Елена Белоусова

Начнем с того, что выбор межсетевого экрана для компании — это не просто задача сравнения технических характеристик «в вакууме» как в случае, например, с рабочим ноутбуком. На практике это набор решений, в котором помимо производительности нужно учитывать потребности конкретного бизнеса, архитектуру сети и требования регуляторов. Ошибки на этапе выбора могут привести к некорректному перекрытию бизнес-задач компании, недостаточному исполнению требований законодательства РФ в части ИБ, а также к избыточным затратам на инфраструктуру. Бизнес-задача При выборе межсетевого экрана вы столкнетесь с большим количеством вендоров, которые будут предлагать свои решения и модели разной производительности. Но чтобы верно подобрать решение начать стоит не с характеристик, а с бизнес-задач вашей компании. Речь здесь не только о защите от внешних угроз, но и о конкретных бизнес-процессах и сценариях настройки сетевого взаимодействия: сегментации сети, организации удаленного доступа или туннелей до компаний-подрядчиков, подключении филиалов. Также важно учитывать требования к защите конкретных типов передаваемых данных. Уже отталкиваясь от этих вводных можно переходить к формированию функциональных требований к МЭ. Требования регуляторов Помимо функциональных требований, также нужно учитывать вашу модель угроз и требования регуляторов. Последние могут отличаться в зависимости от отрасли, а также типа обрабатываемой и передаваемой информации. На выбор решения повлияет требование к проведению дальнейшей аттестации ваших информационных систем. К примеру, работы по аттестации ИС по Приказу ФСТЭК № 21 предполагают проверку информационных систем, обрабатывающих персональные данные, и подтверждают, что система защищена от утечек и соответствует требованиям законодательства (№ 152-ФЗ). При проведении же аттестации по Приказу ФСТЭК №117 необходимы работы по подтверждению соответствия государственных информационных систем (ГИС) определенным требованиям безопасности. Эти вводные влияют на требования к средствам защиты, наличию у них сертификатов ФСБ и ФСТЭК. Отдельно стоит учитывать требования регуляторов к построению защищенных каналов связи с использованием ГОСТ-шифрования. В таких случаях межсетевой экран должен поддерживать российские криптографические алгоритмы и обладать действующим сертификатом ФСБ. Таким образом, при выборе решения необходимо проверять наличие необходимого действующего сертификата у МЭ на сайте вендора или в соответствующем реестре. Вид МЭ На следующем этапе выбора важно определить, какие типы межсетевых экранов необходимы для перекрытия ваших технических задач. При этом в большинстве случаев речь будет идти не об одном устройстве, а сразу о комбинации решений от разных вендоров, выполняющих разные функции. Например, в компании помимо классических задач по защите сети и проксированию в интернет есть задача интеграции с государственной системой для передачи чувствительных данных. Для подключения к каждой конкретной ГИС, как правило, есть четко прописанные требования в регламентирующем документе, которые могут называться по-разному — например, «Порядок доступа» или «Регламент подключения». В этом сценарии NGFW с сертификатом ФСТЭК используется на границе сети для анализа и фильтрации трафика, и работает в режиме защиты от вторжений. А для решения задачи интеграции с ГИС и корректной организации межсетевого взаимодействия в отдельном выделенном сегменте будет работать необходимый криптошлюз с сертификатом ФСБ. Аппаратный или виртуальный МЭ Следующий критерий — форма реализации межсетевого экрана. На этом этапе определяется, будет ли решение аппаратным или виртуальным. Аппаратные межсетевые экраны хорошо подойдут для высоких нагрузок и стабильного шифрованного канала. Виртуальные межсетевые экраны ориентированы на гибкость: они удобны для оперативного масштабирования и позволяют сократить затраты на инфраструктуру. Кластеризация Отдельно важно определить требования к отказоустойчивости. В зависимости от критичности сервисов может потребоваться кластеризация или использование одиночного МЭ с резервированием. Также на этом этапе закладывается наличие ЗИП — запасного оборудования на случай, если основное выйдет из строя. К примеру, если