Начнем с того, что выбор межсетевого экрана для компании — это не просто задача сравнения технических характеристик «в вакууме» как в случае, например, с рабочим ноутбуком. На практике это набор решений, в котором помимо производительности нужно учитывать потребности конкретного бизнеса, архитектуру сети и требования регуляторов. Ошибки на этапе выбора могут привести к некорректному перекрытию бизнес-задач компании, недостаточному исполнению требований законодательства РФ в части ИБ, а также к избыточным затратам на инфраструктуру.
Если уже на этом этапе вы поняли, что сперва важно погрузиться в базовую классификацию межсетевых экранов (МЭ) и понять, зачем вообще они нужны, мы подробно разобрали это в отдельной статье о видах межсетевых экранов и их различиях. Полезно будет с ней ознакомиться, а затем вернуться к выбору подходящего МЭ.
Бизнес-задача
При выборе межсетевого экрана вы столкнетесь с большим количеством вендоров, которые будут предлагать свои решения и модели разной производительности. Но чтобы верно подобрать решение начать стоит не с характеристик, а с бизнес-задач вашей компании.
Речь здесь не только о защите от внешних угроз, но и о конкретных бизнес-процессах и сценариях настройки сетевого взаимодействия: сегментации сети, организации удаленного доступа или туннелей до компаний-подрядчиков, подключении филиалов. Также важно учитывать требования к защите конкретных типов передаваемых данных. Уже отталкиваясь от этих вводных можно переходить к формированию функциональных требований к МЭ.
Требования регуляторов
Помимо функциональных требований, также нужно учитывать вашу модель угроз и требования регуляторов. Последние могут отличаться в зависимости от отрасли, а также типа обрабатываемой и передаваемой информации. На выбор решения повлияет требование к проведению дальнейшей аттестации ваших информационных систем.
К примеру, работы по аттестации ИС по Приказу ФСТЭК № 21 предполагают проверку информационных систем, обрабатывающих персональные данные, и подтверждают, что система защищена от утечек и соответствует требованиям законодательства (№ 152-ФЗ). При проведении же аттестации по Приказу ФСТЭК №117 необходимы работы по подтверждению соответствия государственных информационных систем (ГИС) определенным требованиям безопасности. Эти вводные влияют на требования к средствам защиты, наличию у них сертификатов ФСБ и ФСТЭК.
Отдельно стоит учитывать требования регуляторов к построению защищенных каналов связи с использованием ГОСТ-шифрования. В таких случаях межсетевой экран должен поддерживать российские криптографические алгоритмы и обладать действующим сертификатом ФСБ. Таким образом, при выборе решения необходимо проверять наличие необходимого действующего сертификата у МЭ на сайте вендора или в соответствующем реестре.
Вид МЭ
На следующем этапе выбора важно определить, какие типы межсетевых экранов необходимы для перекрытия ваших технических задач. При этом в большинстве случаев речь будет идти не об одном устройстве, а сразу о комбинации решений от разных вендоров, выполняющих разные функции.
Например, в компании помимо классических задач по защите сети и проксированию в интернет есть задача интеграции с государственной системой для передачи чувствительных данных. Для подключения к каждой конкретной ГИС, как правило, есть четко прописанные требования в регламентирующем документе, которые могут называться по-разному — например, «Порядок доступа» или «Регламент подключения».
В этом сценарии NGFW с сертификатом ФСТЭК используется на границе сети для анализа и фильтрации трафика, и работает в режиме защиты от вторжений. А для решения задачи интеграции с ГИС и корректной организации межсетевого взаимодействия в отдельном выделенном сегменте будет работать необходимый криптошлюз с сертификатом ФСБ.
Аппаратный или виртуальный МЭ
Следующий критерий — форма реализации межсетевого экрана. На этом этапе определяется, будет ли решение аппаратным или виртуальным.
Аппаратные межсетевые экраны хорошо подойдут для высоких нагрузок и стабильного шифрованного канала. Виртуальные межсетевые экраны ориентированы на гибкость: они удобны для оперативного масштабирования и позволяют сократить затраты на инфраструктуру.
Кластеризация
Отдельно важно определить требования к отказоустойчивости. В зависимости от критичности сервисов может потребоваться кластеризация или использование одиночного МЭ с резервированием.
Также на этом этапе закладывается наличие ЗИП — запасного оборудования на случай, если основное выйдет из строя. К примеру, если единственный МЭ откажет, это повлечет простой работоспособности инфраструктуры, а следовательно и работы компании. Далее — риск существенных финансовых и репутационных убытков.
