Ағындық антивирусы бар NGFW: бұл не және талапты техникалық ерекшелікте қалай дұрыс жазу керек

Қысқаша: техникалық ерекшеліктегі «ағындық антивирус» — желіаралық экран файлдарды тұтас буферлемей, антивирус қозғалтқышымен тікелей трафик ағынында тексеруі тиіс деген талап. Бұл тұжырым Қазақстан тендерлерінде үнемі кездеседі, ал оған сай өнімділікті дұрыс есептейтіндер жоқтың қасы. Төменде — бұл қандай режим, прокси-тексеруден айырмашылығы неде және «қосып, қайта өшірген шкаф» емес, жұмыс істейтін құрылғы алу үшін талаптарды қалай жазу керек.

Құрылғылар кластарының жалпы талдауы — «NGFW немесе кәдімгі файрвол: қалай таңдау керек» мақаласында.

Ағындық антивирус деген не

Жаңа буын желіаралық экраны (NGFW) сессияны қосымша деңгейіне дейін талдайды: HTTP немесе SMB ішінде файл жіберіліп жатқанын көреді және мазмұнын антивирус қозғалтқышына пакеттер өтіп жатқан кезде береді. Сигнатурамен сәйкестік табылса — сессия үзіледі, файл жетпейді, оқиға журналға, одан әрі SIEM-ге кетеді.

Екінші режим — прокси (proxy-based): құрылғы файлды толық қабылдайды, тексереді және содан кейін ғана береді. Дәлірек — кірістірілген мұрағаттарды ашып, тұтас тексеруге болады, — бірақ жад пен кідіріс жағынан қымбатырақ.

	Ағындық режим	Прокси-режим
Кідіріс	Ең аз	Үлкен файлдарда байқалады
Құрылғыға түсетін жүктеме	Төменірек	Жоғарырақ, буферге жад қажет
Тексеру тереңдігі	Файл өлшемімен және мұрағаттардың кірістірілу деңгейімен шектелген	Толық, мұрағатты ашумен
Шамадан тыс жүктеме кезіндегі әрекеті	Тексеруді өткізіп жіберу немесе бұғаттау — саясатпен беріледі	Жүктеудің үзілуі немесе тайм-аут

Техникалық ерекшеліктегі дұрыс талап былай естіледі: құрылғы саясат деңгейінде таңдау мүмкіндігімен антивирустық тексерудің екі режимін де қолдауы тиіс. Сонда аса маңызды трафик терең, ал жаппай трафик жылдам тексеріледі.

Ағындық антивирус нені істемейді

• SSL-инспекциясыз шифрланған трафикті тексермейді. Онсыз ағынның аз бөлігі ғана тексеріледі.
• Белгісіз зиянды бағдарламаны ұстамайды. Сигнатуралар — белгілі үлгілер. Жаңасы үшін «құмсалғыш» сервисі (sandbox) қажет, бұл бөлек лицензия және техникалық ерекшеліктегі бөлек жол.
• Жұмыс станцияларын қорғауды алмастырмайды. USB, жергілікті файлдар, жұмыс істеп тұрған процестер — периметрдің көру аймағынан тыс.
• Тексерулер өшірулі болса құтқармайды. Классика: firewall throughput бойынша сатып алды, антивирус пен IPS-ті қосты, құрылғы CPU бойынша шегіне тірелді — тексерулерді «ауыстырғанға дейін» өшірді.