единственный МЭ откажет, это повлечет простой работоспособности инфраструктуры, а следовательно и работы компании. Далее — риск существенных финансовых и репутационных убытков. Хорошо, если проблему удастся оперативно выявить и исправить, но иногда на ее поиски и устранение могут уходить часы или дни. К примеру, если оборудование физически неисправно и требуется полная замена. Производительность При выборе конкретной модели важно не ошибиться с заложенной пропускной способностью. В вендорских даташитах обычно указаны несколько значений пропускной способности в разных режимах работы. Например, в режиме МЭ пропускная способность будет указана самая большая, но при включении режима IPS скорость обработки трафика заметно снизится. Сравнивайте модели и указанные характеристики с учетом включенных функций безопасности. Функциональность Функциональность межсетевого экрана определяется набором задач, которые он должен выполнять в инфраструктуре. В первую очередь стоит определить необходимость высокоуровневой фильтрации трафика на уровне приложений (L7-фильтрации). Это влияет на выбор класса устройства и его производительность. Далее важно определить сценарии использования удаленного доступа: требуется ли объединение офисов между собой (Site-to-Site) или организация удаленного доступа для сотрудников и подрядчиков (Client-to-Site). Отдельно следует учитывать требования к криптографической защите, о которой мы упоминали ранее. Если требуется использовать защищенные каналы с ГОСТ-шифрованием, это накладывает дополнительные нюансы при совместимости с другими сетевыми устройствами. Краткий чек-лист Финально зафиксируем моменты, которые важно учитывать при подборе решения и формировании конечной спецификации. Текущий масштаб вашей сети и предполагаемый рост на 2-3 года. Требуемая пропускная способность с учетом включенных функций безопасности. Требования к отказоустойчивости и резервированию. Формат реализации: аппаратный или виртуальный. Требования к режимам работы МЭ и глубине фильтрации трафика. Необходимость Site-to-Site-туннелей — межфилиальных соединений. Если они нужны, то для уверенности в стабильной работе важно проверить совместимость протоколов вашего текущего сетевого оборудования на других площадках с выбранным решением. Необходимость Client-to-Site-туннелей — удаленного подключения для сотрудников или подрядчиков. Бюджет. Конечно, важно учитывать ваш бюджет, от которого также будет зависеть приобретаете ли вы оборудование себе на баланс или рассматриваете варианты аренды с сопровождением. Как Selectel помогает с внедрением и эксплуатацией МЭ Как упоминали в начале, на практике выбор межсетевого экрана — многослойный процесс. После формирования функциональных требований следует учесть требования регуляторов, спроектировать схему внедрения, не забыть про отказоустойчивость. Также нужно обучить команду инженеров, которая будет заниматься дальнейшей эксплуатацией решения: мониторингом работоспособности, сопровождением, обновлением и т. д. Часть этих задач компании могут решать собственными силами, а часть — передать внешним подрядчикам. Вкратце рассмотрим, как Selectel может помочь на разных этапах решения задач по межсетевому экранированию: от подбора решения до его сопровождения. Подбор решения В нашей команде есть архитекторы, которые помогут вам подобрать правильное решение на базе услуг Selectel. Все вводные и нюансы именно вашего проекта будут учтены. Предоставление решения Мы предоставляем межсетевые экраны в аренду в рамках наших ЦОД. Можно выбрать как аппаратное, так и виртуальное решение, учесть кластеризацию и оформить нужные подписки. Эти услуги позволяют оперативно обеспечить защиту сети для вашего сегмента без необходимости долгой закупки собственного оборудования. Сопровождение и эксплуатация При необходимости к выбранному в аренду межсетевому экрану вы можете заказать услугу внедрения и сопровождения инженерами Selectel. А для сценариев, где требуется защищенный обмен данными между площадками или с внешними организациями, вы также можете оформить сервис ГОСТ-VPN на базе ViPNet, который позволяет организовать зашифрованные каналы связи с использованием ГОСТ-алгоритмов шифрования. Администрирование такого криптошлюза мы берем на себя.