Файрвол нового поколения: Быстрее! Выше! Сильнее!

Все чаще мы слышим о NGFW — межсетевом экране нового поколения. Что это и зачем нужно? Прямо сейчас мы «столкнем» NGFW с классическим файрволом — найдем ключевые отличия между традиционным и новым технологическим решением.

Классический файрвол (FW)

Классический межсетевой экран — это контролирующее трафик устройство, которое обеспечивает защиту периметра внутренней сети. Он определяет идентификаторы отправителя и получателя на конкретных портах (адрес, сеть, протокол передачи, логические порты и т.п.) и на основании установленных администратором правил либо разрешает, либо запрещает передачу информации.

Файрвол нового поколения (NGFW)

В основе разработки NGFW лежит не просто более производительное оборудование, а новая идеология. Поэтому он стал не альтернативой, а полноценной заменой классическим файрволам.

NGFW является частью технологии файрвола третьего поколения, где сочетается классический файрвол с другими функциями фильтрации сетевых устройств, такими как файрвол приложений, использующий встроенную глубокую проверку пакетов (DPI), система предотвращения вторжений (IPS), проксирование и т.д.

Основные функции NGFW:

• осведомленность о приложениях;
• проверка с учетом состояния;
• интегрированная система защиты от вторжений (IPS);
• осведомленность о личности (контроль пользователей и групп);
• поддержка режимов «мост» и полноценной маршрутизации;
• возможность использовать внешние источники разведки.

Сходства FW и NGFW

У обоих файрволов одна цель — защитить сеть организации. С точки зрения программных компонентов они предусматривают:

1. статическую фильтрацию пакетов, во время которой анализируются параметры и принимается решение о блокировке пакетов в случае нарушения установленных параметров;
2. проверку состояния или динамическую фильтрацию пакетов, которая проверяет корректность каждого соединения на каждом интерфейсе файрвола в режиме реального времени;
3. трансляцию сетевых адресов для повторного сопоставления IP-адресов, включенных в заголовки пакетов;
4. преобразование адресов портов, облегчающее сопоставление нескольких устройств в локальной сети с одним IP-адресом;
5. поддержку виртуальной частной сети (VPN).

Различия FW и NGFW

Теперь рассмотрим дополнительные функции безопасности, которые поддерживаются NGFW, но не являются частью классического файрвола.

1. Возможность сконфигурировать файрвол, чтобы он работал в режиме встроенного в сеть (BITW). При этом «тайный» файрвол находится внутри подсети и позволяет фильтровать трафик между узлами.
2. Интегрированная система предотвращения вторжений дает возможность быстро реагировать на внешние атаки.
3. Идентификация приложений с использованием предварительно определенных сигнатур приложений, анализа полезной нагрузки, проверки заголовков, а также применение политики сетевой безопасности на уровне приложений, поскольку именно приложения (а не сетевые сервисы и компоненты) используются сейчас чаще всего для атак и внедрения вредоносных программ.
4. Обеспечение полной прозрачности стека.
5. Детальный контроль… или даже так — чрезвычайно детальный контроль приложений.
6. Возможность добавления информации извне файрвола, включая политику на основе каталогов ES, белые списки и черные списки.
7. Возможность оперативного добавления данных об атаках нулевого дня.
8. Возможность расшифровки трафика для идентификации угроз передаваемых с применением SSL (TLS).

Настоящее и будущее NGFW

Хакерские атаки день ото дня становятся все быстрее и изощреннее. Это означает, что даже межсетевые экраны нового поколения скорее всего уступят место новым, более производительным устройствам безопасности. Скоро. Но не сейчас! На текущий момент они являются передовыми решениями для защиты сети от внешних вторжений и внутренних атак.

Тем более, что в ближайшем будущем ожидается значительное увеличение числа распознаваемых идентификационных сигнатур приложений и более тесная интеграция всех устройств безопасности. Цель этого — влиять на снижение производительности, сделав его минимальным. Кроме этого нас ждет еще много интересного. Ведь ведущие производители NGFW уже заставляют свои устройства учиться!