NGFW немесе кәдімгі файрвол: Қазақстандағы ұйым үшін желіаралық экранды қалай таңдау керек

Қысқаша: NGFW — бұл жаңа буын желіаралық экраны; ол порттар мен мекенжайлар бойынша сүзумен қатар трафикті қосымшалар деңгейіне дейін талдайды, оны басып кіруді болдырмау жүйесімен (IPS) тексереді, HTTPS ішіне үңіледі және зиянды файлдарды бұғаттайды. Кәдімгі файрвол тек «кім, қайда, қай порт арқылы» дегенді ғана көреді. Қазақстандағы ұйымдар үшін — Өскеменнен Астанаға, Алматы мен Қарағандыға дейін — NGFW бүгінде опция емес, базалық талапқа айналды. Genius Systems интегратор ретінде қандай өлшемшарттар бойынша таңдау керектігін және сатып алу кезінде қай жерде жиі қателесетінін айтып береді.

NGFW-дің кәдімгі файрволдан айырмашылығы неде

Функция	Кәдімгі файрвол	NGFW
IP және порттар бойынша сүзу	Иә	Иә
Қосымшаларды бақылау (Telegram, TeamViewer, торренттер)	Жоқ	Иә
IPS — басып кіруді болдырмау	Жоқ	Иә
SSL/TLS-инспекция	Жоқ	Иә
Файлдарға арналған антивирус пен құмсалғыш (sandbox)	Жоқ	Иә (жазылым бойынша)
Пайдаланушыларды сәйкестендіру (AD/LDAP)	Жоқ	Иә
Филиалдар мен қашықтағы қызметкерлерге арналған VPN	Базалық	Site-to-site және клиенттік, құрылғыларды тексерумен
Желіні сегменттеу	VLAN бойынша	Аймақтар, пайдаланушылар, қосымшалар бойынша

Негізгі айырмашылық: кәдімгі файрвол 443-портқа жасалған қосылыстың ішінде не бар екенін түсінбейді. Ал бүгінде трафиктің 90%-дан астамы — заңдысы да, зияндысы да — сол жерден өтеді.

Ұйымға шын мәнінде не қажет

• Қосымшаларды бақылау. Қоймада мессенджерлерге тыйым салу, тек корпоративтік мессенджерге рұқсат беру, анонимайзерлерді кесіп тастау — бұл жүздеген IP-мекенжайдың тізімі емес, бір ғана саясат.
• Сегменттеу. Бухгалтерия, 1С-сервер, өндірістік сегмент, қонақтарға арналған Wi-Fi және бейнебақылау әртүрлі аймақтарда орналасуы тиіс. Жұмыс станциясы арқылы кірген бопсалаушы шифрлағыш бағдарлама серверге жетпеуі керек.
• Филиалдарға арналған VPN. Кеңсесі Өскеменде, қоймасы Қарағандыда орналасқан компания үшін екі NGFW арасындағы site-to-site VPN жалға алынған арналарды алмастырады. Қашықтағы қызметкерлер екі факторлы аутентификациясы бар клиенттік VPN арқылы қосылады.
• Құмсалғыш. Хаттағы тіркеме пайдаланушыға жеткенге дейін оқшауланған ортада іске қосылады. Сыртқы контрагенттермен және тендерлермен жұмыс істейтіндер үшін міндетті.
• Журналдар және интеграция. NGFW логтары — SIEM үшін оқиғалардың басты көзі. Орталықтандырылған сақтаусыз инцидентті тергеу мүмкін емес.

