При выборе файерволов необходимо отслеживать два класса параметров: первый – функциональность, второй – производительность.
Начнем с функциональных параметров. В файерволе есть восемь наборов функций, которые нужно учитывать при сравнении NGFW между собой:
- Централизованное управление
Это все, что касается управления инфраструктурой файерволов и тех задач, которые можно сделать централизовано, экономя время и сокращая риск ошибок при выполнении рутинных операций.
- Функции, обеспечивающие эргономику
Здесь подразумевается возможность более быстрого и оптимального с точки зрения человеко-часов подхода в настройке и дальнейшей эксплуатации NGFW.
- Контроль приложений и URL-фильтрация
Это контроль за теми приложениями, которые можно обнаружить в трафике, или веб-страницы, которые можно классифицировать. Чем больше приложений можно классифицировать и чем больше база откатегоризированных веб-страниц, тем эффективнее работает NGFW. Еще один важный момент – контроль атрибутов приложений, который необходим тогда, когда в одном приложении могут быть подприложения. Например, внутри Facebook есть возможность обмена сообщениями.
- Защита от вторжений и вредоносного ПО
Немаловажные вопросы: как файервол «ловит» в сетевом трафике признаки атак, как он «ловит» вредоносное ПО, каким механизмом он для этого пользуется. Может быть, это полноценный сигнатурный антивирус, что влечет за собой падение производительности. А может быть, это проверка файлов по его контрольным суммам и дальнейшая отправка в песочницу для более детального анализа. Защита от вторжений и вредоносного ПО – важный механизм, поскольку именно он обеспечивает снижение вероятности инцидентов ИБ в сети.
- Машстабирование и отказоустойчивость
Насколько файервол будет сопротивляться разным «мелочам жизни», например, когда упадет какой-то канал или перестанет работать внутренний компонент файервола? Здесь же важный момент – как можно нарастить производительность? Возможно ли поставить более мощное «железо», есть ли вариант объединить два устройства в один кластер с балансировкой нагрузки?
- VPN и удаленный доступ
Это защита каналов связи как на третьем уровне, так и, может быть, на втором, когда у вас происходит так называемый «растянутый» VLAN, необходимый для геораспределенных Центров Обработки Данных. Здесь важно понимать, какая пропускная способность, насколько велика задержка при обработке трафика. А в контексте удаленного доступа возникает вопрос, как аутентифицируются пользователи? Через базовый и не очень безопасный логин-пароль, или через сертификат, или через многофакторную систему аутентификации, когда сертификат идет в связке с пин-кодом или логин-пароль в связке с авторизацией в каком-либо приложении. Также заказчикам важны клиенты под ключевые операционные системы: Windows, Linux, Android, iOS, «Аврору».
- Расшифровка трафика
Здесь мы должны знать, можем ли расшифровать TLS-трафик в версии 1.3 или можем ли мы посмотреть внутрь трафика, который передается по протоколу QUIC, и узнать, есть ли там вредоносное ПО или имеет ли право пользователь вообще «идти» по этому трафику.
- Сетевые функции
Это те функции, которые позволяют оптимально интегрировать файервол в сетевую инфраструктуру. Здесь необходимо понимать, какие протоколы динамической маршрутизации он поддерживает, как обеспечивается управление приоритетами при обработке трафика, как обеспечивается мониторинг и деление на различные виртуальные файерволы. Знание этих параметров позволяет сформировать оптимальную сетевую топологию.
Кроме функциональных требований, в NGFW есть требования по производительности. Здесь необходимо учитывать три параметра, которые работают в связке:
- Пропускная способность в мегабитах в секунду (Мбит/с) или пакетах в секунду
Этот параметр показывает, сколько пакетов устройство может переработать.
- Количество одновременных сессий в единицу времени
Сколько активных пользователей NGFW может поддержать.
- Количество сессий, которые файервол может создать
Этот показатель особенно важен для сетей больших телеком-операторов, которые имеют крупную клиентуру.
Совокупность этих трех параметров будет сильно влиять на удовлетворенность пользователя файерволом. Чем больше файервол, тем выше эти параметры. При этом параметры можно менять за счет друг друга, например, максимизировать количество обработанных пакетов в секунду, снизив параметр количества поддерживаемых одновременных сессий.
Итог
Учет всех названных параметров функциональности и производительности дает эффективный фреймворк для выбора NGFW. В зависимости от сценария, в котором мы планируем использовать файервол, показатели производительности и наборы функций будут иметь разные «веса». Например, при использовании NGFW на периметре организации критически важны защита от вторжений, масштабируемость, отказоустойчивость, VPN, удаленный доступ и расшифровка трафика. Если у нас сценарий сегментирующего файервола, когда файервол находится внутри локальной сети, то необходимы масштабируемость и отказоустойчивость. А если мы говорим про геораспределенную сеть, когда есть единый центр, управляющей сотней файерволов, то главное значение приобретает централизованное управление.
