Типы межсетевых экранов: пакетные фильтры, stateful, proxy, UTM, NGFW, WAF – и типы А–Д по классификации ФСТЭК

Межсетевые экраны классифицируются двумя независимыми способами: технически – по принципу работы и уровню модели OSI (пакетный фильтр, stateful, прокси, UTM, NGFW, WAF, хостовый МЭ), и нормативно – по классификации ФСТЭК России, где выделены типы А, Б, В, Г, Д и шесть классов защиты. Эти две классификации не пересекаются и отвечают на разные вопросы: техническая – «как устройство работает», нормативная – «где его разрешено применять и какому уровню требований оно соответствует».

Путаница между ними – источник самых дорогих ошибок в закупках. Формулировка «нужен NGFW типа А» звучит грамотно, но неполна: в ней не хватает класса защиты, уровня доверия и указания на то, что для NGFW действует отдельный набор требований.

Разберем обе классификации по порядку.

Техническая классификация: как устроены межсетевые экраны

🔍 Увеличить

×

Схема 1. Типы межсетевых экранов по уровню анализа трафика

Пакетный фильтр (stateless)

Решение принимается по каждому пакету отдельно, на основании заголовков: адреса источника и назначения, порты, протокол, флаги. Пакет не связывается ни с каким контекстом – фильтр не помнит, что было секунду назад.

• Плюсы: максимальная скорость, минимум ресурсов, простота.

• Минусы: не отличает ответный трафик от инициированного снаружи, обходится подделкой флагов и фрагментацией.

• Где встречается сегодня: списки доступа (ACL) на маршрутизаторах и коммутаторах, группы безопасности в облачных платформах. Как самостоятельное средство защиты периметра – практически нигде.

Межсетевой экран с контролем состояния (stateful inspection)

Ведет таблицу активных соединений. Пакет проверяется не сам по себе, а на принадлежность к легитимной сессии: ответный трафик разрешается автоматически, «безродные» пакеты отбрасываются.

• Плюсы: правила пишутся в одну сторону, устойчивость к подделке отдельных пакетов, по-прежнему высокая скорость.

• Минусы: внутри разрешенной сессии устройство слепо – что именно передается по разрешенному 443-му порту, оно не знает.

• Где встречается сегодня: базовый слой любого современного шлюза, включая NGFW. Как самостоятельное решение – в небольших сетях без требований к контролю приложений.

Шлюз сеансового уровня (circuit-level gateway)

Контролирует корректность установления сессии и ретранслирует ее, не разбирая содержимое. Классический представитель – SOCKS-прокси. Сегодня самостоятельно почти не применяется, но встречается как компонент внутри других решений.

Шлюз прикладного уровня (прокси)

Разрывает соединение: клиент подключается к прокси, прокси от своего имени – к серверу. За счет этого возможен полный разбор протокола, аутентификация пользователя, кэширование, подмена и нормализация запросов.

• Плюсы: самая глубокая проверка конкретного протокола, скрытие внутренней структуры сети.

• Минусы: нужен отдельный прокси-модуль под каждый протокол, заметные задержки, плохо переносит нестандартные приложения.

• Где встречается сегодня: явные веб-прокси, шлюзы безопасного доступа в интернет (SWG), почтовые релеи.

UTM (Unified Threat Management)

Объединение в одном устройстве межсетевого экрана, антивируса, системы предотвращения вторжений, антиспама, URL-фильтра и VPN. Появился как ответ на запрос малого и среднего бизнеса: одна коробка, одна подписка, один интерфейс.

• Плюсы: низкий порог входа, цена, простота эксплуатации.

• Минусы: модули работают последовательно и каждый заново разбирает трафик – при включении всех проверок производительность падает лавинообразно.

NGFW (межсетевой экран нового поколения)

Контроль приложений независимо от порта, идентификация пользователя и предотвращение вторжений в едином потоке обработки. Подробный разбор – в опорной статье серии.

WAF (Web Application Firewall)

Защищает конкретные веб-приложения от атак на уровне HTTP: SQL-инъекции, межсайтовый скриптинг, обход авторизации, атаки на бизнес-логику, вредоносные боты. Работает как обратный прокси перед веб-сервером и разбирает не «трафик вообще», а параметры запросов к вашему приложению.

