Какие российские NGFW соответствуют требованиям регуляторов

Запрос «российский NGFW» за последние три года превратился из технического в организационный: выбрать надо не просто хороший межсетевой экран, а такой, который примет проверяющий.

Разбираем, что регулятор на самом деле требует, по каким критериям сравнивать решения и что спрашивать у вендора до подписания договора.

Что такое NGFW и зачем он нужен

NGFW расшифровывается как next generation firewall, межсетевой экран нового поколения. От обычного он отличается тем, что смотрит не только на адреса и порты.

Классический межсетевой экран решает, пропускать ли пакет, по адресу источника, адресу получателя и порту. NGFW дополнительно разбирает, какое приложение стоит за трафиком, кто именно из пользователей его породил, и проверяет содержимое на признаки атаки.

На практике под NGFW обычно понимают устройство, которое объединяет:

• фильтрацию трафика с учетом состояния соединений;
• систему обнаружения и предотвращения вторжений;
• контроль приложений, а не только портов;
• фильтрацию веб-адресов и категорий сайтов;
• разбор зашифрованного трафика;
• виртуальные частные сети для филиалов и удаленных сотрудников.

Важная оговорка: в российских нормативных документах термина NGFW нет. ФСТЭК России оперирует понятием «межсетевой экран» и делит их на типы и классы защиты. Поэтому фраза вендора «наш NGFW сертифицирован» сама по себе не значит ничего: значение имеют тип и класс в сертификате.

Требования регуляторов к NGFW

Основной документ - приказ ФСТЭК России от 9 февраля 2016 года № 9 «Требования к межсетевым экранам». Зарегистрирован Минюстом России 25 марта 2016 года под номером 41564, действует с 1 декабря 2016 года.

Он вводит две координаты, по которым описывается любой сертифицированный межсетевой экран.

Профили защиты утверждены информационным сообщением ФСТЭК России от 12 сентября 2016 года № 240/24/4278. Обозначаются они по схеме ИТ.МЭ.«тип»«класс».ПЗ. Запись ИТ.МЭ.А4.ПЗ читается так: профиль защиты межсетевых экранов типа «А» четвертого класса защиты.

Какой именно тип и класс нужен вам, зависит от системы: государственная информационная система, система персональных данных, значимый объект критической информационной инфраструктуры или АСУ ТП. Это определяется на этапе классификации системы, а не при выборе железа.

Кроме ФСТЭК есть вторая линия. Если межсетевой экран шифрует каналы связи, средство криптографической защиты сертифицирует ФСБ России по классам КС1, КС2 и выше. Это отдельный сертификат, и его наличие надо проверять отдельно.

Третье - реестр российского программного обеспечения. Для компаний с государственными контрактами и требованиями по импортозамещению это обязательное условие: иностранное решение поставить нельзя.

Критерии выбора решения

Производительность

Цифра пропускной способности в презентации вендора почти всегда снята в тепличных условиях: крупные пакеты, простые правила, выключенные проверки. В бою картина другая.

Что спрашивать:

• пропускная способность с включенной системой предотвращения вторжений;
• пропускная способность с разбором зашифрованного трафика - именно здесь производительность падает сильнее всего;
• число одновременных соединений и число новых соединений в секунду;
• на каком размере пакета измерялась цифра.

Ориентир по модельному ряду: у линейки Numa Edge заявленная пропускная способность идет от 1,97 Гбит/с в младшей десктопной модели до 49,9 Гбит/с в старшей стоечной. Разброс в 25 раз внутри одной линейки показывает, насколько важно считать нагрузку до закупки, а не после.

Сертификация

Сертификат проверяется не по презентации, а по номеру. У того же Numa Edge это сертификат ФСТЭК России № 4199 от 26 декабря 2019 года, плюс сертификаты ФСБ России № СФ/114-5043 и № СФ/124-5044 от 17 декабря 2024 года на классы КС1 и КС2.

На что смотреть в самом сертификате:

• номер и дата выдачи;
• срок действия и дата окончания технической поддержки сертификата;
• тип и класс защиты по приказу № 9 - именно та запись вида ИТ.МЭ.А4.ПЗ;
• точное наименование и версия изделия: сертификат выдан на конкретную версию, а не на продукт вообще;
• кто заявитель - вендор или посредник.

Последний пункт про версию упускают чаще всего. Обновили прошивку до версии, которой нет в сертификате, - и формально система перестала соответствовать.

Интеграция с SIEM

Межсетевой экран, который никуда не передает события, - это черный ящик. Он что-то блокирует, но разобрать инцидент по его журналам невозможно.

Что проверять:

• выгрузка событий по syslog в формате, который понимает ваша система мониторинга;
• наличие готового коннектора к вашей SIEM, а не обещание его написать;
• полнота события: попадают ли в журнал пользователь, приложение и правило, по которому сработала блокировка;
• интерфейс для автоматизации: можно ли менять правила программно, без ручной работы в консоли;
• глубина хранения журналов на самом устройстве.

Чек-лист выбора NGFW

Свести все в один список, который можно отправить вендору письмом до начала переговоров.

1. Тип и класс защиты

   Какой профиль указан в сертификате ФСТЭК России и подходит ли он классу защищенности вашей системы.

2. Версия в сертификате

   Совпадает ли сертифицированная версия с той, которую вам поставят и на которую будете обновляться.

3. Криптография

   Есть ли отдельный сертификат ФСБ России, если планируете шифровать каналы, и какого класса.

4. Реестр российского ПО

   Внесено ли решение в реестр и под каким номером.

5. Производительность под нагрузкой

   Цифры с включенными системой предотвращения вторжений и разбором зашифрованного трафика.

6. Отказоустойчивость

   Работа в паре, время переключения, что происходит с сессиями при отказе одного узла.

7. Интеграция с мониторингом

   Формат выгрузки событий и наличие готового коннектора к вашей SIEM.

8. Аппаратная платформа

   На чьем железе работает решение и есть ли оно в реестре российской радиоэлектронной продукции.

9. Поддержка

   Время реакции, язык, где физически находится инженер, как поставляются обновления баз решающих правил.

10. Миграция

    Переносятся ли правила с текущего межсетевого экрана и кто это делает.

Частые ошибки при выборе

Три ошибки, которые видим чаще всего.

Вместо вывода

Сертификат отвечает на вопрос «можно ли это поставить». На вопрос «будет ли это работать в вашей сети» отвечает только пилотное тестирование на вашем трафике.

Мы не публикуем таблицу «вендор - сертификат»: такие данные устаревают быстрее, чем страница. Проверять их нужно в реестре сертифицированных средств защиты информации на момент закупки, а не по чужой статье.