NGFW: защита периметра сети для организаций Казахстана

NGFW (Next-Generation Firewall, межсетевой экран нового поколения) — это устройство или виртуальная система на границе сети, которая объединяет межсетевой экран, систему предотвращения вторжений (IPS), контроль приложений и пользователей, SSL-инспекцию, антивирус, песочницу и VPN. Genius Systems проектирует и внедряет NGFW для государственных органов, банков, промышленных предприятий и коммерческих компаний Казахстана — Усть-Каменогорск, Астана, Алматы, Караганда, Павлодар, Семей. Внедряем Palo Alto Networks, Check Point, Fortinet и бюджетные решения Sophos, WatchGuard, Zyxel и Kaspersky NGFW.

Когда нужен NGFW

• На периметре стоит роутер провайдера или файрвол десятилетней давности, который не видит, что происходит внутри HTTPS.
• Организация подпадает под Единые требования по ИБ, относится к критически важным объектам ИКИ или подключается к оперативному центру информационной безопасности (ОЦИБ).
• Есть филиалы, удалённые сотрудники, 1С или ERP по VPN — нужен единый контроль доступа.
• Серверы, АСУ ТП, камеры, принтеры и гостевой Wi-Fi находятся в одной сети с бухгалтерией.
• Служба безопасности не может сказать, какие приложения и облачные сервисы используют сотрудники и куда уходят данные.
• Тендер, аудит или головная организация требуют IPS, сегментацию и журналирование на периметре.

Что предлагаем

	Palo Alto Networks	Check Point	Fortinet FortiGate	Бюджетные NGFW
Профиль	Эталон по контролю приложений (App-ID) и защите от угроз с машинным обучением	Централизованное управление политиками для десятков шлюзов, зрелая защита от угроз	Лучшее соотношение цена/производительность за счёт собственных ASIC-процессоров	Sophos Firewall, WatchGuard Firebox, Zyxel USG FLEX, Kaspersky NGFW
Линейка	PA-400 для офисов и филиалов, PA-1400 и PA-3400 для центральных площадок, VM-Series для виртуализации и облаков, управление через Panorama	Quantum Spark для малого бизнеса, Quantum Force для организаций и ЦОД, управление через SmartConsole и Infinity Portal	FortiGate 40F–90G для офисов, 100–600 для организаций, FortiManager и FortiAnalyzer для филиальных сетей	Модели для офиса на 20–150 сотрудников с полным набором функций защиты
Сильные стороны	Глубокая видимость трафика, единая политика для сети и удалённых пользователей (GlobalProtect), автоматическая корреляция угроз	Единая консоль для всех шлюзов, сильная защита от эксплойтов и фишинга, интеграция с защитой почты и облаков	Широкая экосистема Security Fabric (коммутаторы, Wi-Fi, SD-WAN), много специалистов в Казахстане	Низкая стоимость входа, простое управление, быстрое внедрение
Кому подходит	Госорганы, банки, промышленность, распределённые сети, где ИБ-служба хочет максимальной видимости	Холдинги, банки и организации с десятками площадок под единым управлением	Большинство коммерческих организаций и госсектор с ограниченным бюджетом	Малые организации, филиалы, школы и клиники, стартовый уровень защиты

Все решения закрывают базовые задачи периметра. Разница — в глубине анализа, стоимости, масштабе сети и квалификации администраторов. Подбираем модель после замера реального трафика, а не по прайсу. Подробнее о критериях выбора — в статье NGFW или обычный файрвол: как выбрать.

Что делает NGFW

• Фильтрация и маршрутизация. Межсетевой экран с контролем состояния, NAT, маршрутизация, отказоустойчивый кластер из двух устройств.
• Предотвращение вторжений (IPS). Блокировка эксплойтов, сканирования и атак на уязвимости серверов и рабочих станций.
• Потоковый антивирус и песочница на шлюзе. Проверка файлов в почте и веб-трафике антивирусным движком прямо в потоке трафика (потоковый режим) либо с полной буферизацией файла (прокси-режим), запуск неизвестных файлов в изолированной среде (Palo Alto WildFire, Check Point ThreatCloud, FortiSandbox). Именно формулировка «межсетевой экран с потоковым антивирусом» чаще всего попадает в технические спецификации закупок Казахстана — как её правильно прописать и как считать под неё производительность, разобрано в статье NGFW с потоковым антивирусом.
• Контроль приложений и пользователей. Политики по приложениям и группам Active Directory: кому что разрешено, с какой скоростью, в какое время.
• SSL/TLS-инспекция. Расшифровка и проверка HTTPS, где сегодня идёт более 90 % трафика и большинство атак.
• URL- и DNS-фильтрация. Блокировка фишинговых и вредоносных сайтов, командных серверов вредоносного ПО, нежелательных категорий.
• VPN. Site-to-site между площадками и клиентский VPN для удалённых сотрудников с двухфакторной аутентификацией.
• Сегментация. Разделение серверов, рабочих мест, АСУ ТП, камер и гостевого Wi-Fi на зоны с отдельными политиками.
• Журналирование. Логи в SIEM и оперативный центр ИБ для расследований и отчётности регулятору.

Как внедряем

1. Аудит и замер трафика. 1 неделя: схема сети, объём трафика в пиках, список приложений и сервисов, требования регулятора.
2. Подбор модели и расчёт. Спецификация с запасом производительности при включённых IPS и SSL-инспекции, подписки на 3 года, вариант отказоустойчивого кластера.
3. Пилот или демонстрация. По запросу — тестовое устройство или виртуальная версия в вашей сети в режиме мониторинга: отчёт о приложениях, угрозах и утечках за 2 недели.
4. Внедрение без простоя. Установка параллельно с текущим шлюзом, перенос политик, переключение в согласованное окно, откат за минуты при необходимости.
5. Поэтапное включение защиты. Контроль приложений, IPS, SSL-инспекция, фильтрация — по одному модулю с проверкой ложных срабатываний.
6. Документация и обучение. Схемы, регламент изменений, обучение администраторов, подключение логов к SIEM.
7. Сопровождение. Обновление сигнатур и прошивок, ревизия политик, разбор инцидентов, продление подписок.

Почему Genius Systems

• Партнёр Palo Alto Networks, Check Point, Fortinet и Kaspersky в Казахстане: официальные поставки, подписки, техподдержка вендора.
• Внедрения для государственных органов и квазигосударственного сектора с учётом Единых требований по ИБ и требований к объектам КВОИКИ.
• NGFW — часть комплексной защиты: рядом внедряем DLP, SIEM, управление уязвимостями и защиту ИИ.
• Подбор по замеру трафика и пилот до закупки — чтобы устройство не стало «узким горлышком» и защиту не пришлось отключать.
• Участвуем в закупках через goszakup.gov.kz и портал Самрук-Казыны, готовим техническую спецификацию под требования заказчика.