校邏輯：High/Critical Severity + High Confidence + Low Performance → 可直接 Prevent；Low Confidence 或 High Performance Impact → 先 Detect 觀察。

Core vs ThreatCloud protections¶

Core protections：內建、per-gateway 指派、屬 Access Control policy（即「Core Activations」）。
ThreatCloud protections：雲端更新、屬 Threat Prevention policy。

IPS CLI（即時，不寫 policy）¶

ips off        # 即時停用 IPS（裝 policy 或重開即還原）
ips on
ips stat       # 看 IPS 狀態 / 版本 / Global Detect

Geo Policy¶

依封包 IP，用 IP-to-country 資料庫對國家設 Accept / Drop（可分方向）。R80.40+ 也可改用 Updatable Objects 的國家物件直接放進規則。

Threat Emulation：本地 vs 雲端¶

	ThreatCloud（雲端沙箱）	本地 appliance
檔案去向	經 TLS 送 Check Point 雲端	留在內網
資源	耗 Gateway 少	需專屬硬體
OS image	永遠最新全套	需自行維護

Fallback：本地不支援的檔案類型自動送雲端 emulate，不需額外授權。
MTA（Mail Transfer Agent）：Gateway 當 mail proxy，先收下郵件、附檔送 emulation，判定乾淨才轉給內部 mail server（郵件型防護的標準部署）。

Threat Extraction 兩種模式¶

萃取（清理，預設）：移除巨集 / 嵌入物件等，保留原格式。
轉 PDF：轉成 PDF。亞洲字型 / 右至左語言（阿拉伯/希伯來）建議用萃取，避免轉檔走樣。
原始檔由使用者經 UserCheck 取回。

Autonomous vs Custom Threat Prevention（R81+）¶

Autonomous：選定 profile 後自動產生策略、零維護、自動跟最新威脅同步。想快速上線用這個。
Custom：手動規劃規則 / 例外，完全掌控。需精細控制 / 合規時用。

小結¶

Threat Prevention = IPS + Anti-Bot + Anti-Virus + Threat Emulation/Extraction。
用 Profile 集中管理偵測強度，套到規則上。
先 Detect 觀察、調例外，再切 Prevent。
重大 CVE 可用 IPS Protection 做虛擬補丁過渡。