Атаки на средний бизнес в последнее время только увеличиваются — это давно не прерогатива крупных компаний, которые атакуют ради громких заголовков в СМИ. Средняя компания оказывается лакомым кусочком: с одной стороны, у неё есть деньги, чтобы заплатить выкуп после шифрования данных, с другой — в ней нет больших разветвлённых SOC и департаментов безопасности, обеспечивающих всестороннюю защиту.

Второй фактор — зашифрованный трафик. Классические межсетевые экраны и маршрутизаторы не обеспечивают его видимость, а по разным оценкам от 70 до 90 % трафика в интернете сегодня передаётся по TLS. Нужны средства, которые заглядывают внутрь этого трафика.

Третий фактор — регуляторика, которая касается не только крупных компаний: закон о персональных данных, требования ФСТЭК России, отраслевые стандарты. Законодательство обязывает использовать сертифицированные средства защиты информации, к которым относится и NGFW.

Наконец, импортозамещение. В 2022 году Positive Technologies сама предметно столкнулась с вопросом, на что менять межсетевой экран, используемый в компании. Изучение рынка показало, что достойной альтернативы зарубежным решениям нет, — тогда и было принято решение пойти в собственную разработку. В команде разработки участвует много специалистов, ранее работавших в западных вендорах, поэтому привычные администратору подходы максимально переносятся в продукт.

Для среднего бизнеса критичен и человеческий ресурс: администратор делает всё сам, поэтому важны понятный интерфейс и устройство по принципу «поставил и забыл».

Классический ответ «маршрутизатор маршрутизирует, а файрвол файрволит» ничего не объясняет. Разница — в сути устройств.

Маршрутизатор — устройство L3 (и отчасти L4, если учитывать трансляции с портами). Межсетевой экран нового поколения — устройство L7: в нём есть движок Application Control (DPI, Deep Packet Inspection), который позволяет распознать приложение внутри трафика, а не только порты и сетевые адреса.

Идеологически межсетевой экран — устройство безопасности: по умолчанию запрещено всё, а разрешается явно. Маршрутизатор — устройство connectivity, которое по умолчанию разрешает всё, чтобы трафик передавался. В NGFW есть дополнительные движки безопасности: IPS, антивирус, identity control, GeoIP. У маршрутизатора расширены сетевые функции: IP SLA, сложная маршрутизация, BGP, MPLS. При этом межсетевой экран реализует все популярные L3-сценарии.

Есть у него и особый режим внедрения — V-Wire (L2 transparent), режим виртуального провода: устройству задаются входной и выходной интерфейсы, у него нет ни IP-, ни MAC-адреса, оно стоит в сети абсолютно прозрачно и при этом полноценно фильтрует трафик. Такой сценарий активно применяется в пилотных проектах, а один из международных заказчиков использует его на уровне оператора связи, чтобы не вмешиваться в IP-адресацию сети.

До 2022 года на российском рынке доминировали западные производители — порядка 16 вендоров, — и в один момент они ушли. Если раньше отечественных игроков было около трёх, то затем количество вендоров NGFW выросло до 15, потом до 27, по некоторым оценкам звучала цифра около 50. Заявили о разработке многие, но часть проектов уже закрылась — например, у МТС RED и у Solar.

Перед выходом на рынок Positive Technologies опросила порядка 250 заказчиков из ИТ-сектора о том, что не устраивает в межсетевых экранах. Номер один — производительность, далее стабильность, качество обнаружения атак и сложность администрирования.

По производительности классическая тройка отечественных межсетевых экранов, существовавших до 2022 года, показывала в лучшем случае 10 Гбит/с. Их разработка длилась 10 лет и больше, то есть заложенные технологии тянутся с тех времён — именно поэтому перешагнуть этот рубеж не удаётся. Более поздний старт дал технологическое преимущество: можно было использовать актуальные наработки в программировании и аппаратной составляющей, доступные на 2022 год.

Качество обнаружения атак во многом унаследовано от Positive Technologies, работающей на рынке кибербезопасности более 15 лет. Написанием IPS-сигнатур занимается выделенное подразделение — PT Expert Security Center, центр компетенций, работающий в режиме 24/7: специалисты анализируют актуальные угрозы и обновляют экспертизу в продукте.

