NGFW — межсетевой экран нового поколения¶
NGFW (Next-Generation Firewall, межсетевой экран нового поколения) — класс сетевых устройств безопасности, объединяющий функции классического межсетевого экрана (Stateful Firewall) с глубокой инспекцией пакетов (DPI), предотвращением вторжений (IPS), контролем приложений и пользователей. В отличие от традиционных межсетевых экранов, работающих на уровне IP-адресов и портов, NGFW анализирует содержимое трафика, распознаёт конкретные приложения (например, отличает HTTPS-браузер от мессенджера), протоколы и действия пользователей.
¶История появления
Первое поколение межсетевых экранов (1980-е годы) фильтровало пакеты по IP-адресам и номерам портов — так называемый Packet Filtering Firewall. В 1990-е появились stateful-межсетевые экраны, отслеживающие состояние соединений. К середине 2000-х годов стало очевидно, что классической фильтрации недостаточно: приложения стали использовать стандартные порты (80, 443) для обхода правил, а туннелирование и шифрование скрывали реальный характер трафика.
Термин «Next-Generation Firewall» ввела в оборот аналитическая компания Gartner в 2009 году, выпустив отчёт с определением требований к новому классу устройств. Среди ключевых требований Gartner назвал: интеграцию системы предотвращения вторжений (IPS), контроль приложений и пользователей, поддержку SSL-инспекции, возможность обновления баз угроз без замены оборудования.
Первыми коммерческими продуктами этого класса стали Palo Alto Networks PA-4000 (2007) и Fortinet FortiGate с функциями DPI. В России и СНГ активное внедрение NGFW началось в 2010-х годах, особенно после требований по защите значимых объектов кибербезопасности (ЗОКИ), предъявляемых ФСТЭК России.
¶Ключевые функции
| Функция | Описание |
|---|---|
| Stateful-фильтрация | Отслеживание состояния соединений на основе таблицы сессий |
| DPI (Deep Packet Inspection) | Анализ содержимого пакетов, распознавание приложений по сигнатурам и поведению |
| IPS | Обнаружение и блокирование атак в реальном времени |
| Контроль приложений | Разрешение или блокировка конкретных приложений (VoP, P2P, соцсети) вне зависимости от порта |
| Контроль пользователей | Привязка политик к учётным записям (LDAP, Active Directory) |
| SSL-инспекция | Расшифровка и анализ HTTPS-трафика для выявления угроз |
| Антивирус и антишпион | Проверка файлов и потоков на вредоносное ПО |
| URL-фильтрация | Блокировка доступа к категориям веб-ресурсов |
| Sandbox | Песочница для эмуляции и анализа подозрительных файлов |
¶Устройство и принцип работы
Архитектура NGFW строится вокруг движка инспекции трафика. Пакет сначала проходит базовую фильтрацию по IP/порту, затем классифицируется по приложению с помощью DPI-движка. После идентификации приложения к трафику применяются политики безопасности: разрешение, ограничение скорости, блокировка, передача на дополнительную проверку (антивирус, sandbox).
Многие NGFW используют подход «один проход» (single-pass), при котором трафик обрабатывается движками инспекции последовательно за один цикл, что снижает задержку. Для SSL-инспекции устройство выступает в роли TLS-прокси: terminates TLS-соединение, расшифровывает трафик, проверяет его и перешифровывает при передаче получателю.
Производительность NGFW измеряется в нескольких метриках: пропускная способность (throughput) для TCP-трафика, для IPS, для SSL-инспекции и для одновременных соединений. Показатели существенно различаются: если базовый throughput может составлять десятки Гбит/с, то при включении всех функций инспекции реальная производительность падает в разы.
¶Классификация
По назначению NGFW делятся на:
- Корпоративные — для периметра сети крупных организаций, высокая производительность, поддержка кластеризации.
- Для филиалов — компромисс между ценой и функциональностью.
- Для SMB — упрощённые модели для малого и среднего бизнеса.
- Виртуальные (vNGFW) — программные реализации для виртуальных сред и облаков (VMware NSX, KVM, OpenStack).
- Облачные (CNF/CNFW) — для защиты контейнерных и serverless-сред.
¶Отечественные решения
На российском рынке NGFW представлены как зарубежными (Palo Alto Networks, Fortinet, Check Point, Cisco), так и отечественными разработчиками. К последним относятся:
- «Лаборатория Касперского» — Kaspersky Next Generation Firewall (на базе технологии STG, приобретённой у Cisco в 2012 году).
- «Инфотекс» — семейство «Серверные шлюзы» (СГС).
- «Код Безопасности» — линейка «УДС» (устройства защиты информации).
- «Солар» — Solar Secure Gateway.
- «Бастион» (НПО «Эшелон») — серии «Контур» и «Бастер».
- «Явь-Секьюрити» — продукты на базе Untangle.
После 2022 года, в связи с уходом ряда зарубежных вендоров с российского рынка, спрос на отечественные NGFW вырос. Госсектор и критическая инфраструктура переходят на решения российских производителей в рамках импортозамещения.
¶Применение
NGFW устанавливаются на периметре сети, в демилитаризованных зонах (DMZ), между сегментами корпоративной сети. Типовые сценарии: защита корпоративного периметра, контроль доступа сотрудников к интернету, безопасный удалённый доступ, защита центров обработки данных, сегментация сети.
В России применение NGFW на периметре значимых объектов кибербезопасности регулируется приказами ФСТЭК (приказ № 239 от 25 декабря 2017 года), требующими средств предотвращения атак уровня 2 (DPI, IPS).
¶Критика и ограничения
Основные претензии к NGFW: высокая стоимость лицензий, снижение производительности при включении полного набора функций, сложность настройки и эксплуатации. Критикуется и сама модель «всё в одном корпусе»: при компрометации NGFW злоумышленник получает доступ ко всей сетевой инфраструктуре. Альтернативным подходом считается архитектура SASE, объединяющая NGFW с функциями безопасности в облаке.
Источники:
- Gartner. Magic Quadrant for Enterprise Network Firewalls (2009—2021).
- Palo Alto Networks. Technical documentation и white papers.
- ФСТЭК России. Приказ № 239 от 25.12.2017 «Об утверждении состава и содержания организационных и технических мер...».
- Касперский Л. Б. «Кибератаки. Разведка и противодействие».
- RFC 4949, RFC 6194 — стандарты терминологии сетевой безопасности.