Как выбрать NGFW: критерии выбора межсетевого экрана и российские решения

Статья для тех, кто выбирает NGFW под систему с требованиями ФСТЭК или меняет зарубежный экран. Разберём, с чего начать, какие нормы сужают список кандидатов, как читать цифры производительности и как провести пилот. В конце - чек-лист вопросов производителю и интегратору.

NGFW (next-generation firewall, межсетевой экран нового поколения) - экран, который кроме фильтрации по адресам и портам распознаёт приложения, обнаруживает атаки и вредоносное ПО и разбирает закодированный трафик. Слова NGFW в нормах нет. Близкий по функциям класс средств ФСТЭК называет многофункциональным межсетевым экраном уровня сети (приказ ФСТЭК России от 7 марта 2023 г. № 44).

Как выбрать NGFW. Сначала определите задачу (периметр, сегментация, филиалы, промышленная сеть) и требования к системе: класс ГИС, категорию объекта КИИ или уровень ИСПДн. Затем проверьте, какие нормы импортозамещения касаются вашей организации. Только после этого сравнивайте производительность с включёнными функциями безопасности и проверяйте кандидатов на пилоте.

Задача и место в сети

Один и тот же продукт по-разному ведёт себя на периметре и внутри сети. Поэтому сначала опишите, где будет стоять экран и что через него пойдёт.

Если задач несколько, на каждую границу может понадобиться своё устройство или свой режим работы одного продукта.

Требования ФСТЭК к NGFW: класс и сертификат

Для систем под требованиями ФСТЭК список кандидатов сужает сертификат. Для многофункционального экрана в нём важен класс по приказу № 44, для обычного межсетевого экрана - тип (место установки) и класс по профилю защиты.

Требования ФСТЭК к NGFW. Близкий к NGFW класс средств в документах ФСТЭК называется многофункциональным межсетевым экраном уровня сети. Требования к нему утверждены приказом ФСТЭК России от 7 марта 2023 г. № 44 и задают три класса: 6, 5 и 4. В ГИС сертифицированные средства защиты обязательны (пункт 71 Требований, утверждённых приказом ФСТЭК России № 117), класс зависит от класса защищённости системы.

Для значимых объектов КИИ и ИСПДн классы средств заданы на случай, когда применяют сертифицированные средства (пункт 29 Требований, утверждённых приказом ФСТЭК № 239, и пункт 12 Состава и содержания мер, утверждённого приказом ФСТЭК № 21). Для значимых объектов КИИ есть и условия по оборудованию: о них в следующем разделе.

Таблица «система, класс, уровень доверия», типы А–Д и проверка сертификата в реестре разобраны в статье «Межсетевые экраны и требования ФСТЭК: типы, классы защиты, NGFW».

Какие нормы импортозамещения ограничивают выбор NGFW

Ограничения на иностранные средства защиты касаются не всех организаций. Круг обязанных и предмет запрета в каждой норме свой.

Нормы импортозамещения для межсетевых экранов. С 1 января 2025 года федеральным органам исполнительной власти, высшим исполнительным органам власти субъектов РФ, госкорпорациям, стратегическим и системообразующим организациям и субъектам КИИ (полный круг по пункту 1 указа) запрещено использовать средства защиты информации из недружественных стран или от производителей под их юрисдикцией, подконтрольных или аффилированных с ними (пункт 6 Указа Президента РФ № 250). Для значимых объектов КИИ действуют ещё требования к ПО и доверенным программно-аппаратным комплексам.

Полный круг лиц по пункту 1 Указа № 250: федеральные органы исполнительной власти, высшие исполнительные органы власти субъектов, госфонды, госкорпорации и иные организации, созданные на основании федеральных законов, стратегические предприятия и АО, системообразующие организации, юридические лица - субъекты КИИ.

Пункт 5 части 3 статьи 9 187-ФЗ состоит из двух подпунктов: «а» - ПО, сведения о котором включены в реестр российских программ; «б» - ПО, которое используется в ГИС и иных информационных системах госорганов, ГУП и госучреждений, соответствующих требованиям о защите информации. Как подпункты соотносятся между собой, закон не уточняет.