Хорошо, если проблему удастся оперативно выявить и исправить, но иногда на ее поиски и устранение могут уходить часы или дни. К примеру, если оборудование физически неисправно и требуется полная замена.
Производительность
При выборе конкретной модели важно не ошибиться с заложенной пропускной способностью. В вендорских даташитах обычно указаны несколько значений пропускной способности в разных режимах работы.
Например, в режиме МЭ пропускная способность будет указана самая большая, но при включении режима IPS скорость обработки трафика заметно снизится. Сравнивайте модели и указанные характеристики с учетом включенных функций безопасности.
Важно опираться не на максимальные показатели, которые указаны на сайтах вендоров, а закладывать межсетевой экран «на вырост», чтобы в рамках ежедневной работы он был загружен примерно на 50–60%, а в идеале и чуть меньше. Этим вы минимизируете риски: в случае пиковой нагрузки одна из нод кластера, физическое устройство или ВМ могут отказать, что, соответственно, вызовет простой инфраструктуры.
Функциональность
Функциональность межсетевого экрана определяется набором задач, которые он должен выполнять в инфраструктуре. В первую очередь стоит определить необходимость высокоуровневой фильтрации трафика на уровне приложений (L7-фильтрации). Это влияет на выбор класса устройства и его производительность.
Далее важно определить сценарии использования удаленного доступа: требуется ли объединение офисов между собой (Site-to-Site) или организация удаленного доступа для сотрудников и подрядчиков (Client-to-Site).
Отдельно следует учитывать требования к криптографической защите, о которой мы упоминали ранее. Если требуется использовать защищенные каналы с ГОСТ-шифрованием, это накладывает дополнительные нюансы при совместимости с другими сетевыми устройствами.
Краткий чек-лист
Финально зафиксируем моменты, которые важно учитывать при подборе решения и формировании конечной спецификации.
- Текущий масштаб вашей сети и предполагаемый рост на 2-3 года.
- Требуемая пропускная способность с учетом включенных функций безопасности.
- Требования к отказоустойчивости и резервированию.
- Формат реализации: аппаратный или виртуальный.
- Требования к режимам работы МЭ и глубине фильтрации трафика.
- Необходимость Site-to-Site-туннелей — межфилиальных соединений. Если они нужны, то для уверенности в стабильной работе важно проверить совместимость протоколов вашего текущего сетевого оборудования на других площадках с выбранным решением.
Важная ремарка. Обязательно протестируйте решение в собственной инфраструктуре до ввода в эксплуатацию.
- Необходимость Client-to-Site-туннелей — удаленного подключения для сотрудников или подрядчиков.
- Бюджет. Конечно, важно учитывать ваш бюджет, от которого также будет зависеть приобретаете ли вы оборудование себе на баланс или рассматриваете варианты аренды с сопровождением.
Как Selectel помогает с внедрением и эксплуатацией МЭ
Как упоминали в начале, на практике выбор межсетевого экрана — многослойный процесс. После формирования функциональных требований следует учесть требования регуляторов, спроектировать схему внедрения, не забыть про отказоустойчивость. Также нужно обучить команду инженеров, которая будет заниматься дальнейшей эксплуатацией решения: мониторингом работоспособности, сопровождением, обновлением и т. д.
Часть этих задач компании могут решать собственными силами, а часть — передать внешним подрядчикам. Вкратце рассмотрим, как Selectel может помочь на разных этапах решения задач по межсетевому экранированию: от подбора решения до его сопровождения.
Подбор решения
В нашей команде есть архитекторы, которые помогут вам подобрать правильное решение на базе услуг Selectel. Все вводные и нюансы именно вашего проекта будут учтены.
Предоставление решения
Мы предоставляем межсетевые экраны в аренду в рамках наших ЦОД. Можно выбрать как аппаратное, так и виртуальное решение, учесть кластеризацию и оформить нужные подписки. Эти услуги позволяют оперативно обеспечить защиту сети для вашего сегмента без необходимости долгой закупки собственного оборудования.
Сопровождение и эксплуатация
При необходимости к выбранному в аренду межсетевому экрану вы можете заказать услугу внедрения и сопровождения инженерами Selectel. А для сценариев, где требуется защищенный обмен данными между площадками или с внешними организациями, вы также можете оформить сервис ГОСТ-VPN на базе ViPNet, который позволяет организовать зашифрованные каналы связи с использованием ГОСТ-алгоритмов шифрования. Администрирование такого криптошлюза мы берем на себя.
