Межсетевой экран: типы, классы ФСТЭК и как выбрать NGFW

Межсетевой экран (МЭ, файрвол, брандмауэр) — это средство защиты, которое контролирует и фильтрует трафик между сетями по заданным правилам. Он отделяет внутреннюю сеть от внешней, разграничивает сегменты и закрывает несанкционированный доступ к серверам и рабочим станциям.

Простейший межсетевой экран пропускает или блокирует пакеты по адресам, портам и протоколам. Современные решения умеют гораздо больше: распознают приложения, проверяют содержимое трафика и применяют правила к конкретным пользователям. Ниже разберём, какие бывают межсетевые экраны, как их классифицирует ФСТЭК, чем отличается NGFW и с чего начинать настройку.

Аппаратный и программный межсетевой экран

Аппаратный межсетевой экран — отдельное устройство на границе сети. Он обрабатывает большой поток трафика, не зависит от защищаемых серверов и продолжает работать, даже если один из узлов сети скомпрометирован. Фактически это программно-аппаратный комплекс, где оборудование подобрано под задачи фильтрации.

Программный межсетевой экран устанавливается на сервер или рабочую станцию и защищает конкретный узел. Он контролирует, какие приложения могут принимать и устанавливать соединения, и помогает ограничить распространение атаки внутри сети.

В корпоративной сети обычно используют оба уровня. Периметровый экран отсекает внешние угрозы и разделяет сегменты, а хостовые экраны дают дополнительную защиту на самих серверах. Отдельно встречаются виртуальные межсетевые экраны, которые работают в среде виртуализации и защищают трафик между виртуальными машинами.

Важна и защита внутри сети. Если внутренняя сеть плоская, злоумышленник, попавший на один компьютер, может дотянуться до серверов и баз данных. Разделение сети на сегменты с фильтрацией между ними ограничивает такое распространение и делает последствия инцидента меньше.

Типы межсетевых экранов по требованиям ФСТЭК

Требования ФСТЭК России выделяют типы межсетевых экранов по месту применения. Тип определяет, какую границу защищает экран и какие функции от него ожидаются.

• тип «А» — на физической границе информационной системы;
• тип «Б» — на логической границе, например между сегментами;
• тип «В» — на отдельном узле (хостовый межсетевой экран);
• тип «Г» — для защиты веб-серверов и веб-приложений;
• тип «Д» — для промышленных сетей и АСУ ТП.

В одной информационной системе может понадобиться несколько типов сразу. Например, экран типа «А» на периметре, «Б» между сегментами и «В» на критичных серверах. Если в системе есть публичные веб-приложения, к ним добавляется защита типа «Г», а в промышленных сетях — «Д».

Классы межсетевых экранов и сертификат ФСТЭК

Внутри типов действуют шесть классов защиты: шестой — самый низкий, первый — самый высокий. Чем выше класс, тем строже требования к функциям безопасности и к проверке самого средства защиты. Нужный класс зависит от класса защищённости информационной системы, которую защищает экран.

Для государственных информационных систем, систем с персональными данными и объектов КИИ используют сертифицированные межсетевые экраны. Сертификат подтверждает, что конкретная модель и версия ПО соответствуют требованиям для заявленного типа и класса. При выборе важно проверить, что сертификат действует и относится именно к той конфигурации, которую вы закупаете.

Для коммерческих компаний без таких требований сертификат не обязателен. Но и в этом случае тип и класс полезны как ориентир: они помогают сформулировать требования к функциям и сравнить решения между собой.

На практике порядок такой: сначала определяют класс защищённости информационной системы, затем по требованиям находят нужный тип и класс межсетевого экрана и только после этого выбирают конкретные продукты с подходящим сертификатом. Обратный порядок, когда сначала покупают устройство, а потом проверяют требования, часто приводит к повторной закупке.

Межсетевой экран NGFW: чем он отличается

NGFW (Next Generation Firewall) — межсетевой экран нового поколения. Классический экран смотрит на адреса, порты и состояние соединений. Этого мало, когда большинство приложений работает через одни и те же веб-порты и шифрует трафик.

