Типы межсетевых экранов: классы защиты, как выбрать, классификация ФСТЭК

Межсетевой экран остается базовым элементом защиты сетевого периметра организации, но под этим названием скрываются разные по возможностям решения. Одни продукты просто сверяют порты и адреса, другие анализируют содержимое трафика и поведение приложений. В статье расскажем, какие типы межсетевых экранов существуют, чем они различаются по классам защиты и архитектуре и как выбрать решение под задачи компании.

Что такое межсетевой экран и зачем его делят на типы

Межсетевой экран (далее МЭ) — это аппаратно-программное или программное средство, которое фильтрует сетевой трафик по заданным правилам безопасности. Он работает как управляемая граница между сегментами с разным уровнем доверия. Разрешенные соединения проходят, остальные блокируются. Решение также называют фаерволом, или межсетевым экраном типа firewall, и оно может отделять один филиал от другого или локальную сеть компании от интернета.

Базовый вариант контролирует сетевые соединения и сам по себе не заменяет антивирус, систему предотвращения вторжений или средства шифрования. В комплексных решениях, включая NGFW, часть этих функций может быть встроена в один продукт. Проверка обычно учитывает IP-адреса, порты и протоколы, а решения с более глубоким анализом дополнительно отслеживают состояние соединения или содержимое пакета. От выбранного уровня анализа зависят конкретные возможности решения и его место в архитектуре сети.

Разделение на типы возникло из-за того, что задачи бизнеса сильно различаются по масштабу и специфике трафика. В небольшой сети значительная часть межсетевого контроля может быть сосредоточена на периметре. В распределенной инфраструктуре дополнительно нужна сегментация и защита отдельных узлов, а веб-приложения требуют своих правил фильтрации. Поэтому вендоры выпускают разные продукты под общим названием «межсетевой экран».

Тип экрана определяет возможности защиты

Межсетевой экран остается фундаментом сетевой безопасности, но выбор конкретного типа определяет, какие сетевые события и типы трафика решение может контролировать и блокировать. Ошибка в выборе оставляет часть трафика без контроля, поэтому оценку стоит начинать с задач сети, а не с характеристик конкретного продукта.

Команда Solar

Сколько типов МЭ регламентировано?

Федеральная служба по техническому и экспортному контролю установила отдельную классификацию межсетевых экранов по месту и уровню их применения в информационной системе. Требования ФСТЭК выделяют пять типов, каждый из которых соответствует определенному сценарию использования средства защиты. В классификации ФСТЭК России типы межсетевых экранов обозначаются буквами от А до Д.

А — решение сетевого уровня для установки на физической границе ИС или между физическими границами ее сегментов. Имеет программно-техническое исполнение.
Б — средство для логических границ информационной системы или ее сегментов. Может иметь программное или программно-техническое исполнение.
В — программное решение для защиты отдельного узла ИС, например рабочего компьютера сотрудника.
Г — средство защиты веб-серверов и веб-приложений, которое контролирует и фильтрует HTTP-трафик на сервере либо на физической границе соответствующего сегмента.
Д — решение для промышленных сетей АСУ технологическими и производственными процессами, предназначенное для контроля и фильтрации промышленных протоколов передачи данных. Может иметь программное или программно-техническое исполнение.

Тип МЭ сам по себе не определяет строгость требований, за это отвечает класс защиты. Прежде чем сравнивать их, полезно увидеть архитектуру защиты на примере распределенной сети.

Изучите архитектуру АПК «ЗАСТАВА» в деталях. Скачайте презентацию и посмотрите, как устроены шифрование каналов, отказоустойчивость и централизованное управление решением.

Классы защиты

ФСТЭК России установила шесть классов защиты: от 6-го до 1-го. Чем меньше номер, тем строже требования. Для типов А, Б и В предусмотрены все шесть классов, для типов Г и Д — только 4, 5 и 6. Нужный класс определяют с учетом вида информационной системы, модели угроз и нормативных требований. Межсетевые экраны 1–3-го классов используют в системах, где обрабатываются сведения, составляющие государственную тайну.