Для ГИС, иных информационных систем госорганов, ГУП и госучреждений запрет Указа № 250 повторён в пункте 71 Требований № 117: средства защиты применяются с соблюдением запретов пункта 6 указа. По 187-ФЗ требование подпункта «а» считается исполненным и при использовании ПО из перечня российских программ, разработанных и используемых для собственных нужд (часть 3(1) статьи 2 Федерального закона № 58-ФЗ в редакции 325-ФЗ, с 1 марта 2026 года). Общее правило той же статьи (часть 3(6)): если закон или иной акт требует ПО из реестра российских программ, требование считается выполненным и при ПО из этого перечня.

Доверенным программно-аппаратный комплекс признают по трём критериям (приложение № 1 к Правилам, утверждённым постановлением № 1912):

1. Сведения о комплексе есть в едином реестре российской радиоэлектронной продукции.
2. ПО в составе комплекса соответствует требованиям постановления № 1478.
3. Если в комплексе реализована функция защиты информации, он соответствует требованиям ФСТЭК России и (или) ФСБ России, что подтверждает сертификат.

Комплекс должен отвечать всем трём критериям одновременно.

Аппаратный NGFW выполняет функцию защиты информации. Поэтому для значимого объекта КИИ, если экран куплен начиная с 1 сентября 2024 года и российский доверенный аналог существует, на практике нужны все три подтверждения: запись в реестре радиоэлектронной продукции, соответствие ПО и сертификат. Если аналога нет, это подтверждает заключение Минпромторга. Программный экран на значимом объекте органа власти или заказчика по 223-ФЗ должен быть в реестре российских программ (или реестре ЕАЭС) и иметь сертификат ФСТЭК и (или) ФСБ (постановление № 1478).

Нормы ограничивают, какой экран можно применить, но не обязывают покупать именно NGFW. Обязанность закрыть меры защиты задают требования к системе, а продукт под них выбирают при проектировании.

Производительность межсетевого экрана: что и как сравнивать

Цифра на первой странице буклета нередко относится к режиму пакетной фильтрации. Для выбора она почти ничего не говорит.

Производительность NGFW. По приказу ФСТЭК № 44 производитель указывает в формуляре пропускную способность и задержки в режиме пакетной фильтрации для кадров 1518 и 64 байта, для веб-трафика в выбранных им комбинациях включённых функций безопасности, а также сколько экземпляров могут работать вместе в режиме балансировки нагрузки и с какой общей пропускной способностью.

Как пользоваться этими данными:

• Соединения и правила. Производитель определяет в формуляре и максимальное число сетевых соединений в секунду и включённых правил фильтрации, при которых достигаются определённые показатели. Сравните их с числом правил в вашей политике.
• Сравнивайте одинаковые режимы. Комбинации функций для веб-трафика выбирает производитель, у разных производителей они разные. Цифры без сверки комбинаций сравнивать нельзя.
• Просите цифры под ваш набор функций. Обнаружение атак, проверка закодированного трафика, контроль приложений и антивирусная проверка включаются одновременно - запросите производительность именно в таком режиме.
• Смотрите на маленькие пакеты. Режим 64 байта показывает поведение на голосовом, служебном и атакующем трафике, где пакетов много, а данных мало.
• Закладывайте рост. Учитывайте прирост трафика за срок службы устройства и запас на отказ одного узла кластера.
• Проверяйте на своём трафике. Окончательный ответ даёт только пилот (см. ниже).

Функции: что проверить кроме фильтрации

Приказ № 44 описывает функции, которые многофункциональный экран выполняет сам. Для обнаружения атак и вредоносного ПО профили обычных межсетевых экранов предусматривают лишь взаимодействие с системами обнаружения вторжений и антивирусными средствами. Для выбора важно не только наличие функции, но и то, как она работает на вашем трафике.