NGFW распознаёт приложения независимо от порта, анализирует содержимое трафика и включает систему обнаружения и предотвращения вторжений (IPS). Он применяет правила к пользователям и группам из службы каталогов, а не только к IP-адресам. Это позволяет, например, разрешить бухгалтерии доступ к банковским системам и запретить его остальным.

Классический межсетевой экран при этом не исчезает. Для простых задач, например фильтрации между внутренними сегментами с понятным набором сервисов, его возможностей бывает достаточно. NGFW нужен там, где важно видеть приложения и пользователей, а не только адреса.

Часто в NGFW входят также VPN для удалённых сотрудников и филиалов, фильтрация веб-трафика по категориям и проверка зашифрованного трафика. Каждая включённая функция нагружает устройство, поэтому производительность NGFW нужно оценивать с учётом реального набора защитных механизмов.

NGFW эффективен, только если его базы регулярно обновляются. Сигнатуры атак, списки приложений и категории сайтов меняются постоянно, и устройство без актуальных обновлений постепенно превращается в обычный фильтр. Поэтому при выборе важно понимать, как и как часто производитель выпускает обновления и что входит в подписку.

Как выбрать межсетевой экран

Начните с требований: какие сегменты и системы нужно защищать, есть ли обязательные требования регулятора, какой объём трафика проходит через границу сейчас и какой ожидается.

• Пропускная способность с включёнными функциями защиты, а не «голая» скорость.
• Нужный тип и класс защиты, наличие сертификата ФСТЭК.
• Функции NGFW: контроль приложений, IPS, VPN, фильтрация веб-трафика.
• Отказоустойчивость: кластер из двух устройств.
• Удобство управления и журналирования, интеграция с мониторингом.

Производительность лучше закладывать с запасом. Трафик растёт, в сети появляются новые сервисы, а включение дополнительных функций защиты снижает пропускную способность. Экран, который работает на пределе в первый год, через пару лет придётся менять или отключать на нём часть защиты.

Если в компании несколько площадок, обратите внимание на централизованное управление. Единая консоль для всех устройств упрощает поддержку одинаковых правил, обновление и сбор журналов. Для границы с интернетом стоит сразу планировать кластер из двух устройств, чтобы отказ одного не оставил компанию без связи.

Настройка межсетевого экрана: с чего начать

Хорошая настройка начинается с карты сети: какие сегменты есть, какие сервисы в них работают и кому к ним нужен доступ. Без этого правила превращаются в набор исключений, которые со временем никто не может объяснить.

Переход на новый межсетевой экран удобно проводить поэтапно. Сначала правила переносят и включают в режиме наблюдения, когда экран фиксирует срабатывания, но не блокирует трафик. Затем по журналам уточняют правила и только после этого включают блокировку. Так меньше риск остановить нужный сервис из-за неучтённого соединения.

Базовый принцип — запрещено всё, что явно не разрешено. Правила стоит формулировать по сервисам и группам пользователей, давать им понятные описания и регулярно пересматривать. Неиспользуемые и слишком широкие правила — частая причина того, что защищённая на бумаге сеть остаётся уязвимой.

Обязательно включите журналирование и передачу событий в систему мониторинга. Журналы помогают расследовать инциденты и показывают, какие правила реально работают. После любых изменений проверяйте, что критичные сервисы доступны, и храните резервную копию конфигурации.

Настройка не заканчивается после запуска. Сеть меняется: появляются новые сервисы, уходят старые, меняются сотрудники и подрядчики. Регулярный пересмотр правил, например раз в квартал, помогает удалять лишние разрешения и держать конфигурацию понятной.

Итог

Межсетевой экран защищает границы сети и разделяет её сегменты. ФСТЭК выделяет типы от «А» до «Д» по месту применения и шесть классов защиты, где первый — самый высокий. Для государственных систем, систем с персональными данными и КИИ нужен сертифицированный экран, а NGFW добавляет к фильтрации контроль приложений, IPS и правила для пользователей.

Специалисты Гравитино анализируют инфраструктуру, подбирают межсетевой экран под требования и выполняют настройку правил, мониторинг и обслуживание.