NGFW, межсетевой экран, UTM и WAF: в чём разница

В описаниях продуктов и в тендерах встречаются четыре названия: межсетевой экран, NGFW, UTM и WAF. Первые три защищают сеть или её границу, четвёртое - конкретное веб-приложение. Разберём, что делает каждое, чем они различаются на практике и что об этом сказано в нормах ФСТЭК. В конце - таблица сравнения и подсказка, что выбрать под вашу задачу.

Чем отличаются NGFW, UTM, WAF и обычный межсетевой экран. Обычный экран фильтрует трафик по адресам, портам и протоколам. NGFW добавляет распознавание приложений и пользователей, обнаружение атак и вредоносного ПО. UTM собирает защитные функции в одном устройстве с единым управлением. WAF защищает только веб-приложение: проверяет HTTP-запросы к нему и блокирует атаки на сам сайт или сервис.

Что такое межсетевой экран?

Межсетевой экран (файрвол, брандмауэр, МЭ) - программное или программно-аппаратное средство, которое пропускает или блокирует сетевой трафик по правилам: адресам, портам и протоколам. Экран ставят на границе сети, между сегментами или на отдельном узле. В профилях защиты ФСТЭК выделено пять типов: А, Б, В, Г и Д.

Типы различаются местом установки: граница сети, логические границы, узел, веб-сервер, промышленная сеть.

Классический экран принимает решение по заголовкам пакетов: кто, куда, по какому порту и протоколу. У многих экранов ещё отслеживается состояние соединения и ответные пакеты пропускаются только для уже открытого соединения. Что находится внутри пакета, такой экран не проверяет. Поэтому трафик по разрешённому порту 443 для него выглядит одинаково: и обычный сайт, и вредоносный файл, и туннель.

Брандмауэр в операционной системе - тоже межсетевой экран, но узловой: он защищает один компьютер, а не сеть. По месту установки это аналог типа В из профилей ФСТЭК.

Что такое NGFW и чем он отличается от обычного межсетевого экрана?

NGFW (next-generation firewall, межсетевой экран нового поколения) - экран, который кроме адресов и портов анализирует содержимое трафика: распознаёт приложения и пользователей, обнаруживает атаки и вредоносное ПО, извлекает данные из закодированного трафика. NGFW - рыночное название. В нормах ФСТЭК этого слова нет, близкий по функциям класс называется многофункциональным межсетевым экраном уровня сети.

Что именно NGFW делает иначе: правила задают для приложений и пользователей, а не только для портов и адресов; экран сам или вместе с системой обнаружения вторжений ищет признаки атак и вредоносного ПО; он умеет извлекать данные из закодированного трафика (перечень протоколов производитель приводит в руководстве). Эти функции есть у многофункционального экрана уровня сети всех трёх классов (6, 5 и 4), а в 4 классе добавляются проверка файлов в изолированной среде и проверка домена на связь с небезопасными ресурсами. Разбор по пунктам приказа № 44 - в статье «Межсетевые экраны и требования ФСТЭК». В профилях типов А, Б, В и Д для обычного экрана предусмотрено только взаимодействие с отдельными системами обнаружения вторжений и антивирусными средствами; профиль типа Г отдельно контролирует HTTP-запросы.

Название при этом ничего не гарантирует. Что умеет конкретный продукт и какой у него класс, показывают документация и сертификат, а не слова NGFW на коробке. Как сравнивать производительность и проверять кандидатов на пилоте, разобрано в статье «Как выбрать NGFW».

Что такое UTM и чем он отличается от NGFW?

UTM (unified threat management, единое управление угрозами) - устройство или программа, которая объединяет несколько защитных функций: межсетевой экран, VPN, фильтрацию веб-контента, антивирус, предотвращение вторжений. Администратор управляет ими из одной консоли, обновления и подписки обычно идут от одного производителя. UTM - рыночный термин, в нормах ФСТЭК его нет.

Не путайте с UTM-метками в рекламных ссылках: аббревиатура та же, предмет другой.

Единого стандарта различия между UTM и NGFW нет. По описаниям производителей, UTM чаще предлагают небольшим и средним сетям, где нужен один универсальный шлюз с простым управлением. NGFW вырос из межсетевого экрана и делает упор на разбор приложений и пользователей. Сегодня они пересеклись, и один продукт производитель нередко называет то UTM, то NGFW. Поэтому сравнивайте не названия, а то, что реально включено, класс сертификата и производительность под нагрузкой.

Что такое WAF и чем он отличается от NGFW?

WAF (web application firewall, межсетевой экран уровня веб-приложений) - средство, которое проверяет HTTP-запросы к сайту, личному кабинету или API и блокирует атаки на само приложение: внедрение SQL-кода, межсайтовый скриптинг и другие атаки на уровне HTTP-запросов. Его ставят перед веб-приложением. ФСТЭК называет WAF в рекомендациях по защите сетевого периметра, опубликованных в марте 2026 года.

NGFW стоит на границе сети и смотрит на весь поток: приложения, пользователей, угрозы. WAF стоит перед одним веб-приложением и разбирает его запросы: параметры, формы, сессии, вызовы API. NGFW с обнаружением атак ловит известные признаки эксплуатации в потоке, а что допустимо в запросе к конкретному приложению, решает WAF. Поэтому они не заменяют друг друга: WAF не фильтрует остальной трафик сети, а NGFW не знает логики вашего приложения.

