Внедрение межсетевого экрана нового поколения (NGFW) - так, чтобы он разбирал трафик по приложениям и пользователям, а не только по портам. Начинаем со схемы сети и потоков, переносим правила со старого межсетевого экрана с чисткой и передаём систему вашим администраторам вместе с документами для проверки.
Нет проекта, но есть межсетевой экран, которым недовольны, - начнём с аудита настроек.
Отчёт об обследовании и карту потоков между сегментами. Проект и спецификацию. Протокол пилота. Новую политику с описанием каждого правила вместо старой. Журнал изменений опытной эксплуатации. Инструкции и регламенты для ваших администраторов. Точный состав уточняем на обследовании.
NGFW - межсетевой экран нового поколения: кроме фильтрации по адресам и портам он различает приложения и пользователей, проверяет содержимое трафика и блокирует вторжения. В приказах ФСТЭК России № 117, № 239, № 21 и № 44 слова «NGFW» нет; по набору функций ему ближе всего «многофункциональный межсетевой экран уровня сети» из Требований, утверждённых приказом ФСТЭК России № 44.
Обычный экран решает по адресам, портам и протоколам, поэтому правило звучит как «открыть порт». У NGFW правило привязывают к приложению и пользователю: «бухгалтерии - только эта программа». Кроме того, NGFW проверяет содержимое трафика и блокирует вторжения. Сравнение с UTM и WAF - в статье «Что такое NGFW».
| Этап | Что делаем | Что остаётся у вас |
|---|---|---|
| Обследование | схема сети, потоки между сегментами, опубликованные наружу сервисы, текущие правила | отчёт и карта потоков |
| Проектирование | архитектура, расчёт производительности с учётом включённых функций, схема отказоустойчивости | проект и спецификация |
| Пилот | установка на ограниченном участке, проверка производительности и совместимости | протокол пилота |
| Перенос правил | разбор правил старого экрана, чистка неиспользуемых, перенос в новую политику | новая политика с описанием |
| Внедрение | ввод в работу, сегментация, VPN для филиалов и удалённых сотрудников | работающая система |
| Опытная эксплуатация | разбор срабатываний, донастройка политик | журнал изменений |
| Передача | обучение администраторов, регламент изменений и резервного копирования | инструкции и регламенты |
| Сопровождение | обновления, аудит правил, передача событий в мониторинг | по договору |
Состав работ уточняем на обследовании.
NGFW нужен в пяти случаях: старый экран без поддержки, плоская сеть, требование к сертификату, запрет на экран из недружественной страны и уже купленный NGFW без пользы.
Обновления не выходят, лицензии не продлены, новые уязвимости остаются открытыми.
Бухгалтерия, производство, гостевой Wi-Fi и серверы видят друг друга напрямую, и один заражённый компьютер становится проблемой всей сети. Почему так опасно, разобрано в статье о сегментации сети. Пример решения - изолированный сегмент DMZ для производственного холдинга.
Нужен ли сертификат, зависит от системы:
| Система | Нужен ли сертифицированный экран | Норма |
|---|---|---|
| Государственная информационная система | да: должны применяться сертифицированные средства защиты | п. 71 Требований, утверждённых приказом ФСТЭК России № 117 |
| Значимый объект КИИ | сертификация - в случаях, установленных законодательством, или по решению субъекта КИИ; в иных случаях - испытания или приёмка; не встроенным в общесистемное и прикладное ПО нужен ещё уровень доверия 6 или выше (что считать встроенным, норма не раскрывает) | пп. 28 и 29.2 Требований, утверждённых приказом ФСТЭК России № 239 |
| Значимый объект КИИ: органы государственной власти и заказчики по 223-ФЗ (кроме организаций с муниципальным участием) | программное обеспечение для безопасности значимых объектов должно иметь сертификат | п. 2 Требований, утверждённых постановлением Правительства РФ № 1478 |
| Значимый объект КИИ: аппаратный экран, купленный с 1 сентября 2024 года | субъектам КИИ не допускается использовать недоверенные программно-аппаратные комплексы; исключение - нет российского доверенного аналога, его подтверждает заключение Минпромторга России | п. 2 постановления Правительства РФ № 1912 |
| Информационная система персональных данных | средства, прошедшие оценку соответствия, если без них нельзя нейтрализовать актуальные угрозы | п. 13, подпункт «г» Требований, утверждённых постановлением Правительства РФ № 1119 |
С 1 января 2025 года организациям из перечня в п. 1 Указа Президента РФ № 250, в том числе субъектам КИИ, запрещено использовать средства защиты информации из недружественных стран или от производителей под их юрисдикцией (п. 6). Относитесь ли вы к перечню и подпадает ли ваш экран под запрет, выясняем на обследовании.
