NGFW и UTM: чем отличаются и как читать характеристики
Коротко: UTM (Unified Threat Management) — устройство, объединяющее межсетевой экран, антивирус, систему предотвращения вторжений, фильтрацию веб-доступа и защищённые туннели в одной коробке с единым управлением. NGFW (Next-Generation Firewall) — межсетевой экран, который дополнительно распознаёт приложения независимо от используемого порта, учитывает личность пользователя и имеет встроенную систему предотвращения вторжений. По набору функций классы сегодня во многом совпадают; практическое различие заключается в архитектуре обработки трафика и в том, как падает производительность при включении проверок. Именно это падение, а не список возможностей, определяет выбор модели.
Откуда взялись оба термина
Понятие UTM появилось в начале 2000-х годов и описывало ответ на конкретную потребность небольших организаций. Держать отдельно межсетевой экран, почтовый антивирус, прокси-сервер с фильтрацией и шлюз защищённых туннелей было дорого и трудоёмко. Решением стало устройство, объединяющее всё перечисленное с одной консолью управления.
Понятие NGFW возникло позже, ближе к концу 2000-х, и отражало другую проблему. Классический межсетевой экран принимал решения по адресам и номерам портов, а приложения научились обходить такие правила: работать через порты, разрешённые для веб-доступа, туннелировать трафик внутри разрешённых протоколов. Правило «разрешить порт 443» перестало означать «разрешить просмотр веб-страниц».
NGFW решал задачу распознаванием приложения по содержимому сессии и привязкой правил к учётной записи пользователя, а не к адресу устройства. Со временем производители обоих классов добавили функции друг друга, и границы размылись.
Что входит в UTM
Типовой состав сложился исторически и мало менялся: межсетевой экран с отслеживанием состояния соединений; система предотвращения вторжений; проверка файлов на вредоносное содержимое; фильтрация веб-доступа по категориям ресурсов; фильтрация почты; защищённые туннели между площадками и для удалённых сотрудников; нередко базовая маршрутизация и беспроводной контроллер.
Позиционирование — небольшие и средние организации, филиалы, площадки без выделенного специалиста по информационной безопасности. Ценность в том, что одно устройство закрывает весь периметр и настраивается из одного интерфейса.
Что входит в NGFW
Основа та же — межсетевой экран с отслеживанием состояния. Поверх добавляются три возможности, определяющие класс.
Распознавание приложений. Устройство определяет, какое приложение использует сессию, по характеру обмена и сигнатурам, а не по номеру порта. Правила формулируются в терминах приложений, а не портов.
Учёт личности пользователя. Правила привязываются к учётной записи или группе в службе каталогов. Политика следует за пользователем независимо от устройства и адреса.
Встроенная система предотвращения вторжений, работающая на том же проходе разбора, а не отдельным модулем.
Добавляется проверка зашифрованного трафика: без расшифровывания TLS все перечисленные механизмы видят лишь внешние признаки сессии.
Чем классы отличаются на практике
| Параметр | UTM | NGFW |
| Исходная задача | Собрать сервисы в одном устройстве | Видеть приложения и пользователей |
| Типовой заказчик | Небольшие организации, филиалы | Средние и крупные организации |
| Основа правил | Адреса, порты, категории ресурсов | Приложения, пользователи, содержимое |
| Обработка трафика | Часто последовательная по модулям | Как правило, однопроходная |
| Фильтрация почты | Обычно входит | Часто отсутствует |
| Детальность политик | Умеренная | Высокая |
| Требования к персоналу | Ниже | Выше |
Современные устройства нередко совмещают оба подхода, и производитель может называть одну и ту же модель по-разному в зависимости от рынка. Ориентироваться стоит на измеренные характеристики и состав функций, а не на название класса.
Последовательная и однопроходная обработка
Различие в архитектуре объясняет разницу в производительности сильнее, чем список функций.
При последовательной обработке каждый включённый модуль разбирает трафик самостоятельно. Пакет проходит межсетевой экран, затем передаётся антивирусу, затем системе предотвращения вторжений, затем фильтру веб-доступа. Разбор содержимого повторяется столько раз, сколько включено модулей, и каждый добавляет задержку. Включение четвёртого сервиса снижает производительность примерно так же, как включение первого.
При однопроходной обработке трафик разбирается один раз, а результат разбора используют все подсистемы. Добавление ещё одной проверки обходится дешевле, поскольку разбор уже выполнен.
Практическое следствие: у устройств с последовательной обработкой разрыв между паспортной производительностью межсетевого экрана и производительностью с включёнными сервисами больше. Проверяется это не описанием архитектуры, а сравнением величин в таблице характеристик.
Как читать характеристики производительности
Производитель приводит несколько величин, и различие между ними достигает порядка. Выбор по первой строке таблицы — самая частая и самая дорогая ошибка.
| Величина | Что означает | Насколько показательна |
| Пропускная способность межсетевого экрана | Пересылка без разбора содержимого, крупные пакеты | Низкая, верхняя оценка |
| Пропускная способность с системой вторжений | Включён разбор содержимого | Средняя |
| Пропускная способность защиты от угроз | Включены вторжения, антивирус, контроль приложений | Высокая, близка к рабочему режиму |
| Пропускная способность с проверкой TLS | Дополнительно расшифровывание сессий | Наивысшая, если проверка планируется |
| Пропускная способность туннелей | Шифрование трафика между площадками | Важна при филиальной сети |
Отдельно смотрите условия измерения. Величины для крупных пакетов выглядят выше, чем для смешанного трафика, приближенного к реальному. Если в примечании указан размер пакета 1518 байт, к такой величине следует относиться как к верхней границе.