В рекомендациях ФСТЭК WAF назван в разделе о защите от атак на отказ в обслуживании: фильтровать трафик прикладного уровня предлагают с помощью WAF, установленного в режим противодействия атакам. Это рекомендация, а не обязательное требование. В профилях защиты есть тип Г - экран уровня веб-сервера, который контролирует трафик по протоколу HTTP. По назначению он близок к WAF, но такое сопоставление наше, а не ФСТЭК. Подходит ли конкретный продукт под тип Г, покажет его сертификат.

WAF прикрывает уязвимость, но не устраняет её: код приложения исправляют отдельно. Найти такие уязвимости помогает тестирование на проникновение. Модуль защиты веб-приложений может входить в состав NGFW, а может поставляться отдельным продуктом, поэтому смотрите описание и сертификат конкретного изделия.

Сравнение: межсетевой экран, UTM, NGFW и WAF

В таблице общие признаки категорий. Конкретный продукт может отличаться, его проверяют по документации и на пилоте.

Что об этом сказано в нормах ФСТЭК?

Слов NGFW и UTM в нормах нет. Для обычных межсетевых экранов действуют Требования, утверждённые приказом ФСТЭК России от 9 февраля 2016 г. № 9, и 15 профилей защиты (пять типов, три класса). Для многофункциональных экранов уровня сети есть отдельные Требования, утверждённые приказом ФСТЭК России от 7 марта 2023 г. № 44. WAF назван в рекомендациях, а не в обязательных требованиях.

Нормы задают класс средства для вашей системы, но не обязывают покупать именно NGFW. Нужен экран, который закрывает требования к вашей системе: в сертификате должны совпасть тип и класс. Таблицу «система, класс, уровень доверия» и проверку сертификата разбирает статья «Межсетевые экраны и требования ФСТЭК». Ограничения на иностранные средства защиты касаются не всех организаций, подробно - в статье «Как выбрать NGFW».

Как понять, что у вас сейчас: экран, UTM или NGFW?

Название в договоре и на корпусе мало что говорит. Практичнее посмотреть, как устройство настроено и что оно пишет в журнал:

• Правила. Если все правила описаны адресами, портами и протоколами, перед вами классический экран или NGFW, у которого приложения и пользователи не используются. Если в правилах есть приложения и учётные записи, функции NGFW задействованы.
• Подписки и обновления. Отдельные лицензии на базы сигнатур атак, антивирус, фильтрацию веб-контента - признак UTM или NGFW с включёнными модулями. Проверьте, что подписки не просрочены: без обновлений базы защита устаревает.
• Журнал. В записях есть имя приложения, пользователь, причина блокировки - значит, содержимое анализируется. Только адреса и порты - значит, нет.
• Что включено, а не что куплено. Модуль обнаружения атак или проверка закодированного трафика бывают в продукте, но выключены из-за нагрузки или неясных последствий. Тогда вы платите за NGFW, а получаете экран.
• Сертификат. Тип и класс из сертификата ФСТЭК, а не из маркетингового названия, показывают, под какие требования подходит изделие.

Как проверить, что вам продают именно NGFW? Попросите документацию и сертификат, а не презентацию. В документации найдите правила по приложениям и пользователям, обнаружение атак и работу с закодированным трафиком, в сертификате - тип или класс. Затем включите эти функции на пилоте: в журнале должны появиться приложения и учётные записи.

После такой проверки обычно видно, чего не хватает: включить уже купленные функции, добавить WAF перед сайтом или заменить устройство.

Что выбрать под типовую задачу?

Часто нужны оба средства сразу: NGFW на периметре и WAF перед публичным приложением. Сегментация сети остаётся отдельной задачей, о ней рассказывает статья «Плоская сеть: почему её надо делить на сегменты».

Частые путаницы

• «NGFW - это любой современный экран». Всё решает конкретный продукт, проверяйте документацию и сертификат.
• «UTM устарел, NGFW его заменил». Не обязательно: они пересеклись, а названия производители используют по-разному.
• «WAF - это NGFW для сайта». Они стоят в разных местах и видят разное, один другого не заменяет.
• «Название на коробке равно классу сертификата». Тип и класс указаны в сертификате и реестре ФСТЭК.

Как мы помогаем

Кредо-С работает по лицензии ФСТЭК России на деятельность по технической защите конфиденциальной информации (реестровая запись № 00581724). Внедрение идёт по порядку: обследование, проектирование и выбор решения, пилот, перенос правил, внедрение, опытная эксплуатация, передача. Что из этого относится к выбору и внедрению средств сетевой защиты:

• Внедрение экрана под вашу систему: услуга «Внедрение NGFW и межсетевых экранов».
• Требования ФСТЭК к экранам, типы и классы: статья «Межсетевые экраны и требования ФСТЭК».
• Критерии выбора, пилот и миграция: статья «Как выбрать NGFW».
• События экрана в мониторинг: внедрение SIEM.
• Проверка защищённости опубликованных приложений: тестирование на проникновение.

Опубликовано: октябрь 2026 года. Дата сверки норм: 12 октября 2026 года.