Комплексные проекты по аудиту, подбору, пилотированию и бесшовной миграции на современные межсетевые экраны нового поколения (NGFW) для корпоративных сетей любого масштаба.
Комплексные проекты по аудиту, подбору, пилотированию и бесшовной миграции на современные межсетевые экраны нового поколения (NGFW) для корпоративных сетей любого масштаба.
Использование межсетевых экранов зарубежных вендоров (Cisco ASA/Firepower, Fortinet FortiGate, Check Point, Palo Alto Networks), официально прекративших деятельность и техническую поддержку в РФ, влечет за собой прямые операционные и регуляторные угрозы:
Отсутствие подписок на обновление баз сигнатур IPS/IDS, репутационных списков IP/URL и антивирусных баз превращает NGFW в обычный пакетный фильтр.
Поломка ключевого сетевого узла грозит простоем бизнеса на неопределенный срок без возможности штатной замены или вендорской поддержки.
Невозможность оперативно устранять критические уязвимости (Zero-day) на шлюзе и отражать целевые атаки.
До 85% трафика передается в шифрованном виде. Без DPI и аппаратного SSL-инспектирования вредоносный код беспрепятственно проникает внутрь сети.
Подключение удаленных сотрудников через незащищенные каналы без интеграции с Active Directory/LDAP, без MFA и профилирования устройств.
При компрометации одной рабочей станции или филиала злоумышленник получает доступ ко всей внутренней инфраструктуре из-за «плоской» топологии.
Выбор сетевого экрана напрямую зависит от требований к пропускной способности, глубине анализа и характеру сетевой нагрузки.
| Параметр / Функция | Классический Firewall (L3/L4) | UTM (Unified Threat Management) | NGFW (Next Generation Firewall) |
| Уровень фильтрации | Пакетный (IP, порты, протоколы TCP/UDP) | Пакетный + базовый прикладной (L7) | Глубокий анализ контекста приложений (DPI, L7) |
| Архитектура обработки трафика | Последовательная, базовая | Пакетная проверка модулями друг за другом (высокие задержки) | Единый конвейер потоковой обработки (Single-Pass Architecture) |
| Производительность под нагрузкой | Высокая (не проверяет содержимое) | Резкая деградация при включении всех функций (до 70–80%) | Высокая, специализированные аппаратные ускорители/NPU |
| Контроль приложений (App-ID) | Отсутствует (только блокировка портов) | Ограниченная база сигнатур | Опознавание тысяч приложений независимо от используемого порта |
| Идентификация пользователей (User-ID) | Привязка только к IP-адресу | Базовая интеграция с AD/LDAP | Полная интеграция с корпоративными каталогами, SSO, MFA |
| Расшифровка и проверка SSL/TLS | Отсутствует | Ограниченная, существенно снижает throughput | Аппаратная разгрузка SSL, проверка трафика «на лету» |
| Целевой сегмент | Устаревшие сетевые периметры | Малый и средний бизнес (SMB) | Корпоративные сети (Enterprise), ЦОД, КИИ, филиалы |
Проектируем отказоустойчивые архитектуры с учетом требований высокой доступности (High Availability, HA) и нулевого времени простоя:
Синхронизация сессий на аппаратном уровне для мгновенного переключения трафика без разрыва пользовательских сессий и VPN-соединений.
Централизованное управление политиками безопасности, автоматическое построение шифрованных туннелей (включая ГОСТ VPN) и интеллектуальная маршрутизация.
| Класс решения | Пропускная способность (Firewall / IPS / Threat Prevention) | Количество активных пользователей | Параллельные сессии (Concurrent Sessions) | Сценарий применения |
| Филиал / Малый офис | до 2 Гбит/с / 500 Мбит/с / 300 Мбит/с | до 100 | до 100 000 | Удаленные офисы, розничные точки, локальный VPN-шлюз |
| Корпоративный периметр | до 10 Гбит/с / 3 Гбит/с / 1.8 Гбит/с | 100 – 1 000 | до 1 000 000 | Головные офисы, производственные площадки, DMZ |
| Дата-центр / Ядро сети | от 40+ Гбит/с / 15+ Гбит/с / 10+ Гбит/с | от 1 000+ | от 4 000 000+ | ЦОД, высоконагруженные сервисы, агрегация трафика филиалов |
Комплексный проект миграции занимает в среднем от 4 до 12 недель в зависимости от масштаба инфраструктуры и филиальной сети:
Убедитесь в производительности и стабильности решения на базе собственной инфраструктуры до закупки оборудования.