Правило «разрешить всё изнутри наружу», выключенная инспекция шифрованного трафика, журналы без читателя. Что делаем, - в разделе «Что делать, если NGFW уже стоит».
Лицензиат ФСТЭК России по технической защите конфиденциальной информации (лицензия Л024-00107-00, реестровая запись № 00581724). «Кредо-С» работает на рынке с 1993 года. Опыт работы с КИИ, ГИС и ИСПДн, работа по NDA, участие в закупках по 44-ФЗ и 223-ФЗ.
Внедрение идёт в восемь этапов: обследование, проектирование, пилот, перенос правил, внедрение, опытная эксплуатация, передача и сопровождение. Состав этапов - в таблице выше, здесь только то, что в ней не видно.
Здесь же идёт аудит правил межсетевого экрана: можно найти открытые наружу порты удалённого доступа и правила, о которых никто не помнит, зачем их добавили.
Паспортная цифра и скорость на вашем трафике - разные величины. Для многофункциональных межсетевых экранов уровня сети от 4 до 6 класса защиты Требования, утверждённые приказом ФСТЭК России № 44 (п. 14), предусматривают, что в формуляре указывается пропускная способность отдельно для пакетной фильтрации и для веб-трафика при определённых производителем комбинациях включённых функций безопасности.
Поэтому считаем под ваш трафик и функции, которые вы включите, а не по максимальной цифре из брошюры.
Экран работает на ограниченном участке в режиме наблюдения. Участок, оборудование и критерии успеха согласуем до начала.
Переключение идёт по согласованному плану с точкой возврата на старый экран. Время возврата записываем в план.
На реальном трафике видно, какие правила слишком широкие, а какие мешают работе; донастраиваем, пока журнал не станет читаемым.
Единого срока и единой цены на все случаи нет. Оборудование и подписки считает производитель, работы определяют:
График и цену называем после обследования, когда эти параметры известны.
Миграция (перенос) правил на новый межсетевой экран - не копирование конфигурации, а ревизия политики. По журналам старого экрана мы выясняем, какие правила реально используются. Неиспользуемые выводим из работы, дублирующие объединяем, широкие сужаем до конкретных приложений и пользователей, затем собираем политику заново и проверяем её на пилоте.
Перенос один к одному переносит и все старые дыры. Цель другая: политика короче старой, у каждого правила есть описание. Что требует внимания:
Подбираем решение под задачу, а не под прайс. Смотрим на пять вещей:
Криптозащита каналов VPN и инспекция шифрованного трафика - отдельные вопросы: что нужно в вашем случае, уточняем на обследовании.
Среди партнёров «Кредо-С» есть российские разработчики NGFW, в частности UserGate, Ideco, Positive Technologies, Код Безопасности и Infotecs. Это не рейтинг: порядок имён ничего не значит, выбор зависит от задачи и вашей сети.
Полный разбор критериев - в статье «Как выбрать NGFW», там же чек-лист из десяти критериев для разговора с поставщиком. Если вы уже выбираете, приложите ответы поставщиков к заявке: сверим их с вашей сетью.
Нормы требуют не купить конкретный продукт, а реализовать меру защиты: сегментацию и межсетевое экранирование. В государственных информационных системах это базовая мера (п. 63, подпункт «п» Требований, утверждённых приказом ФСТЭК России № 117). В информационных системах персональных данных - мера УПД.3, управление информационными потоками между устройствами и сегментами (Состав и содержание мер, утверждённые приказом ФСТЭК России № 21). Межсетевой экран - основное средство для этой меры, но не единственное условие: нужны ещё настройка, регламенты и документы.