Талапты техникалық ерекшелікте қалай жазу керек

Қалай жазады	Неге нашар	Қалай жазу керек
«Ағындық антивирустың болуы»	Барлығында бар, ештеңеге кепілдік бермейді	«Трафикті ағындық және прокси-режимдерде антивирустық тексеру, режим саясатта таңдалады; хаттамалар HTTP/HTTPS, SMTP, POP3, IMAP, FTP, SMB»
«Өткізу қабілеті кемінде 4 Гбит/с»	Бұл firewall throughput, тексерулер қосулы кездегі нақты көрсеткіш бірнеше есе төмен	«Желіаралық экрандау, IPS, антивирус және қосымшаларды бақылау бір мезгілде қосулы кездегі (Threat Prevention) өткізу қабілеті кемінде X Гбит/с, вендордың ресми datasheet-імен расталады»
SSL-инспекция аталмаған	Антивирус бос кеңістікті тексереді	«SSL-инспекция қосулы кездегі өткізу қабілеті кемінде Y Гбит/с; ресурстар санаттары бойынша ерекше жағдайларды қолдау»
Жазылымдарға талаптар жоқ	Бір жылдан кейін сигнатуралар жаңартылмайды	«Антивирус, IPS, қосымшаларды бақылау және веб-сүзу сигнатураларын жаңартуға кемінде 36 ай мерзімге жазылымдар»
Істен шығуға төзімділік жоқ	Экран істен шығу нүктесіне айналады	«Сессияларды синхрондайтын active-passive (қажет болса active-active) жоғары қолжетімділік кластерін қолдау; екі құрылғы жеткізу»
Журналдау мен интеграция жоқ	Оқиғаларды беретін жер жоқ	«Оқиғаларды syslog арқылы CEF/LEEF форматында ақпараттық қауіпсіздік оқиғаларын басқару жүйесіне экспорттау; жергілікті журналдарды кемінде 30 тәулік сақтау»
Бір вендордың datasheet-і көшірілген	Бір ғана ұсыныс, шағымдану	Нақты өндірушінің бірегей технология атауларынсыз функционалдық талаптар

Техникалық ерекшелікке қосымша енгізіңіз: орыс тіліндегі техникалық қолдау мен жауап беру мерзімдерін, әкімшілерді оқытуды, ережелерді қолданыстағы құрылғыдан көшіруді, ал мемлекеттік органдар мен ақпараттық-коммуникациялық инфрақұрылымның аса маңызды объектілерінің (АКИАМО, КВОИКИ) иелері үшін — оқиғаларды журналдарды жинау жүйесіне, одан әрі АҚЖО (ОЦИБ)-ке беруді.

Өнімділікті қалай есептеу керек

Интернет-арна мен ішкі ағындардың қазіргі шыңын алып, 2-ге көбейтіңіз — бұл үш жылдық өсімге арналған қор. Содан кейін firewall throughput-пен емес, datasheet-тегі Threat Prevention бағанымен салыстырыңыз. Егер SSL-инспекция жоспарланса — ол үшін бөлек санды алыңыз; Threat Prevention-ға қатысты 3–5 есе төмендеу — қалыпты жағдай.

Бір мезгілдегі сессиялар саны мен секундына жаңа сессиялар санын бөлек тексеріңіз: ұсақ қосылыстары көп ұйымдарда құрылғы гигабиттерге емес, дәл осыған тіреледі.

Қазақстан нарығында не болып жатыр

Порталдарда жарияланған сатып алулар бойынша: ұлттық компаниядағы желіаралық экрандаудың бағдарламалық-аппараттық кешенін жеткізу — шамамен 120 млн ₸, байланыс операторындағы платформаны әкімшілендіру және қолдау қызметтері — жылына 200–220 млн ₸, құрылғылар паркіне жазылымдарды қолдаумен бірге ұзарту — 120-дан 190 млн ₸-ге дейін. Орташа ұйым үшін сандардың реті басқа: үш жылдық жазылымдары бар құрылғы — бірнеше миллионнан ондаған миллион теңгеге дейін.

NGFW бойынша тендерлер апта сайын дерлік өтеді, ал техникалық ерекшеліктердің басым бөлігі бес жыл бұрынғы үлгі бойынша жазылған. Егер сіз өнім беруші болсаңыз — RaDAR мұндай лоттарды табады және техникалық ерекшеліктерді автоматты түрде талдайды.

Біз не істейміз

Genius Systems NGFW-мен 2012 жылдан бері жұмыс істейді: Palo Alto Networks, Check Point және Fortinet өнімдерін таңдау және енгізу, нақты трафикке сай өнімділікті есептеу, желіні сегменттеу, ережелерді көшіру, тапсырыс берушіге бір вендорға байламай техникалық ерекшелік дайындауға көмек және өнім берушіге бөгде техникалық ерекшелікті талдауға көмек. Сабақтас бағыттар: периметрді қорғау және ақпараттық қауіпсіздік қызметтері, SIEM, АҚЖО-ға қосылу.

Техникалық ерекшелік немесе сіздің трафигіңізге сай модель есебі қажет болса — бізге жазыңыз.