Предоставление физического сервера или виртуальной машины на срок 2–4 недели.
Подключение без изменения существующей топологии сети и без рисков нарушения бизнес-процессов.
Снижение пропускной способности при полной расшифровке трафика зависит от аппаратной архитектуры устройства. В среднем деградация составляет от 30% до 55%. Чтобы исключить перегрузку, мы закладываем резерв по производительности при сайзинге и настраиваем гибкие списки исключений (Bypass) для доверенных ресурсов (видеоконференции, стриминг, банковские сервисы).
У большинства российских производителей есть утилиты полуавтоматической миграции, переносящие адресные объекты, группы и базовые списки доступа (ACL). Однако правила L7-фильтрации, профили безопасности и NAT требуют экспертной ручной валидации и переработки под логику работы нового вендора.
Да, зрелые российские платформы (UserGate, Континент 4) поддерживают стандартные протоколы динамической маршрутизации (BGP, OSPF, RIP), технологию BFD для быстрого обнаружения обрывов линков, а также интеграцию с несколькими Upstream-провайдерами (Multi-WAN) и SD-WAN.
Все оборудование поставляется с официальной гарантией вендоров на территории РФ. В рамках сервисного контракта мы обеспечиваем техническую поддержку с фиксированным SLA и предоставлением подменного оборудования из собственного склада (NBD / 4 часа).
Да, виртуальные межсетевые экраны поддерживают кластеризацию высокой доступности (HA) внутри платформ виртуализации (VMware ESXi, KVM, платформы на базе OpenStack). Синхронизация сессий между узлами кластера обеспечивает бесшовное переключение при сбое хоста виртуализации.
Несертифицированные решения не позволяют закрыть требования к государственным информационным системам (ГИС) и критической информационной инфраструктуре (КИИ, 187-ФЗ).
Отсутствие подписок на обновление баз сигнатур IPS/IDS, репутационных списков IP/URL и антивирусных баз превращает NGFW в обычный пакетный фильтр.
Поломка ключевого сетевого узла грозит простоем бизнеса на неопределенный срок без возможности штатной замены или вендорской поддержки.
Несертифицированные решения не позволяют закрыть требования к государственным информационным системам (ГИС) и критической информационной инфраструктуре (КИИ, 187-ФЗ).
Невозможность оперативно устранять критические уязвимости (Zero-day) на шлюзе и отражать целевые атаки.
До 85% трафика передается в шифрованном виде. Без DPI и аппаратного SSL-инспектирования вредоносный код беспрепятственно проникает внутрь сети.
Подключение удаленных сотрудников через незащищенные каналы без интеграции с Active Directory/LDAP, без MFA и профилирования устройств.
При компрометации одной рабочей станции или филиала злоумышленник получает доступ ко всей внутренней инфраструктуре из-за «плоской» топологии.
Невозможность оперативно устранять критические уязвимости (Zero-day) на шлюзе и отражать целевые атаки.
Защита частных и публичных облаков, сегментация сред виртуализации (VMware, OpenStack, ПК СВ «Брест» и др.).
Синхронизация сессий на аппаратном уровне для мгновенного переключения трафика без разрыва пользовательских сессий и VPN-соединений.
Централизованное управление политиками безопасности, автоматическое построение шифрованных туннелей (включая ГОСТ VPN) и интеллектуальная маршрутизация.
Защита частных и публичных облаков, сегментация сред виртуализации (VMware, OpenStack, ПК СВ «Брест» и др.).
Оценка реальной пропускной способности под вашей продуктивной нагрузкой при одновременной работе SSL Inspection, IPS и антивирусного контроля.
Предоставление детального отчета с анализом выявленных в ходе теста сетевых угроз и готовой матрицы перехода на новое решение.
Предоставление физического сервера или виртуальной машины на срок 2–4 недели.
Подключение без изменения существующей топологии сети и без рисков нарушения бизнес-процессов.
Оценка реальной пропускной способности под вашей продуктивной нагрузкой при одновременной работе SSL Inspection, IPS и антивирусного контроля.
Предоставление детального отчета с анализом выявленных в ходе теста сетевых угроз и готовой матрицы перехода на новое решение.