Для каждого сочетания типа и класса предусмотрен свой профиль защиты. Он уточняет, каким требованиям должен соответствовать межсетевой экран. Всего таких профилей 24: по шесть для типов А, Б и В и по три для Г и Д. Профили 4–6-го классов опубликованы открыто, а материалы по 1–3-му классам предоставляются в порядке, установленном ФСТЭК России.

межсетевые экраны типа firewall и принципы фильтрации трафика

Как межсетевые экраны анализируют трафик

Если классифицировать МЭ по принципу и глубине анализа трафика, получится другая система. Основные типы межсетевых экранов различаются от простой проверки заголовков пакетов до анализа состояния соединений, приложений и пользователей. Все пять моделей иногда объединяют понятием межсетевые экраны типа firewall, хотя их возможности заметно различаются. Такая классификация описывает технические принципы работы и не совпадает с типами А — Д ФСТЭК, рассмотренными выше.

Пакетные фильтры (Packet Filtering)

Пакетный фильтр представляет собой самый ранний и самый простой тип МЭ. Он проверяет заголовок каждого пакета, сравнивая адрес отправителя, адрес получателя, порт и протокол с заданными правилами. Проверка не учитывает состояние соединения, поэтому каждый пакет оценивается независимо от предыдущих в той же сессии.

Поскольку статический пакетный фильтр не отслеживает состояние соединения, его возможности проверки контекста ограничены. Для защиты от подмены адресов дополнительно применяют корректно настроенные правила фильтрации и механизмы антиспуфинга. Сегодня пакетную фильтрацию редко используют как единственную защиту, но она остается базовым слоем почти в любом современном решении, включая маршрутизаторы.

Шлюзы сеансового уровня (Circuit-Level Gateways)

Решение оценивает трафик на уровне всей сессии. Перед тем как разрешить обмен данными, оно проверяет процесс установления TCP-соединения, включая обмен служебными флагами между сторонами. После успешного установления соединения шлюз передает трафик дальше.

У шлюзов сеансового уровня есть существенное ограничение: они не анализируют содержимое передаваемого трафика после создания сессии. Классическим примером такой архитектуры можно считать SOCKS-прокси, который обеспечивает посредническую передачу соединений без проверки данных на уровне приложения.

Прокси-серверы (Application-Level Gateways)

Шлюз прикладного уровня или прокси-сервер действует как посредник между клиентом и сервером на уровне конкретного приложения. Он полностью разрывает исходное соединение и устанавливает новое от своего имени, поэтому может анализировать команды и данные поддерживаемого прикладного протокола, если трафик доступен для такой проверки. Благодаря этому прокси-сервер применяет детальные политики для конкретного протокола, например разрешает одни HTTP-методы и блокирует другие.

Глубокий анализ на уровне приложения требует больше ресурсов и может увеличивать задержку. Каждое соединение обрабатывается прокси-сервером отдельно, а для разных протоколов нужны собственные механизмы контроля. Поэтому такие решения чаще применяют там, где детальный анализ содержимого важнее максимальной скорости обработки трафика.

Межсетевые экраны с инспекцией состояния (Stateful Inspection)

Инспекция состояния соединения появилась как компромисс между скоростью пакетного фильтра и контекстом прокси-сервера. Экран этого типа ведет таблицу активных сессий и оценивает каждый пакет с учетом уже установленного соединения. Ответный трафик может быть разрешен на основании записи о ранее установленной сессии, если он соответствует правилам безопасности.

Такой подход на долгие годы стал отраслевым стандартом для защиты периметра, потому что сочетал приемлемую скорость обработки с достаточным контролем сетевых параметров. Экран с инспекцией состояния по-прежнему работает преимущественно на сетевом и транспортном уровнях и разбирает содержимое приложений менее глубоко, чем прокси-сервер или решение нового поколения. В некоторых сценариях базовые задачи фильтрации трафика закрывает именно такое решение.

