Эксперты в подборе IT-оборудования
К межсетевым экранам относится любое устройство или программа, которые пропускают или блокируют сетевой трафик по заданным правилам. Это и отдельный аппаратный шлюз на границе офисной сети, и встроенный файрвол роутера, и брандмауэр Windows на ноутбуке, и защита веб-сайта от атак (WAF). Различаются они тем, где стоят, насколько глубоко разбирают трафик и под какие требования сертифицированы.
Ниже - три способа разложить межсетевые экраны по полкам: по исполнению, по классификации ФСТЭК и по способу фильтрации. Что такое межсетевой экран и как он работает, подробно разобрано в статье о том, для чего нужен межсетевой экран.
Брандмауэр, файрвол и межсетевой экран - три названия одного и того же. Межсетевой экран стоит между сетями или между сетью и устройством и сверяет каждое соединение с правилами. Его основные задачи:
По исполнению межсетевые экраны делятся так:
| Исполнение | Что это | Пример применения |
|---|---|---|
| Аппаратный (шлюз безопасности) | Отдельное устройство со своей ОС на границе сети | Периметр офиса или филиала |
| Программный на сервере | Дистрибутив межсетевого экрана, установленный на обычный x86-сервер | Офисный шлюз без покупки специализированного устройства |
| Виртуальный | Межсетевой экран в виде виртуальной машины | Защита трафика между виртуальными машинами |
| Хостовый | Программа на самом компьютере или сервере: брандмауэр Windows, nftables/iptables в Linux | Защита отдельного узла |
| Встроенный в роутер или коммутатор | Базовая фильтрация и списки доступа в сетевом оборудовании | Домашняя сеть, небольшой офис, разделение отделов |
| Межсетевой экран веб-приложений (WAF) | Фильтр HTTP-запросов перед сайтом или веб-сервисом | Защита сайта и личного кабинета клиентов |
| Облачный | Межсетевой экран как услуга облачного провайдера | Инфраструктура в облаке |
Виртуальный межсетевой экран работает рядом с вашими виртуальными машинами и потребляет ресурсы того же хоста. Если подбираете сервер для виртуализации, закладывайте под него запас процессора и памяти. Выбор платформы виртуализации - в разборе о том, какой гипервизор выбрать.
В России для систем, где защита информации обязательна (государственные информационные системы, системы с персональными данными, значимые объекты КИИ), применяют межсетевые экраны, сертифицированные ФСТЭК. Требования к ним утверждены приказом ФСТЭК России от 9 февраля 2016 года № 9 и делят межсетевые экраны на пять типов по месту установки:
| Тип | Где применяется | Пример |
|---|---|---|
| А | На физической границе (периметре) информационной системы или между физическими границами её сегментов | Аппаратный шлюз между офисной сетью и интернетом |
| Б | На логической границе информационной системы или между логическими границами её сегментов | Межсетевой экран между VLAN или виртуальными сетями |
| В | На узле (хосте) информационной системы | Хостовый межсетевой экран на сервере или рабочей станции |
| Г | На сервере, обслуживающем сайты и веб-приложения | WAF перед веб-сервисом |
| Д | В промышленной сети автоматизированной системы управления технологическими процессами | Межсетевой экран в сети АСУ ТП на производстве |
Тип выбирают по месту установки, бренд здесь ничего не решает: у одного производителя часто есть сертификаты на несколько типов, например на аппаратный шлюз (тип А) и на его хостовую версию (тип В).
Внутри каждого типа есть шесть классов защиты. Шестой - низший, первый - высший. Классы 1-3 предназначены для систем, где обрабатывается государственная тайна, классы 4-6 - для остальных информационных систем. Какой класс нужен конкретной системе, определяют её класс защищённости (для ГИС), уровень защищённости персональных данных (для ИСПДн) или категория значимости (для объектов КИИ). Для систем без гостайны обычно хватает межсетевого экрана 4 класса.
Отдельно ФСТЭК установила требования к многофункциональным межсетевым экранам уровня сети - так в нормативных документах называются NGFW. Российские NGFW проходят сертификацию по этим требованиям, обычно по 4 классу защиты.
Если в вашей компании есть персональные данные клиентов или вы работаете с госзаказчиками, проверяйте у межсетевого экрана сертификат ФСТЭК: тип, класс защиты и срок действия. Несертифицированный экран может хорошо защищать сеть, но при проверке не засчитается.
Управляемый L3-коммутатор умеет фильтровать трафик между VLAN списками доступа (ACL) и проверять подключения к портам по стандарту 802.1X. Типичный сценарий - офисная сеть, где отдельный межсетевой экран между отделами избыточен, а изолировать бухгалтерию от гостевого Wi-Fi нужно.
Полноценным межсетевым экраном коммутатор не является: отслеживания соединений, разбора трафика приложений и защиты от вторжений в нём нет. Зато есть защита портов, DHCP snooping и защита от подмены адресов (ARP-спуфинга), а для внутренней сегментации этого достаточно. Чем коммутатор отличается от маршрутизатора, который обычно и стоит на границе сети, разобрано в статье о коммутаторе и маршрутизаторе.
По способу фильтрации межсетевые экраны различаются тем, насколько глубоко они разбирают трафик. Простейший вариант - пакетный фильтр (stateless). Он смотрит только на заголовок каждого пакета: адрес отправителя, адрес получателя, порт и протокол. Если пакет подходит под разрешающее правило - пропускает, иначе отбрасывает. Каждый пакет оценивается отдельно, без учёта того, к какому соединению он относится.
Плюсы - минимальная нагрузка на процессор и простая логика. Минус - пакетный фильтр не видит связи между пакетами, и его легче обмануть подменой адресов. Как самостоятельная защита он устарел, но работает как первый рубеж: списки доступа на маршрутизаторе или коммутаторе отсекают явно лишнее до того, как трафик дойдёт до основного межсетевого экрана.
