[CheckPoint FW-1] Filter verkeer van 1 host - in EN outbound

[Bor]

Ik ben bezig een filter te definieren in CheckPoint SmartView Tracker om al het verkeer van en naar een object in onze rulebase (bv host / server) te monitoren. Ik kom er echter met de beschrikbare tools niet uit. Als ik een nieuwe query maak vind ik geen optie om op "host"of "object" te filteren. Ik kan wel source en destination objecten aangeven, echter als ik deze beide waardes instel op dezelfde host is het logvenster leeg (wat ook logisch is: je filtert dan op source: host1, destination: host1).

Het lukt me dus wel een query te maken voor al het verkeer wat vanaf de host1 afkomt en een los filter voor al het verkeer naar de host1. Kan ik deze 2 views op de een of andere manier samenvoegen of is er een andere oplossing?

De CheckPoint documentatie zegt hierover niets, ook secureknowledge heeft geen antwoord.


Alvast bedankt voor de hulp.

[Bor]

*beleefd kickje*

Niemand die dit weet?

[Predator]

Ik heb je post 2x moeten lezen voor ik snapte wat je bedoelde.

Ik kan helaas wel geen antwoord geven op je vraag.
Je zou de 2de velden moeten combineren, maar dat kan afaik niet.

1 host <-> 1 server kan je natuurlijk wel doen door in beide velden (source & dest) de host & server te filteren. Dan zie je al het verkeer tussen die 2 toestellen.
Maar als je meerdere hosts (network of group object) <-> server wilt werkt dat al niet meer natuurlijk.

Ik erger me persoonlijk ook aan het feit dat je enkel voor alle objecten in dat field wat je wilt filteren NOT kan doen. En niet bv: NOT object 1 en object 2.
Het is NOT (object 1 of object 2) of object 1 of object 2.

Er zijn nog andere FW-1 logparsers, maar ik weet niet of die ook realtime zijn, ik veronderstel van niet.

[ Voor 17% gewijzigd door Predator op 14-06-2004 10:33 ]

[goof.]

Idd, als je je filter zo instelt dat source en destination het zelfde is zal je niet veel zien omdat het filter alleen het verkeer tussen deze 2 hosten uit de log zal weergeven, en in dit geval zal dat verkeer niet echt langs je firewall komen......

Kan je niet op iets anders loggen? Service (protocol) bijv.? Anders misschien 2 Tracker's openen.