Что представляет собой NGFW и как этот межсетевой экран работает по сравнению с классическим

NGFW (шлюз фильтрации нового поколения) – это развитая система сетевой безопасности, выполняющая разбор передаваемых данных не просто по IP-адресации, портам и базовым протоколам, а с глубоким погружением в контекст конкретных программ, данных учетных записей и содержимого сессий, параллельно выявляя признаки компьютерных атак. Главный технологический сдвиг по сравнению с традиционными брандмауэрами заключается в переносе точки принятия решений на седьмой (прикладной) уровень модели OSI (L7).

Вместо абстрактного факта «фиксация сессии через порт 443» система видит предметную цепочку действий: «менеджер из отдела продаж отправляет файл в стороннее облако, и в этот документ встроен вредоносный эксплойт».

• традиционный брандмауэр фокусируется на параметрах «маршрут отправления, точка назначения и номер порта»;

• NGFW отвечает на комплексный вопрос: «какой субъект, посредством какого ПО, с какими именно данными работает – и не несет ли это прямой угрозы»;

• в отечественной нормативной базе для решений класса NGFW закреплена официальная формулировка – многофункциональный межсетевой экран уровня сети (ММЭ), требующий прохождения самостоятельной процедуры сертификации во ФСТЭК.

Далее в материале мы детально рассмотрим смену технологических поколений, ключевые конструктивные отличия, а также те границы применимости, за которыми NGFW бессилен, несмотря на частые попытки сделать из него универсальное средство защиты.

Почему возможности традиционных брандмауэров исчерпали себя

Классические методы фильтрации опирались на постулат, актуальный для 1990-х и начала 2000-х годов: сетевой порт жестко привязан к конкретному сервису. За портом 25 закреплялась почта, за 21 – FTP, за 80 – веб-трафик. Перекрытие порта гарантированно блокировало сам сервис.

В современной сетевой среде эта логика больше не работает по ряду причин:

• Доминирование порта 443/tcp. Почти весь современный софт – мессенджеры, хранилища в облаках, утилиты удаленного доступа, торрент-клиенты, VPN-соединения и ПО – функционирует через HTTPS. Попытка разрешить трафик по 443 порту фактически означает открытие доступа для подавляющей массы приложений.

• Адаптивные механизмы обхода. Разработчики ПО намеренно закладывают в продукты функции преодоления корпоративных блокировок: динамическую смену портов, маскировку под стандартный TLS, туннелирование через DNS-запросы или веб-сокеты.

• Исчезновение четкого периметра. Корпоративные ресурсы перенесены в SaaS-платформы, персонал подключается из удаленных локаций и с личных устройств, а часть инфраструктуры размещена в публичных облаках. Граница «внутри/снаружи» больше не привязана к физическому кабелю в офисе.

• Сплошное шифрование. Преобладающий объем сетевого потока зашифрован. Без применения технологий TLS-инспекции брандмауэр видит лишь хаотичный набор зашифрованных байтов.

Эволюция систем фильтрации: путь от простой проверки пакетов до NGFW

Формулировка Next-Generation Firewall закрепилась благодаря исследованиям агентства Gartner на рубеже 2000–2010-х годов. Ею обозначили новый класс решений, объединивших идентификацию приложений и механизмы предотвращения атак в рамки единой архитектуры фильтрации.

Три ключевых критерия полноценного NGFW

На современном рынке разработчики нередко маркируют термином «NGFW» самые разные продукты. Отличить реальный межсетевой экран нового поколения от переупакованного UTM-устройства позволяют три обязательных условия, которые должны выполняться одновременно:

• 1. Распознавание приложений без оглядки на порт

  NGFW выявляет софт по сигнатурному анализу, поведению и специфике сессии, а не по значению порта. Это дает возможность формировать правила формата «разрешить рабочий мессенджер, но заблокировать отправку файлов через него», то есть контролировать отдельные функции ПО, а не весь сетевой канал целиком.

• 2. Персонализированная привязка к пользователю

  Политики безопасности в NGFW привязываются не к динамическому IP-адресу, а к конкретной учетной записи или группе из доменного каталога (например, «отдел кадров – доступ к кадровой системе»). Устройства могут менять IP, люди могут заходить с разных компьютеров – логическая связь с пользователем делает правила стабильными и наглядными при разборе инцидентов.

• 3. Предотвращение вторжений в едином потоке анализа

  Модуль предотвращения вторжений (IPS) в NGFW представляет собой не стороннюю надстройку, а базорвый элемент единого конвейера. Трафик разбирается ровно один раз, и все решения – по приложениям, учетным записям, сайтам и сигнатурам угроз – принимаются в рамках этого единого цикла.

В этой архитектурной разнице и кроется разграничение между UTM и NGFW. В классическом UTM пакет поочередно проходит через серию автономных модулей, каждый из которых заново декодирует данные – отсюда обвальное падение производительности при включении всех систем. В NGFW процедура разбора единовременна, поэтому снижение скорости носит более прогнозируемый характер.

Сравнительный анализ классического брандмауэра и NGFW

Области, где NGFW не работает

Этот раздел имеет ключевое значение. NGFW часто преподносится как «комплексный щит от всех угроз», из-за чего компании после его внедрения считают защиту исчерпывающей. Это опасный миф: NGFW контролирует исключительно тот сетевой трафик, который проходит через его интерфейсы.

Точки размещения NGFW в корпоративной инфраструктуре

• Периметральный контур. Классический вариант: граница с внешней сетью, контроль исходящего трафика персонала и фильтрация входящих обращений к публичным сервисам.