Межсетевые экраны нового поколения (NGFW)

Межсетевой экран нового поколения добавляет к фильтрации по адресам и портам анализ содержимого и контекста сессии. Набор функций аналитическая компания Gartner впервые описала в 2009 году, выделив три обязательных компонента:

Функции традиционного межсетевого экрана.
Встроенная система предотвращения вторжений (IPS).
Распознавание приложений независимо от используемых портов и протоколов.

Сравнение подходов к фильтрации трафика

У каждого из пяти рассмотренных типов межсетевых экранов свои сильные стороны, поэтому сравнивать их удобнее по одинаковым параметрам. Ниже сведены уровень анализа трафика, особенность работы и задачи, для которых конкретный тип подходит лучше всего.

Технология	Уровень анализа	Особенность	Где применяется
Пакетный фильтр	Заголовок пакета: адрес, порт, протокол	Каждый пакет проверяется отдельно, без учета состояния соединения	Базовая фильтрация трафика, в том числе в маршрутизаторах и сетевых устройствах
Шлюз сеансового уровня	Процесс установления сессии	Контролирует установление соединения, но не анализирует его прикладное содержимое	Проксирование соединений и контроль сетевых сессий
Прокси-сервер	Содержимое на уровне приложения	Анализирует трафик конкретного прикладного протокола	Контроль HTTP, FTP, почтового и другого прикладного трафика
Инспекция состояния	Пакет в контексте установленной сессии	Учитывает состояние и параметры соединения	Контроль трафика на сетевом периметре и между сегментами
NGFW	Приложения, пользователи и контекст соединения	Совмещает межсетевое экранирование с IPS и контролем приложений	Сети, где требуется более глубокий контроль приложений, пользователей и угроз

Как выбрать тип межсетевого экрана для компании

Выбор начинается с модели угроз и архитектуры конкретной сети. Стоит оценить количество рабочих мест и филиалов, наличие DMZ и веб-сервисов, которые нужно защищать отдельно, а также присутствие промышленных систем. Чем больше в сети приложений, удаленных пользователей и разнородных сегментов, тем выше потребность в идентификации и предотвращении вторжений.

Отдельно учитывают требования регуляторов, если компания работает с ГИС, ИСПДн или объектами КИИ. В этих сценариях применимые нормативные документы определяют, каким требованиям должен соответствовать МЭ. После этого выбирают подходящее решение с учетом класса защиты, типа межсетевого экрана и других параметров.

Подберите защиту под масштаб и задачи компании

Сопоставьте требования к площадкам, производительности и защите каналов связи с подходящим исполнением АПК «ЗАСТАВА» вместе с экспертом Solar.

Требования ФСТЭК и ФСБ к межсетевым экранам в России

Для регулируемых информационных систем требования к межсетевому экрану зависят от вида системы, ее класса или категории, модели угроз и применимых нормативных документов. С 1 марта 2026 года для ГИС и ряда других государственных информационных систем действует приказ ФСТЭК России № 117. Для ИСПДн применяются требования приказа № 21, для АСУ производственными и технологическими процессами — № 31, для значимых объектов КИИ — № 239.

При выборе средства защиты проверяют несколько параметров:

Класс защиты и уровень доверия межсетевого экрана.
Соответствие требованиям конкретной информационной системы и нормативным документам.
Необходимость применения криптографической защиты и сертифицированного СКЗИ.
Срок действия сертификатов и их применимость к выбранному исполнению продукта.

Если нормативные документы предусматривают применение СКЗИ, дополнительно учитывают наличие сертификата ФСБ России и соответствие класса криптографического средства установленным нормам. Сертификаты ФСТЭК и ФСБ подтверждают разные характеристики защиты и рассматриваются с учетом задач конкретной ИС.

сертификаты межсетевых экранов ФСБ и ФСТЭК

Российское решение с функциями VPN и МЭ

АПК «ЗАСТАВА» — это российский комплекс, который сочетает функции VPN и межсетевого экрана в одном устройстве и работает на криптоалгоритмах ГОСТ. В основе решения лежит шифрование трафика по протоколам IPsec и IKEv2 с использованием российских алгоритмов «Магма» и «Кузнечик». Распределенные межсетевые экраны выполняют пакетную фильтрацию на уровне L3 с поддержкой фрагментированных пакетов, сессий и функций NAT.