WAF и NGFW – не конкуренты и не замена друг другу: они закрывают разные направления и в зрелой архитектуре стоят одновременно.

Хостовый (персональный) межсетевой экран

Устанавливается непосредственно на узле – как компонент операционной системы или агент средства защиты. Единственный тип, который видит трафик между соседними узлами внутри одного сегмента, куда сетевой шлюз просто не заглядывает. Основа микросегментации.

Сводная таблица

Где проходит реальная граница между UTM и NGFW

Формально наборы функций совпадают, поэтому многие вендоры называют свои UTM «межсетевыми экранами нового поколения». Отличие лежит в архитектуре обработки:

• UTM пропускает трафик через последовательную цепочку движков, и каждый разбирает поток заново. Включение четвертого модуля стоит дороже, чем третьего.

• NGFW разбирает трафик один раз (single-pass), а модули работают с результатом единого разбора и питают одну политику.

Практических следствий два. Первое – разное поведение производительности: у UTM деградация нелинейная и плохо предсказуемая. Второе – гранулярность политики: NGFW позволяет писать правила вида «пользователь → приложение → ресурс», а UTM оперирует, как правило, отдельными списками для каждого модуля.

Как это проверять измерениями, а не на слово – в статье о производительности.

NGFW и WAF: почему нужны оба

Показательно, что регулятор развел их по разным типам: WAF – это межсетевой экран уровня веб-сервера, отдельная сущность с собственными требованиями.

Нормативная классификация ФСТЭК: типы А, Б, В, Г, Д

Требования к межсетевым экранам утверждены приказом ФСТЭК России № 9 от 09.02.2016. Тип определяется не технологией, а местом применения в информационной системе.

🔍 Увеличить

×

Схема 2. Типы межсетевых экранов А–Д на схеме корпоративной сети

Один продукт может быть сертифицирован сразу по нескольким типам – например, как МЭ типов А и Б. Это нормально и указывается в сертификате.

Отдельно стоит NGFW. Для межсетевых экранов нового поколения действует самостоятельный документ – Требования по безопасности информации к многофункциональным межсетевым экранам уровня сети (приказ ФСТЭК России № 44 от 07.03.2023). В терминологии регулятора это ММЭ. Сертификат на МЭ типа А не подтверждает соответствие требованиям к ММЭ. Подробности – в статье о сертификации.

Классы защиты: вторая ось классификации

Тип отвечает на вопрос «где применяется», класс – «насколько строгие требования выполнены». Классов шесть: шестой самый низкий, первый самый высокий. Классы с первого по третий предназначены для систем, обрабатывающих сведения, составляющие государственную тайну.

Для остальных систем действует соотнесение по классу защищенности:

Для государственных и иных информационных систем госорганов, ГУПов и госучреждений классификация и это соотнесение установлены приказом ФСТЭК России № 117 от 11.04.2025, действующим с 1 марта 2026 года. Приказ дополнительно вводит требование к уровню доверия средства защиты, дифференцированное по классу системы.

Форм-факторы: в чем поставляется межсетевой экран

Третья, чисто инженерная ось выбора:

• Программно-аппаратный комплекс (ПАК) – устройство с предустановленным ПО и часто с аппаратным ускорением. Предсказуемая производительность, но привязка к жизненному циклу конкретной модели.

• Программное решение на своем оборудовании – гибкость и экономия на железе, но производительность целиком зависит от платформы, а сертификат обычно ограничивает список допустимых конфигураций.

• Виртуальный экземпляр – для виртуализированных ЦОД и филиалов без выделенного оборудования. Основной риск – конкуренция за ресурсы гипервизора.

• Облачный (FWaaS) – сервисная модель; вопросы размещения данных и соответствия требованиям нужно прорабатывать отдельно.

• Контейнерный / sidecar – для микросервисных сред, обычно в связке с микросегментацией.

Важно: сертификат ФСТЭК выдается на конкретное исполнение и конкретную версию. Виртуальный экземпляр продукта не наследует автоматически сертификат его аппаратной версии – это нужно проверять по записи в реестре.

Какой тип выбрать под задачу