Как выбрать NGFW: критерии, которые важнее маркетинговых Гбит/с

Выбор NGFW строится не вокруг бренда, а вокруг четырёх проверяемых вещей: реальной производительности под включёнными сервисами безопасности, полноты функций, требований регулятора к конкретному проекту и совокупной стоимости владения на горизонте 3–5 лет. Межсетевой экран нового поколения, который выигрывает по паспортной пропускной способности, но проседает вдвое при включении IPS и TLS-инспекции, в проде оказывается медленнее конкурента с более скромным заголовком в даташите.

NGFW (Next Generation Firewall, межсетевой экран нового поколения) — устройство или программный комплекс, который фильтрует сетевой трафик не только по портам, протоколам и IP-адресам, как классический межсетевой экран, но и по содержимому пакетов и по приложению, которое этот трафик порождает. Ключевое отличие от обычного МЭ — глубокая инспекция пакетов (DPI), встроенная система предотвращения вторжений (IPS) и контроль приложений на уровне L7: NGFW различает не «порт 443», а конкретное приложение внутри HTTPS-сессии — мессенджер, облачное хранилище, корпоративный портал.

Разница с UTM (Unified Threat Management) в основном историческая и рыночная, а не техническая: UTM продвигался как универсальный шлюз «всё в одном» для малого и среднего бизнеса с упором на простоту настройки и невысокую нагрузку, NGFW — как решение для более высокой производительности и детальной политики безопасности на уровне приложений.

Сейчас границу чаще проводит сам вендор через продуктовую линейку: одна и та же платформа продаётся как «UTM» в младшей модели для филиала и как «NGFW» в старшей модели для периметра ЦОД. Подробный разбор класса, определение и функции — в материале «NGFW: что это и как выбрать среди российских решений».

Ниже — критерии в порядке, в котором их стоит проверять при сравнении конкретных моделей. Цифры производительности всегда запрашивайте в разрезе «с каким набором сервисов измерено» — иначе сравнение двух вендоров превращается в сравнение двух разных методик тестирования.

Набор критериев один и тот же, но их вес меняется в зависимости от того, для какой задачи выбирается межсетевой экран.

1. Определите сценарий: периметр офиса, ЦОД, филиальная сеть, замена ушедшего вендора или требование по КИИ/госсектору.
2. Запросите у вендора пропускную способность Threat Prevention (IPS + контроль приложений + антивирус) и отдельно — пропускную способность TLS-инспекции, а не только паспортную цифру межсетевого экрана.
3. Сверьте функциональный набор: IPS, контроль приложений L7, URL-фильтрация, потоковый антивирус, VPN-шлюз с поддержкой ГОСТ при необходимости.
4. Проверьте поддержку кластера HA и пропускную способность при отказе одного узла.
5. Для КИИ, ГИС и госзакупок — проверьте действующий сертификат ФСТЭК и статус в Реестре российского ПО напрямую в реестрах, а не по презентации вендора.
6. Уточните глубину логирования и способ интеграции с SIEM.
7. Узнайте частоту обновления сигнатур IPS/антивируса и SLA поддержки на инциденты.
8. Посчитайте TCO на 3–5 лет: устройство, лицензии на модули, число пользователей, продление подписки, поддержка.
9. Запросите пилот или PoC на реальном трафике организации — не на синтетическом тесте вендора.

• Вера в паспортные Гбит/с без сервисов. Решение принимается по заголовку даташита, а не по цифре Threat Prevention или TLS-инспекции — в проде устройство не тянет заявленную нагрузку.
• Недооценка стоимости и нагрузки TLS-инспекции. Расшифровка HTTPS-трафика для большинства организаций — основная нагрузка на NGFW, но при выборе на неё часто не закладывают запас производительности.
• Отсутствие кластера HA. Экономия на резервировании оборачивается остановкой всего трафика при отказе единственного устройства.
• Игнорирование требования по сертификату для КИИ. Устройство закупают, разворачивают, а затем выясняют на этапе аттестации значимого объекта, что нужного класса защиты у сертификата нет.
• Слабый роадмап и поддержка вендора. Продукт без регулярных обновлений сигнатур и с долгим SLA на инциденты быстро теряет практическую пользу как средство защиты, даже если формально остаётся межсетевым экраном.

Этот гайд разбирает общие критерии выбора класса. Сравнение конкретных российских NGFW-решений — сертификаты ФСТЭК, статус в Реестре российского ПО, заявленная производительность и позиционирование каждого вендора — собрано на странице класса NGFW.

Смежные классы периметровой защиты: IDS/IPS для обнаружения вторжений отдельно от межсетевого экрана, WAF для защиты веб-приложений, VPN и криптошлюзы для защищённых каналов и SWG для контроля исходящего веб-трафика пользователей.