• Межсегментный рубеж. Изоляция пользовательских рабочих станций от серверной базы, или офисной сети от технологических систем (АСУ ТП). В этой точке NGFW пресекает горизонтальное продвижение хакеров, что при реальных атаках оказывается критичнее периметра.

• Центры обработки данных (ЦОД). Основной объем приходится на внутренний трафик «восток-запад» между виртуальными машинами; здесь ключевой метрикой выступает повышенная производительность.

• Филиальная структура. Развертывание компактных устройств в региональных офисах с единым централизованным центром управления политиками.

• Контур удаленного доступа. Защита VPN-сессий удаленных сотрудников с применением тех же регламентов безопасности, что и для локальных пользователей.

• Облачный сегмент. Использование виртуальных экземпляров NGFW внутри облачных платформ для контроля гибридных потоков данных.

Критерии необходимости внедрения NGFW

Далеко не всегда. Решения такого класса отличаются высокой стоимостью, требовательны к квалификации персонала и требуют постоянной поддержки – формат «купил и забыл» здесь не работает.

• Численность персонала с выходом в интернет превышает 100–150 человек.

• Имеются прямые предписания регуляторов по использованию сертифицированных СЗИ (ГИС, ИСПДн, КИИ, АСУ ТП).

• Требуется разграничение прав на базе сервисов и доменных групп, а не по IP-адресам.

• Наличие собственных публичных веб-ресурсов или развитой филиальной сети.

• Потребность в детализированном расследовании инцидентов и развернутой сетевой аналитике.

• Наличие сегментированной внутренней сети с необходимостью строгой фильтрации между зонами.

• Выделен отдельный инженер или заключен договор с подрядчиком для постоянной эксплуатации системы.

• Компания небольшая, функционирует в рамках одного офиса со стандартными сервисами.

• Нет законодательных требований по обязательной сертификации СЗИ.

• Отсутствуют кадры для администрирования (плохо настроенный NGFW с правилом «разрешить все» защищает хуже грамотно сконфигурированного простого фильтра).

• Защита ПК и почтового трафика надежно перекрыта другими специализированными решениями.

Российский контекст: особенности 2022–2026 годов

За последние годы рынок ИБ пережил масштабные трансформации, изменившие логику подбора решений.

Сложность заключается не только в невозможности закупки оборудования. Поставленные ранее устройства лишаются обновлений сигнатур, а NGFW без свежих баз быстро превращается в обычный пакетный фильтр. Отсутствие вендорской поддержки делает невозможной замену вышедших из строя компонентов и устранение критических уязвимостей.

В российской нормативной практике действуют две параллельные системы требований, которые часто путают:

• Требования к классическим межсетевым экранам (приказ ФСТЭК России № 9 от 09.02.2016) – регламентируют типы А, Б, В, Г, Д и 6 классов защиты.

• Требования по безопасности информации к многофункциональным межсетевым экранам уровня сети (приказ ФСТЭК России № 44 от 07.03.2023) – именно этот документ описывает класс NGFW.

Уровень зрелости отечественных NGFW

За прошедшие годы российские решения прошли большой путь, но их функционал развивается неравномерно. Базовая фильтрация и определение софта у ключевых игроков работают стабильно; сложнее ситуация с сохранением производительности при глубоком анализе, инспекции TLS на высоких скоростях, а также при управлении крупными распределенными сетями и отказоустойчивыми кластерами.

• NGFW проводит анализ трафика с привязкой к приложениям, пользователям и содержимому, параллельно выявляя сетевые атаки.

• Триада обязательных функций: независимый от портов контроль приложений, идентификация пользователей и встроенный IPS в рамках единого конвейера.

• NGFW не выступает заменой для WAF, EDR, DLP, NTA и SIEM – это базовый фундамент, а не универсальное средство от всех угроз.

• В российской нормативной базе NGFW обозначается как «многофункциональный межсетевой экран уровня сети» и сертифицируется по отдельному стандарту.

• Ошибочно сконфигурированный NGFW защищает хуже, чем качественно настроенный базовый фильтр.

Ответы на популярные вопросы

Next-Generation Firewall – межсетевой экран нового поколения. В официальной документации ФСТЭК России применяется формулировка «многофункциональный межсетевой экран уровня сети» (ММЭ).

При похожем наборе функций ключевая разница кроется в архитектуре: в UTM модули работают поочередно и каждый из них заново декодирует трафик, тогда как в NGFW используется единый цикл обработки. Это гарантирует более стабильную скорость при включении всех проверок и гибкую настройку правил.

Нет. Потоковый антивирус в NGFW анализирует исключительно транзитные сетевые данные и не видит локальных процессов на ПК – запуск вредоносного файла с флешки, его активность в оперативной памяти или работу внутри зашифрованных архивов.

Без расшифровки TLS большая часть возможностей NGFW теряет смысл, так как устройство не видит содержимое сессий. Однако активация инспекции ощутимо повышает нагрузку на железо и требует решения юридических и организационных вопросов (уведомление сотрудников, настройка исключений для банковских и приватных ресурсов).

Это определяется статусом защищаемой инфраструктуры. Для ГИС, ИСПДн определенных уровней, КИИ и АСУ ТП использование сертифицированных СЗИ законодательно обязательно. Для коммерческих структур без подобных систем это остается на усмотрение руководства.

Нет. NGFW контролирует только проходящий через него трафик. Он не обеспечивает безопасность конечных устройств, не защищает логику веб-приложений, не контролирует внутренний трафик в едином подсегменте и не пресекает утечки по несетевым каналам.

Заявленная в паспорте скорость устройства и реальная пропускная способность при одновременно включенных контроле приложений, IPS и TLS-инспекции могут отличаться в несколько раз.