Первое, что делает инженер, — ищет datasheet и сравнивает цифры производительности. Но сравнимы ли они? Вендор А заявляет 800 Мбит/с, вендор Б — тоже 800 Мбит/с. Дальше начинаются сноски: на каком трафике получено значение?

Главная проблема индустрии в том, что единого стандарта на профиль E-mix не существует и никто не раскрывает его состав. Нельзя сказать, что вендоры говорят неправду, — цифры реальные, но получены в определённых лабораторных условиях. Это как расход автомобиля: есть городской, смешанный и загородный цикл, а по факту реальный расход оказывается выше. Поэтому при выборе межсетевого экрана стоит обязательно задавать вендору вопрос, как получены цифры.

Positive Technologies публикует свой профиль трафика — он есть и в материалах, и на главной странице продукта на сайте. Профиль взят за основу у крупных компаний и реально сложный: большая доля TLS, средняя длина пакета порядка 600 байт, характерный микс протоколов — то, что действительно наблюдается в сети.

В независимом тестировании компании «Инфосистемы Джет», проводившемся на её собственном профиле трафика, PT NGFW показал результат более чем в два раза выше заявленных в datasheet 10 Гбит/с. Подход компании — публиковать реальные данные, на которые можно опираться при подборе межсетевого экрана в свою сеть, без деления «на два, на три, на четыре».

В datasheet, как правило, не указывается, сколько правил настроено на межсетевом экране. Между тем это архиважный параметр: в тестировании «Джет» один из вендоров при заявленных 5 Гбит/с на 200 правилах показывал чуть больше, а после 2000 правил производительность падала драматически.

У PT NGFW производительность стабильна вне зависимости от числа правил, потому что тестирование изначально ведётся в тяжёлых условиях: для больших моделей со скоростями 80 Гбит/с и выше — 100 тысяч правил, для компактных — 10 тысяч, со срабатыванием по последнему правилу, то есть межсетевой экран должен пробежаться по всему списку.

Условия тестирования PT NGFW опубликованы на сайте: всегда включена идентификация приложений (то есть измеряется именно NGFW, а не классический межсетевой экран), проходит TLS-инспекция, включено журналирование всех правил, задействовано указанное выше число политик. Отдельный нюанс: при демонстрации производительности с расшифровкой TLS многие показывают крупную цифру, но доля TLS-трафика в их профиле составляет около 30 %. В тестах PT NGFW расшифровывается 100 % зашифрованного трафика — сценарий даже более тяжёлый, чем основной профиль.

Важный архитектурный элемент — защита плоскости управления, заложенная с первого дня. Разделение management plane и data plane сделано не только на уровне физических портов, но и на уровне ядер процессора: выделенное ядро обрабатывает трафик управления и никак не зависит от ядер data plane. Как бы сильно ни был загружен межсетевой экран, к нему всегда можно подключиться, создать запрещающее правило и остановить избыточный трафик.

Система управления — лёгкая, с полным API: всё, что делается через интерфейс, доступно и через API. Есть энтузиасты, которые на его основе пишут собственные системы управления под свои сценарии.

Наличие IPS заявляют многие, но единого мерила его эффективности в индустрии нет. Более-менее стандартом считаются страйки Ixia, однако набор сигнатур можно подстроить так, чтобы он ловил 100 % таких атак. Вопрос в том, как IPS проявит себя в реальной жизни.

Показательный случай произошёл на одном из пилотов. PT NGFW был установлен в тестовый контур, и в этот момент компания подверглась атаке — было зашифровано большое количество данных. Буквально за одну ночь было принято решение поставить межсетевой экран в продуктив, и он сразу же обнаружил и заблокировал DNS-туннели, которые использовали злоумышленники.

С классическим межсетевым экраном в виде аппаратной платформы спокойнее, и если требуется сертифицированное решение, ФСТЭК России рассматривает именно аппаратное исполнение, сертифицированное по требованиям к многофункциональным межсетевым экранам уровня сети. При этом виртуальная машина имеет полное право на жизнь: в линейке 10 аппаратных моделей и 5 виртуальных, производительность виртуального исполнения достигает порядка 18 Гбит/с. Виртуальные модели хорошо подходят для виртуальных сред, облачной инфраструктуры, тестирования и лабораторий.

Функциональность всех аппаратных и виртуальных моделей абсолютно идентична, различия только в производительности. Поэтому вопрос стоит не «или», а «и».