Разумный подход: взять величину для режима защиты от угроз, при планируемой проверке TLS — соответствующую ей, и заложить запас на рост трафика и на расширение набора правил.
Почему проверка TLS меняет расчёт
Подавляющая часть трафика сегодня зашифрована. Для устройства защиты это означает, что без расшифровывания видны только адреса, имя запрашиваемого узла и внешние признаки сессии. Ни антивирус, ни система предотвращения вторжений содержимое не увидят.
Расшифровывание возвращает видимость, но обходится дорого вычислительно: устройство завершает сессию на себе, расшифровывает, разбирает, зашифровывает заново и отправляет дальше. Падение производительности относительно режима без проверки обычно кратное.
Есть и организационная сторона. Требуется распространить на устройства пользователей доверенный сертификат, а часть трафика приходится исключать из проверки — приложения с закреплённым сертификатом перестают работать при вмешательстве в сессию. Перечень исключений ведут явно.
Вывод для выбора модели: если проверка TLS планируется, именно соответствующая величина определяет требуемый класс устройства, а остальные строки таблицы к расчёту отношения не имеют.
Число сессий и новых соединений
Пропускная способность — не единственный предел. Два других параметра нередко исчерпываются раньше.
Число одновременных сессий определяет, сколько соединений устройство удерживает в таблице состояний. Современная веб-страница открывает десятки соединений, а на каждого сотрудника в рабочее время приходятся сотни. Переполнение таблицы приводит к отказу в установлении новых соединений при формально свободной полосе.
Число новых соединений в секунду определяет скорость обработки пика. Массовый вход сотрудников в начале рабочего дня или всплеск обращений к публичному сервису создают нагрузку именно по этому параметру.
Для организации с преобладанием веб-трафика эти два параметра нередко оказываются определяющими, а запас по полосе остаётся неиспользованным.
Как выбрать устройство
- Определите, какие проверки будут включены в действительности. Устройство выбирают под планируемый режим, а не под базовую пересылку.
- Решите, планируется ли проверка TLS. Это решение меняет требуемый класс устройства сильнее любого другого фактора.
- Оцените текущую полосу на периметре и заложите запас на срок службы устройства, обычно три-пять лет.
- Посчитайте число одновременных сессий исходя из числа пользователей и характера их работы, а не только из полосы.
- Оцените пик новых соединений в секунду для начала рабочего дня и для публичных сервисов.
- Учтите нагрузку от защищённых туннелей: число удалённых сотрудников и филиалов, суммарную полосу между площадками.
- Проверьте состав и скорость портов: их число и наличие оптических портов нужной скорости определяют схему подключения.
- Уточните модель лицензирования: обновления сигнатур, базы категорий ресурсов и репутационные сервисы обычно продаются подпиской.
- Предусмотрите отказоустойчивость — пару устройств в режиме высокой доступности, если перерыв на периметре недопустим.
Подобрать модель можно в разделе оборудования безопасности; подберём устройство под вашу полосу, число пользователей и планируемый набор проверок.
Типичные ошибки
Выбор по первой строке таблицы характеристик. Устройство, заявленное на высокую пропускную способность межсетевого экрана, в режиме защиты от угроз выдаёт кратно меньше.
Проверка TLS не учтена при расчёте. Самая дорогая по ресурсам функция добавляется после закупки, и устройство перестаёт справляться.
Подбор только по полосе. Число сессий и новых соединений в секунду исчерпывается раньше, особенно при веб-трафике.
Включены все проверки без разбора. Каждая снижает производительность. Набор формируют осознанно, по модели угроз, а не по списку доступных возможностей.
Запас не заложен. Трафик растёт, набор правил расширяется, сигнатур становится больше. Устройство, подобранное впритык к текущей нагрузке, исчерпывает ресурс за год-полтора.
Срок подписки не согласован. По окончании подписки устройство продолжает работать как межсетевой экран, но перестаёт получать обновления сигнатур, то есть теряет основную функцию.
Что учесть при закупке
Партномера. Фиксируйте артикул устройства и отдельно артикулы подписок. Одна и та же модель поставляется в вариантах с разным сроком и составом сервисов, и различие отражено только в артикуле.
Комплектность. Уточняйте блоки питания, монтажные комплекты и наличие оптических модулей, если предусмотрены оптические порты.
Подписки. Согласуйте срок действия и порядок продления. Проверьте, что подписка оформлена на вашу организацию.
Пара для отказоустойчивости. Два устройства должны быть одной модели и одной версии программного обеспечения. Закупать их разумно одновременно.
Оборудование с вторичного рынка. Для устройств защиты это отдельный случай: подписки обычно привязаны к организации и не переходят к новому владельцу, а без обновлений сигнатур устройство выполняет лишь базовые функции. Проверяйте возможность оформления новой подписки на конкретный серийный номер и срок поддержки модели. Общие соображения — в материале о новом, б/у и refurbished, а порядок подготовки закупки — в материале о планировании закупки.
Смотреть межсетевые экраны и безопасность в наличии →