Выбираем NGFW. Как выбрать межсетевой экран нового поколения

Российский рынок NGFW сильно изменился за последние годы. Мировые лидеры покинули страну, и их все чаще стали заменять российские и азиатские вендоры.

Чтобы разобраться с новым решением, требуется немало времени. Нужно найти компетентного ИБ-специалиста или переобучить текущего. Однако внедрить NGFW необходимо бесшовно и максимально быстро — злоумышленники и атаки не будут ждать.

Как определить, какое решение будет оптимальным для компании? В этой статье рассказываем о нескольких критериях, которые могут помочь с выбором.

Что есть на рынке

К началу 2022 года в России присутствовали все крупные международные производители NGFW. В их числе Palo Alto, FortiGate, Cisco и Check Point. С ними уже тогда конкурировали отечественные вендоры: UserGate, ИнфоТеКС, Айдеко, Код Безопасности.

Затем многие западные поставщики стали уходить из России. Кто-то поспешил перейти на отечественные NGFW, другие заняли выжидательную позицию, а некоторые компании нашли компромиссные варианты.

К началу 2024 года ситуация выглядит так: ушедшие вендоры не вернулись, хотя некоторые клиенты продолжают пользоваться их решениями. Компромиссные варианты трансформировались в серые схемы, благодаря которым можно получить лицензии, обновления для своих баз сигнатур и другие возможности несанкционного пользователя.

При этом резко усилился интерес к отечественным NGFW. Бурный рост спроса оказался вызовом для российских вендоров. Кроме того, о запуске собственных решений заявили крупнейшие участники ИБ-рынка, в их числе Positive Technologies и Kaspersky. Параллельно на рынок стали выходить NGFW от азиатских компаний.

Определиться с выбором своего решения на фоне такого разнообразия — теперь задача со звездочкой. И здесь вряд ли поможет банальный перебор функций или технических характеристик. Перед выбором лучше задать себе несколько вопросов. Они помогут сформулировать правильный запрос к поставщику продукта и принять верное решение.

Каким должен быть функционал NGFW?

Первое, с чего стоит начать поиск подходящего решения, — это определиться с его функционалом. Важно понять, какие модули безопасности необходимы именно вашей компании.

За долгую историю рынка практически все игроки включили в свои NGFW набор функций, который можно считать базовым. Почти в каждом решении есть:

• фильтрация по URL,
• IDS/IPS,
• Application Control,
• аутентификация пользователей,
• DPI,
• антивирус,
• VPN,
• инспектирование SSL,
• антиспам.

Учитывая схожесть базового функционала, есть смысл обратить внимание на дополнительные возможности. Часто благодаря им можно отличить решения разных вендоров друг от друга, но при этом они могут быть полезными и важными для некоторых клиентов. К дополнительным модулям безопасности можно отнести:

• ГОСТ VPN,
• WAF,
• защиту почты,
• сканеры,
• «‎песочницы».

Такие встроенные инструменты могут стать главным преимуществом при выборе NGFW. Особенно если ИБ-бюджет ограничен, нет возможности покупать несколько средств защиты и хочется получить максимальный набор функций по цене одного NGFW.

Однако при выборе многозадачного решения нужно помнить о технических нюансах. Чем больше модулей входит в межсетевой экран, тем больше ресурсов он потребляет. Для таких NGFW требуется более мощное оборудование. Если средств на обновление железа нет, то лучше рассмотреть решение только с реально необходимыми модулями.

Нужен ли защищенный удаленный доступ?

С началом пандемии большинство компаний перешли на полную удаленку или гибридный график работы. Многим ИБ-специалистам пришлось впервые решать задачи по защите удаленного доступа сотрудников к корпоративным ресурсам.

С тех пор прошло несколько лет, но потребность компаний в Remote Access VPN осталась. Если вам необходим такой модуль, то лучше определиться сразу, нужен ли клиент для защиты рабочих станций (персональный межсетевой экран). В некоторых VPN, которые идут в составе NGFW, этой возможности нет. В этом случае придется подключать отдельный сервис.

Второй важный вопрос — насколько решение должно соответствовать требованиям ИБ-политики и комплаенсу, что особенно актуально сегодня. Во многих компаниях сотрудники работают дистанционно с личных устройств. На них сложно отследить наличие антивируса и обновлений ОС, а значит, есть высокий риск заражения всей инфраструктуры компании.

Если вы хотите контролировать параметры безопасности устройств удаленных сотрудников, мониторить их сетевую активность и вести журналы событий, то лучше рассмотреть VPN-клиент с расширенными возможностями.

Кроме того, сегодня многим российским компаниям требуется ГОСТ VPN. Здесь вариант только один — нужно выбирать отечественные решения.

Необходимо ли сертифицированное решение?

Один из важнейших критериев выбора NGFW — соответствие продукта требованиям регуляторов. Особенно актуальным он становится на фоне новостей о том, что ФСТЭК отзывает сертификаты соответствия у иностранных решений. Если вам нужен сертифицированный NGFW, то лучше обратить внимание на российские продукты.

Использовать сертифицированное решение в некоторых случаях обязательно, в частности, для защиты ГИС. Но иногда такого требования нет, например, в случае с 152-ФЗ. Однако для тех, кто проходит аттестацию, применять сертифицированные NGFW бывает проще: снимаются возможные вопросы со стороны регуляторов, хотя и сужается выбор средств защиты этого класса.

Виртуальный или аппаратный NGFW?

На виртуальное решение стоит обратить внимание, если вам сложно прогнозировать будущую нагрузку на NGFW или у вас непостоянный объем трафика в течение года. Добавить пару ядер в виртуальный межсетевой экран будет в разы быстрее и дешевле, чем обновлять оборудование и дожидаться его доставки.

При этом можно сделать использование виртуального межсетевого экрана еще более удобным — не оформлять его во владение на год, а приобрести как сервис по подписке. Такое возможно благодаря MSSP-модели (Managed Security Service Provider, «безопасность как сервис»). Еще один плюс NGFW по подписке — за него можно платить помесячно. Такую возможность предоставляют многие вендоры на рынке. Но даже если такой опции у поставщика нет, то можно попробовать договориться о рассрочке платежа.

При выборе виртуального NGFW стоит помнить, что решение должно быть совместимо с вашей платформой виртуализации. К счастью, информация об этом обычно открыта и ее можно найти на сайте вендора.

Кроме того, такой вариант может не подойти для компаний с огромным трафиком передаваемых данных. Чем он выше, тем производительнее должна быть виртуальная машина и тем больше ресурсов она будет потреблять. Особенно если вы планируете использовать максимальный набор модулей NGFW. Если нужна высокая производительность — хотите обрабатывать трафик в режиме 20 гигабит в секунду и выше, — то лучше приобрести аппаратное решение.

Если сомневаетесь в покупке виртуального NGFW, то лучше провести пилотный проект. Так можно протестировать весь необходимый функционал межсетевого экрана и сразу провести замеры его пропускной способности.

Также есть смысл приобрести аппаратный NGFW, если у вас территориально распределенная организация со множеством подразделений в разных регионах или даже странах.

И наконец, виртуальный NGFW вряд ли подойдет компаниям, которые совсем не используют виртуализацию, хотя такое сегодня очень сложно представить. Современные задачи требуют от бизнеса актуальных решений, а они уже давно базируются на виртуальных платформах.