Как можно описать состояние российского рынка NGFW на 2024? Затишье перед боем. Кто-то чинит баги, кто-то вносит изменения понемногу, но в воздухе чувствуется напряжение - все вендоры готовят крупные обновления на конец этого и начало 2025 года.
Но планы планами, давайте посмотрим, что есть на данный момент нового у российских вендоров.
Код Безопасности
Пока все ждут сертификации ФСБ для 4-й версии Континента, Код Безопасности выпустил обновление 4.1.9, самые востребованные улучшения на наш взгляд:
Реализация явного прокси. Было особенно важно для тех, кто ранее использовал явный прокси-сервер в своей сети, это облегчает постепенную миграцию на новую систему;
Поддержка URL-фильтрации без вскрытия SSL/TLS (по SNI). Позволяет фильтровать трафик по именам серверов (SNI) в SSL/TLS сессиях без расшифровки содержимого;
Поддержка VRF (Virtual Routing and Forwarding). Также работает и в кластере;
Поддержка протокола BFD в связке с OSPF/BGP.
Юзергейт
UserGate выкатил крупное обновление в конце 2023 года, и теперь оттачивает свой продукт, но и не забывает о поддержке уже используемого оборудования, выпуская минорные обновления для обеих поддерживаемых веток - 6.1.9 и 7.1. Последние апдейты вышли в начале июня, была оптимизирована работа устройств.
В июле 2024 года версия NGFW 7.1 признана стабильной, сейчас проводится масштабное обучение пользователей на авторизованных курсах.
NGFW UserGate FG включен в реестр российской промышленной продукции Минпромторга России. UserGate FG - решение для высоконагруженных систем: платформа с FPGA чипом, который ускоряет модуль FW (L3-L4 правила) до 160 гбит/с., в режиме EMIX - до 65 Г6ит/с.
Айдеко
Айдеко не снижает взятых темпов. С их скоростью разработки и релизов не каждый может тягаться. Они планомерно выпускают новые версии, постепенно добавляя функционал. На август 2024г. актуальная версия 17, которая вышла весной и уже получила несколько функциональных обновлений и исправлений.
Рассмотрим некоторый функционал обновления 17:
Виртуальные контексты VCE (аналог VSX, VDOM, позволяет создавать виртуальные Ideco NGFW на одном сервере с независимыми друг от друга сетью, управлением и политиками безопасности)
Режим кластера с синхронизацией сессий;
Аутентификация VPN-пользователей через RADIUS-сервер;
GRE over IPSec, GRE-туннели;
ZTNA - проверка клиентом домена, антивируса, версии ОС, наличия пакетов обновлений и др. Использование профилей устройств в политиках файрвола;
Ideco Client авторизации для MacOS (без удаленного подключения по VPN);
Добавлен формат CEF и выбор TCP/UDP для интеграции с внешними сервисами (SIEM и др.) по syslog;
Восстановление бекапа конфигурации возможно без перезагрузки сервера.
Так же Айдеко уже анонсировали 18 версию, в которой тоже будет ряд важных изменений, например улучшенная технология виртуальных контекстов VCE; продвинутый WAF; повышенная устойчивость от DoS-атак.
Они вообще достаточно открытые ребята, как и Код безопасности, с удовольствием устраивают "поединки" между своими решениями и решениями конкурентов.
С-Терра
С-Терра обошлась без громких анонсов, а так сказать "для своих", весной обновила функционал файрволла шлюза 4.3 добавив пометку FW в конце.
Это еще не тот функционал, что ждут в версии 5, но изменения достаточно мощные:
реализован МЭ на основе зон;
добавлен модуль nDPI для глубокого инспектирования пакетов;
реализована синхронизация сессий в кластере при помощи сервиса conntrackd.
Проверьте свою версию S-Terra если еще не обновились, изменения в версиях 4.3.23955 и выше.
Так же, по закрытой информации, компания готовит какую-то новинку этой осенью, ждемс.
Еще ждем обещанный NGFW от С-Терра, по словам представителя компании – решение в стадии подготовки к сертификации.
Они, кстати, тоже не побоялись подискутировать на тему NGFW c конкурентами еще на стадии разработки своего продукта.
ИнфоТеКС
Пользователи VipNet наверняка знают функционал последних актуальных версий, но вот краткий список нововведений:
Поддержка новых аппаратных платформ;
Работа координаторов через TCP-туннель;
Управление видимостью узлов ViPNet, расположенных на мобильных устройствах;
Увеличено количество сетевых интерфейсов DHCP-Relay;
Настройка прямого подключения между клиентами для телефонии через веб-интерфейс.
Также компания активно дорабатывает свой Prime (это решение для замены администратора, Policy Manager , StateWatcher одним комплексом на линуксе) и делает сертификацию на 5 версию, которую также с нетерпением ждут пользователи.
TCC и Эшелон
Функционал линеек решений Diamond от ТСС и Рубикон от Эшелон достаточен для задач, где используются решения этих вендоров, сейчас они расширяют предложения в смежных направлениях ИБ.
Что интересного у Diamond? Есть много "железных" фишечек, умный SFP, интеграция с решениями IoT и АСУ ТП.
У Эшелона интересны решения Сканер ВС и SIEM система, они были сильно доработаны в этом году.
Элтекс
Элтекс увеличивает свое присутствие расширяя линейки маршрутизаторов коммутаторов и устройств умного дома.
В июне Элтекс обновил ПО для межсетевых экранов ESR ФСТЭК до версии 1.5.8:
Добавлен функционал у сервисов BGP, OSPF, MultiWan, MPLS;
Множество изменений в CLI (command line interface) мониторинге - Syslog, SNMP, NetFlow;
Добавлен функционал в фаерволле и туннелировании.
Еще Элтекс обновляет свою линейку – выходят востребованные на рынке коммутаторы с 2.5Гб интерфейсами.
Positive Technologies
PT NGFW активно анонсируется на рынке, есть даже перечень моделей с заявленными характеристиками. Они говорят о небывалой производительности своих решений: PT NGFW 3040 в режиме FW - до 160 Гбит/c.
Реализован функционал FW и IPS:
Маршрутизация трафика;
Виртуальные контексты;
Отказоустойчивый кластер;
NAT;
Журналирование.
Однако в широкие массы это решение пока не выпущено, есть только отдельные закрытые тестирования.
Фактор ТС
Решение Dionis от Фактор ТС не относится к классу NGFW, у них есть функционал FW. Их решения стабильны в отсутствии громких изменений.
В 2024 году выпущено обновление с версии 2.0-3 до 2.0-5, и хоть и поменялась самая крайняя цифра версии, список изменений растянулся на 127 пунктов и затрагивает почти все сервисы. Помимо исправлений и оптимизаций можно выделить несколько:
поддержка туннелей WireGuard;
dmvpn для mesh и mlvpn для агрегации;
reverse proxy;
сертифицированный антивирус drweb.
Нужно отметить, что данное обновление еще не сертифицировано и пока активно не устанавливается пользователями. А как мы все знаем, обещанной сертификации можно год ждать, а то и больше.
СПБ
У Квазара также нет функционала NGFW и даже нет FW и все стабильно. Его можно назвать чистый шифровальщик и ничего лишнего. С одной стороны входит нешифрованное с другой выходит шифрованное на хороших скоростях.
Заключение
Очевидно, что рынок NGFW перегрет. Но, как выяснилось, и мы что-то можем. Идет активное наращивание функционала и компетенций. Произошел колоссальный скачок за эти два года и очень много чего запланировано на 2025г. Нас снова ждет интересный новый год.