• Обнаружение и блокирование атак. Экран любого из трёх классов (6, 5 и 4) находит признаки атак по базе решающих правил: сетевое сканирование, проникновение через уязвимости, атаки на отказ в обслуживании, подбор аутентификационной информации. Экран 4 класса сверх этого должен уметь проверять ресурс по доменному имени на связь с потенциально небезопасными ресурсами. Спросите, как часто обновляется база правил и кто её выпускает.
• Вредоносное ПО. Экран любого из трёх классов ищет вредоносное ПО в трафике по базе признаков. Экран 4 класса сверх этого должен уметь проверять файлы в изолированной среде предварительного выполнения («песочнице»).
• Закодированный трафик. Экран должен уметь извлекать данные из преобразованного (кодированного) трафика. Перечень протоколов указан в руководстве администратора, пакеты, которые экран разобрать не может, должно быть возможно блокировать. Сверьте перечень с протоколами в вашей сети.
• Контроль приложений и пользователей. Правила по приложениям и учётным записям вместо адресов и портов упрощают политику. Возможность применять правила фильтрации к идентифицированным пользователям системы приказ № 44 предусматривает для всех трёх классов. Проверьте на пилоте, как экран распознаёт ваши приложения и получает данные о пользователях из каталога.
• Защита каналов (VPN). Если каналы между площадками защищают шифрованием, в ГИС к шифровальным (криптографическим) средствам применяются требования ФСБ России (пункт 7 Требований № 117). VPN-модуль в составе экрана и сертифицированное средство криптографической защиты - не одно и то же: сертификат на криптографию проверяйте отдельно.

Отказоустойчивость, управление и связь с мониторингом

• Кластер. Экраны 5 и 4 класса по приказу № 44 должны иметь возможность работать в отказоустойчивом кластере: конфигурация синхронизируется, при отказе основного узла резервный продолжает работу без прерывания сессий, обновление идёт поочерёдно, с возможностью отката. Норма требует возможности такой работы, а сам кластер стоит отдельно записать в техническое задание.
• Централизованное управление. В экранах 5 и 4 класса предусмотрены компоненты для управления несколькими экземплярами в одной системе. При десятках филиалов без этого политика расходится между площадками.
• События в SIEM. Экран 6, 5 и 4 классов должен иметь возможность передавать события безопасности в систему управления событиями (SIEM). Проверьте формат выгрузки и наличие готового разбора событий в вашей SIEM.
• Резервные копии конфигурации. Рекомендации ФСТЭК по защите сетевого периметра (март 2026 года) советуют копировать конфигурацию не реже раза в месяц и проверять восстановление не реже раза в три месяца. Это рекомендации, а не приказ, но удобство резервного копирования стоит проверить до закупки.
• Доступ администраторов. Те же рекомендации советуют администрировать устройства с изолированных от интернета рабочих мест и не публиковать SSH, RDP и VNC на периметре. Посмотрите, как экран разделяет роли администраторов и пишет их действия в журнал.

Поддержка и обновления

Экран без обновлений со временем защищает хуже, чем в день покупки: устаревают база правил и признаки вредоносного ПО.

Для ГИС поддержка прямо входит в требования: средства защиты должны быть обеспечены поддержкой безопасности со стороны разработчика на территории России, включая выпуск и применение обновлений, устраняющих уязвимости (пункт 71 Требований № 117). Для обычных межсетевых экранов регламент обновлений разработчик описывает в документации (требование ALC_FPU_EXT.1 в профилях защиты ФСТЭК). Прекращение технической поддержки, без которой средство может перестать соответствовать требованиям, - основание приостановить сертификат (пункт 83 Положения о системе сертификации, приказ ФСТЭК № 55).

Что спросить:

1. Срок поддержки версии и как она продлевается.
2. Как часто выходят обновления базы решающих правил и признаков вредоносного ПО, как они доставляются в закрытый контур.
3. Как обновление соотносится с сертифицированной версией: сверьте версию и контрольные суммы поставки с документацией и формуляром (в профилях защиты экранов значения контрольных сумм ПО указываются в документации разработчика).
4. Есть ли техническая поддержка на русском языке и в каком режиме.

Миграция с зарубежного экрана

Переход на другой экран - отдельный проект со своим планом, окном работ и откатом.

1. Инвентаризация правил. Выгрузите действующую политику и найдите правила без срабатываний, дубли и «временные» разрешения. Переносить их не нужно.
2. Сопоставление объектов. Адреса, сервисы, группы и профили проверок у разных продуктов устроены по-разному. Автоматический конвертер ускоряет работу, но результат проверяют вручную.
3. Параллельная работа. Новый экран сначала работает в режиме наблюдения или на части трафика, политику сверяют по журналам.
4. Переключение и откат. Переключение планируют на окно с минимальной нагрузкой, план отката готовят заранее.
5. Документы. После перехода обновляют проектную и эксплуатационную документацию: правила фильтрации и сегментация должны совпадать с тем, что настроено.