Если применяются сертифицированные средства, класс защиты и уровень доверия зависят от системы:
| Система | Класс защиты и уровень доверия | Норма |
|---|---|---|
| ГИС 1 / 2 / 3 класса защищённости | не ниже 4 / не ниже 5 / 6 | п. 72 Требований, утверждённых приказом ФСТЭК России № 117 |
| Значимый объект КИИ 1 / 2 / 3 категории | класс не ниже 4 / не ниже 5 / 6; уровень доверия 4 / 5 / 6 или выше | п. 29 Требований, утверждённых приказом ФСТЭК России № 239 |
| ИСПДн 1 / 2 / 3 / 4 уровня защищённости | 4 класс и 4 уровень / 5 и 5 / 6 и 6 / 6 и 6 | п. 12 Состава и содержания мер, утверждённых приказом ФСТЭК России № 21 |
Для многофункциональных межсетевых экранов уровня сети Требования, утверждённые приказом ФСТЭК России № 44, устанавливают классы 6, 5 и 4 и соответствие уровня доверия классу (п. 6). Типы экранов (профили защиты ФСТЭК России от 12.09.2016 выделяют типы А-Д, экрану уровня сети соответствует тип А), требования к каждому классу и рекомендации ФСТЭК по защите сетевого периметра разобраны в статье «Межсетевой экран и требования ФСТЭК».
Сводка по системам - в таблице в разделе «Когда нужен NGFW».
Органам государственной власти и заказчикам по 223-ФЗ (кроме организаций с муниципальным участием) программное обеспечение на значимых объектах нужно из реестра российских программ или реестра программ государств - членов ЕАЭС, кроме России (п. 1 Требований, утверждённых постановлением № 1478).
Обязанности субъектов КИИ по программному обеспечению на значимых объектах (187-ФЗ) разобраны в статье «Как выбрать NGFW».
Указ № 250 (п. 1, подпункт «в») предусматривает, что органы (организации) из перечня п. 1 принимают в случае необходимости решения о привлечении организаций к мероприятиям по обеспечению информационной безопасности; при этом могут привлекаться исключительно организации с лицензией на техническую защиту конфиденциальной информации. «Кредо-С» - лицензиат ФСТЭК России в этой области (реквизиты - в блоке «Кто будет делать»).
Признаки: правило «разрешить всё» в середине политики, выключенная инспекция шифрованного трафика, давно не обновлявшиеся сигнатуры, журналы без читателя. Экран не меняем, а проводим аудит настроек: смотрим политику, включённые функции, обновления, порядок администрирования и резервного копирования. По итогам даём план доводки; часть пунктов закрывается настройкой, часть может потребовать лицензий или обновления, и это видно только после аудита.
Если нужен проект: схема потоков, правила, план работ.
Если решение выбирается из нескольких: проверка на вашем участке сети с вашими приложениями.
Если NGFW куплен, а пользы нет: политика, функции, обновления, администрирование, резервные копии; итог - план доводки.
Напишите в заявке два-три предложения о сети и о том, что мешает, - с них начнём разговор. Другие решения по сетевой защите - на странице «Сетевая безопасность».
Оставить заявку на обследованиеОтправить заявку на сотрудничество
Я соглашаюсь на обработку персональных данных
Хочу получать новости и полезные материалы на email - необязательно
ООО «КРЕДО-С» · ИНН 7106014366 · КПП 710601001 · ОГРН 1027100747596 · на рынке с 1993 года · 300034, г. Тула, ул. Демонстрации, 27 · офисы: Тула, Москва
300034, г. Тула, ул. Демонстрации, 27
офисы: Тула, Москва
ООО «КРЕДО-С»ИНН 7106014366КПП 710601001ОГРН 1027100747596300034, г. Тула, ул. Демонстрации, 27офисы: Тула, Москвана рынке с 1993 года
