Межсетевой экран (файрвол)

Межсетевой экран (файрвол, брандмауэр) — это средство контроля сетевого трафика, которое фильтрует пакеты данных на основе правил безопасности. Он располагается на границе между внутренней сетью организации и внешними сетями, пропуская только разрешённый трафик и блокируя остальной.

Принцип работы экрана — пофазинный анализ трафика: проверка адресов и портов, состояния соединений, а в современных решениях — содержимого передаваемых данных и поведения приложений. Экран выступает периметровым барьером, закрывающим сеть от несанкционированного доступа и сетевых атак.

Классический межсетевой экран фильтрует трафик по адресам, портам и протоколам, работая на сетевом и транспортном уровне. Межсетевой экран нового поколения (NGFW) дополнительно анализирует содержимое приложений, распознаёт прикладные протоколы независимо от используемых портов и встраивает функции предотвращения вторжений.

Выбор между традиционным экраном и NGFW зависит от уровня зрелости защиты организации. Для высоких требований информационной безопасности, включая соответствие требованиям к защите объектов КИИ по 187-ФЗ, чаще применяются решения класса NGFW.

По схеме размещения выделяют пограничные экраны (защита всего периметра), межсегментные (между зонами сети) и персональные (на отдельном устройстве). На уровне ядра системы может применяться фильтрация на основе OpenVPN/IPSec и средства шифрования защищённых каналов.

По реализации различают программные, аппаратные и программно-аппаратные комплексы. Для объектов с повышенными требованиями используются сертифицированные межсетевые экраны, включённые в реестр разрешённых средств защиты, с настройкой проектной документации под модель угроз заказчика.

Межсетевой экран реализует политику безопасности на границе сети: ограничивает доступ из интернета к внутренним сервисам, контролирует направления соединений, закрывает неиспользуемые порты и защищает от сканирования и несанкционированного проникновения. Дополнительно экраны используются для организации сегментации сети между подразделениями и технологическими зонами.

Журналы событий межсетевых экранов передаются в SIEM-систему, где коррелируются с данными других источников и анализируются специалистами центра мониторинга безопасности, что обеспечивает раннее обнаружение атак.

Межсетевой экран и антивирус защищают на разных уровнях. Экран фильтрует сетевой трафик, управляя потоком данных между сетями, тогда как антивирус проверяет содержимое файлов и процессы на компьютере, блокируя вредоносное ПО. Экран отвечает на вопрос «кому и куда разрешено ходить по сети», антивирус — «что можно выполнять на устройстве».

Эти средства не заменяют друг друга: комплексная защита предполагает сочетание периметровых экранов, антивирусной защиты, систем обнаружения вторжений и DLP, объединённых в единый контур мониторинга.

В государственных информационных системах межсетевые экраны применяются для защиты контуров обработки информации и сегментации сетей между различными уровнями доступа. Для таких систем обязательна сертификация применяемых средств по требованиям регулятора и организация защищённых каналов взаимодействия.

Внедрение выполняется в рамках проектирования автоматизированных систем и монтажа инженерных систем, после которого проводится аттестация объекта информатизации по требованиям безопасности информации.