Шлюз сеансового уровня проверяет не отдельные пакеты, а соединения. Он следит за установкой TCP-соединения (обменом SYN, SYN-ACK, ACK) и пропускает данные только по корректно открытым сессиям. Есть вариант-посредник: шлюз устанавливает два отдельных соединения, с клиентом и с сервером, и передаёт данные между ними, так что клиент и сервер напрямую не общаются.
Внутрь передаваемых данных такой шлюз не заглядывает. Он дёшев по ресурсам, но вредоносное содержимое в правильно открытом соединении пройдёт незамеченным, поэтому сегодня он встречается как один из механизмов в составе сложных экранов.
У шлюзов сеансового уровня три слабых места:
Stateful-фильтр (stateful packet inspection, SPI) - основа почти любого межсетевого экрана сегодня. Он ведёт таблицу состояний всех соединений и знает, какой ответ ожидать на какой запрос. Пакет, который относится к уже разрешённому соединению, проходит сразу. Пакет, который не вписывается ни в одно известное соединение, проверяется по правилам или отбрасывается.
Так межсетевой экран отсекает подделанные пакеты и атаки, которые пользуются особенностями TCP. В Linux разница видна на примере правил nftables и iptables: правило, разрешающее трафик уже установленных соединений (состояния ESTABLISHED и RELATED), и есть stateful-фильтрация. Встроенный файрвол большинства роутеров работает так же.
Прикладной шлюз работает на седьмом уровне модели OSI и понимает сами протоколы - HTTP, FTP, SMTP, DNS. Поэтому он умеет то, чего не умеют фильтры нижних уровней:
Платить за это приходится ресурсами и задержкой, а классический прикладной прокси нужен отдельный под каждый протокол.
Из прикладных шлюзов в офисах чаще всего встречается веб-прокси. Он стоит между сотрудниками и интернетом и решает типичные задачи: фильтрует сайты по категориям, ведёт журнал посещений, экономит канал за счёт кеша, при необходимости проверяет HTTPS-трафик. Классический пример бесплатного веб-прокси - Squid, в российских NGFW эта функция встроена.
NGFW (межсетевой экран нового поколения) объединяет всё описанное выше в одном устройстве: stateful-фильтрацию, разбор протоколов приложений, систему предотвращения вторжений (IPS), антивирусную проверку трафика, фильтрацию сайтов и VPN. NGFW распознаёт приложения независимо от порта - например, отличает мессенджер от обычного HTTPS - и даёт писать правила для конкретных пользователей и групп, вдобавок к правилам по IP-адресам.
Западные NGFW (Fortinet, Palo Alto Networks, Check Point, Cisco) в 2022 году ушли с российского рынка и не продлевают поддержку. На замену им пришли российские решения: UserGate, Ideco, Kaspersky NGFW, PT NGFW, «Континент». Сравнение российских NGFW и ориентиры по ценам собраны в обзорной статье о межсетевых экранах, ссылка на неё в начале.
Если свести способы фильтрации в одну таблицу:
| Способ | Что проверяет | Где встречается |
|---|---|---|
| Пакетный фильтр | Заголовок каждого пакета отдельно | Списки доступа маршрутизаторов и коммутаторов |
| Шлюз сеансового уровня | Корректность установленных соединений | Как механизм внутри других экранов |
| Stateful-фильтр (SPI) | Принадлежность пакета известному соединению | Почти любой межсетевой экран, встроенный файрвол роутера |
| Прикладной шлюз, прокси | Содержимое протоколов приложений | Веб-прокси, почтовые шлюзы |
| NGFW | Всё перечисленное плюс приложения, пользователи, вторжения | Периметр компании |
NAT (трансляция сетевых адресов) сам по себе не межсетевой экран, но работает рядом с ним и почти всегда входит в его функции. NAT подменяет внутренние адреса (192.168.x.x, 10.x.x.x) на внешний адрес шлюза, и снаружи структура внутренней сети не видна. Режим, при котором вся сеть выходит в интернет через один внешний адрес (PAT), - стандарт для офиса и дома.
Защищает NAT только косвенно: он не пускает входящие подключения, для которых нет правила проброса порта. Проверки содержимого и журналов атак у него нет, поэтому NAT без межсетевого экрана защитой периметра не считается.
Какой межсетевой экран нужен небольшой компании, зависит от того, что она защищает:
Да, это хостовый межсетевой экран: он защищает один компьютер и по классификации ФСТЭК относится к типу В. Сеть офиса целиком он не защищает.
Да, это встроенный хостовый stateful-фильтр. Отключать его не стоит даже при наличии межсетевого экрана на периметре: он защищает компьютер от угроз изнутри сети.
Обычный межсетевой экран фильтрует соединения по адресам, портам и протоколам. WAF разбирает сами HTTP-запросы к сайту и блокирует атаки на веб-приложение: SQL-инъекции, межсайтовый скриптинг, перебор паролей. Для сайта или личного кабинета клиентов нужны оба.
Ставите межсетевой экран на свой сервер?
Часть российских NGFW, например Ideco, ставится на обычный x86-сервер, а у большинства производителей есть и виртуальные версии. Подберём платформу под нужную пропускную способность и число пользователей и соберём её с тестом перед отгрузкой. Посмотрите серверы в каталоге или напишите нам: +7 (800) 551-80-12, info@ittelo.ru. Серверами и сетевым оборудованием мы занимаемся больше 11 лет и за это время накопили серьёзную экспертизу. Даём гарантию до 5 лет, берём оборудование на постпродажное обслуживание и не пропадаем после отгрузки.