Тестирование NGFW: как провести пилот до закупки

Пилот NGFW. Пилот - это проверка кандидата на вашем трафике по заранее согласованным критериям. В программу входят производительность с включёнными функциями, обнаружение атак и вредоносного ПО, работа с закодированным трафиком, отказ узла кластера, обновление, выгрузка событий в SIEM и удобство администрирования. Результат фиксируют в протоколе для сравнения кандидатов.

Порядок пилота:

1. Согласуйте цели и критерии успеха до начала, одинаковые для всех кандидатов.
2. Подайте на стенд копию реального трафика (зеркалирование) или включите экран в разрыв на некритичном сегменте.
3. Включите тот набор функций, который будет работать в эксплуатации, и замерьте пропускную способность и задержки.
4. Проверьте обнаружение атак и вредоносного ПО на тестовых наборах в изолированной среде. Для проверки на реальных техниках атак можно привлечь команду тестирования на проникновение.
5. Отключите основной узел кластера и посмотрите, сохраняются ли сессии.
6. Обновите базу правил и версию ПО и проверьте откат.
7. Настройте выгрузку событий в SIEM и проверьте, что они разбираются.
8. Дайте администраторам выполнить типовые задачи: добавить правило, найти событие, выгрузить отчёт.
9. Зафиксируйте результаты в протоколе с замерами, а не впечатлениями.

Как выбрать российский NGFW: что проверить у каждого кандидата

В поисковых запросах о NGFW встречаются, среди прочих, UserGate, Ideco, Positive Technologies, «Код Безопасности» и «Лаборатория Касперского». Это не рейтинг и не рекомендация. Рейтинги в открытых источниках строятся по разным методикам и быстро устаревают, поэтому в этой статье мы их не приводим.

Для каждого кандидата проверьте одно и то же: запись в государственном реестре сертифицированных средств защиты информации ФСТЭК с нужным типом и классом на дату закупки, совпадение сертифицированной версии с поставляемой, для аппаратных платформ на значимых объектах КИИ - запись в реестре российской радиоэлектронной продукции, для ПО - запись в реестре российских программ.

Чек-лист выбора NGFW

Если времени мало, начните с трёх шагов: зафиксируйте задачу и класс системы, проверьте, касаются ли вас нормы импортозамещения, и составьте программу пилота. Остальные пункты чек-листа закрываются на пилоте и при подготовке технического задания.

Частые ошибки при выборе NGFW

• Сравнивают цифры из буклетов. Цифры получены в разных режимах. Сравнивать можно только одинаковые комбинации функций или результаты пилота.
• Выбирают до классификации системы. Потом оказывается, что нужен другой класс или тип.
• Не проверяют импортозамещение для своей организации. Для значимого объекта КИИ аппаратный экран, купленный начиная с 1 сентября 2024 года, без статуса доверенного комплекса применять нельзя, если российский доверенный аналог существует.
• Покупают экран без пилота. На чужом трафике различия между кандидатами не видны.
• Переносят политику один в один. Вместе с правилами переезжают устаревшие разрешения.
• Забывают про поддержку. Без обновлений базы правил функции обнаружения быстро теряют смысл, а прекращение поддержки может привести к приостановлению сертификата.

Как мы помогаем

Кредо-С работает по лицензии ФСТЭК России на деятельность по технической защите конфиденциальной информации (реестровая запись № 00581724). Что из этого относится к выбору и внедрению NGFW:

• Подбор, пилот и внедрение экрана: «Внедрение NGFW и межсетевых экранов». Сетевая безопасность в целом: страница услуги.
• Значимые объекты КИИ: категорирование и обеспечение безопасности по приказу № 239.
• Защита ГИС по требованиям приказа № 117: «Защита государственных информационных систем (ГИС)».
• События с экрана в мониторинг: внедрение SIEM. Сегментация сети: статья «Плоская сеть: почему её надо делить на сегменты».

Чтобы сузить список кандидатов, начните с задачи экрана и класса системы. Пришлите их и схему сети через форму на этой странице. Ответим, какие классы и типы подходят и что проверить на пилоте.

Дата сверки норм: 12 октября 2026 года.