Өнімділікті қалай есептеу керек

Ең жиі кездесетін қате — даташиттің бірінші жолын оқу. Онда қорғаныс функциялары өшірулі кездегі өткізу қабілеті көрсетілген. Нақты әдістеме:

1. Желі шекарасындағы нақты трафикті ең жүктемелі сағатта өлшеңіз: жиынтық жолақты, бір мезгілдегі сессиялар санын, HTTPS үлесін.
2. Ерекшеліктен IPS, антивирус және қосымшаларды бақылау қосулы кездегі Threat Protection немесе NGFW throughput жолын табыңыз. Ол «жалаң» саннан 3–5 есе төмен.
3. Егер SSL-инспекцияны жоспарласаңыз (ал жоспарлау қажет), TLS бойынша бөлек жолды қараңыз — ол одан да төмен.
4. Өсімге және құрылғының 5 жылдық қызмет мерзіміне 30–50% қор қалдырыңыз.

Мысал: даташитте 10 Гбит/с деп жазылған, қорғаныспен — 2,5 Гбит/с, SSL-инспекциямен — 1 Гбит/с. Арнасы 500 Мбит/с кеңсеге бұл жарайды, ал 1 Гбит/с арнаға енді жарамайды.

Fortinet, Palo Alto Networks, Check Point — нені таңдау керек

• Fortinet FortiGate. Меншікті ASIC-процессорлардың арқасында баға мен өнімділіктің ең жақсы арақатынасы. Қазақстандағы ең кең таралған өнімдер желісі, мамандар көп, FortiManager арқылы филиалдарды басқару ыңғайлы. Коммерциялық ұйымдардың көпшілігі мен мемлекеттік сектор үшін оңтайлы таңдау.
• Palo Alto Networks. Қосымшаларды бақылау (App-ID) мен талдау тереңдігі бойынша эталон. Қымбатырақ, бірақ ірі таратылған инфрақұрылымдарда және ақпараттық қауіпсіздік қызметі барынша көрінімділікті қалайтын жерлерде күштірек.
• Check Point. Саясаттарды басқарудың мықты орталықтандырылған жүйесі, қауіптерден жетілген қорғаныс, бірыңғай басқарудағы ондаған шлюз болғанда ыңғайлы. Банктер мен холдингтер үшін жақсы таңдау.

Үш вендор да базалық міндеттерді жабады. Айырмашылық бюджеттен, әкімшілердің біліктілігінен және желі ауқымынан көрінеді. Тәсіл туралы толығырақ — NGFW шешімдер класының сипаттамасында.

Сатып алу кезіндегі әдеттегі қателер

• Трафикті өлшемей, бағасына қарап сатып алу. Құрылғы «тар мойынға» айналады, «баяулатпасын» деп қорғанысты өшіреді — сөйтіп NGFW қымбат кәдімгі файрволға айналады.
• Жазылымсыз. IPS, антивирус және URL-сүзу сервистері жоқ жабдық жаңартылмайды. 3–5 жылдық жазылымдарды бастапқы сатып алуға енгізу керек.
• Енгізу жоспарынсыз. NGFW-ді «ескі файрвол сияқты» баптау — функциялардың 80%-ын пайдаланбау деген сөз. Қосымшалар бойынша саясаттар, сегменттеу және SSL-инспекция жобалауды талап етеді.
• Резервтелмеген жалғыз шлюз. Желінің тоқтап тұруы ақшаға түсетін ұйымдар үшін екі құрылғыдан тұратын кластер міндетті.
• Логтарды елемеу. Оқиғаларды SIEM-ге бермей және әрекет ету регламентінсіз NGFW тек өзі автоматты түрде бұғаттаған нәрседен ғана қорғайды.

Әрі қарай не істеу керек

Genius Systems ақпараттық қауіпсіздік бойынша қызметтер аясында Өскемен, Астана, Алматы, Қарағанды және Қазақстанның басқа да қалаларындағы ұйымдарда NGFW-ді жобалайды және енгізеді. Желіңіздегі трафикті өлшеу және нақты өнімділікті есептей отырып модель таңдау — тегін. Даташитке емес, өз трафигіңізге сай ерекшелік алу үшін бізбен байланысыңыз.

Тендерлік техникалық ерекшеліктердегі тұжырым туралы бөлек — «Ағындық антивирусы бар NGFW: техникалық ерекшелікте қалай жазу керек».