Отдельные исполнения сертифицированы ФСТЭК России по 4-му классу защиты межсетевых экранов типа «А» с 4-м уровнем доверия, а также ФСБ России как СКЗИ классов КС1 — КС3. Благодаря этому решение можно применять для защиты ГИС, ИСПДн и значимых объектов КИИ, включая ГИС 1-го класса защищенности и объекты КИИ 1-й категории.

В состав АПК «ЗАСТАВА» входят пять основных компонентов под разные сценарии развертывания — от централизованного управления и защиты распределенной инфраструктуры до организации удаленного доступа и типовых рабочих мест. Модульная архитектура позволяет подобрать состав решения с учетом масштаба инфраструктуры и задач конкретных площадок.

«ЗАСТАВА-Управление» задает политики безопасности на уровне бизнес-объектов и ролей через веб-интерфейс.
Аппаратные комплексы «ЗАСТАВА-150/1500/6000/10000» используются для защиты площадок с разными требованиями к производительности.
«ЗАСТАВА-Клиент» обеспечивает защищенный удаленный доступ с устройств под управлением Windows, Android и российских ОС: Astra Linux, «Ред ОС», «Альт» (BaseALT).
«ЗАСТАВА-Офис» представляет собой программный шлюз для подключения средних и малых офисов.
«ЗАСТАВА-ТК» используется как готовое типовое рабочее место для ГИС и МИС.

Отказоустойчивость заложена в архитектуре под конкретные сценарии. Для site-to-site VPN между площадками предусмотрен отказоустойчивый режим Active-Passive, а для защищенного удаленного доступа возможно масштабирование шлюзов в режиме Active-Active с распределением нагрузки.

В проектах заказчиков один сервер «ЗАСТАВА-Управление» контролирует защищенную сеть более чем из 10 000 агентов «ЗАСТАВА». Решение позволяет снизить TCO на 10–15%, при этом нет доплат за количество туннелей, соединений или серверов управления.

Готовое решение для российской инфраструктуры

Класс и тип межсетевого экрана определяют архитектура сети, характер трафика и применимые нормативные требования. Для регулируемой инфраструктуры выбор сужается до сертифицированных решений нужного класса. В таких случаях подходящим вариантом становится АПК «ЗАСТАВА» — комплекс, изначально спроектированный под совместное выполнение требований ФСТЭК и ФСБ. Сравнить конкретное исполнение с задачами вашей сети поможет эксперт Solar.

Оцените «ЗАСТАВУ» на практике

Посмотрите, как АПК «ЗАСТАВА» сочетает защиту каналов связи, фильтрацию трафика и централизованное управление в инфраструктуре компании.

Частые вопросы и ответы

Что такое межсетевой экран и какие типы МЭ существуют?

Межсетевой экран контролирует сетевой трафик по заданным правилам. По принципу работы выделяют пакетные фильтры, шлюзы сеансового уровня, прокси-серверы, межсетевые экраны с инспекцией состояния и NGFW, а ФСТЭК устанавливает типы А — Д по месту применения.

Где применяются различные типы межсетевых экранов?

Пакетную фильтрацию используют для базового сетевого контроля, межсетевые экраны с инспекцией состояния — для учета состояния соединений, прокси — для прикладного контроля, а NGFW — для более глубокого анализа приложений и угроз.

Как выбрать подходящий тип межсетевого экрана для компании?

Выбор зависит от модели угроз, архитектуры сети и требуемой глубины контроля. Для ГИС, ИСПДн и объектов КИИ требования ФСТЭК дополнительно определяют требования к типу, классу и уровню доверия МЭ.

Сколько стоит внедрение межсетевого экрана и от чего зависит бюджет?

Стоимость рассчитывается индивидуально и зависит от масштаба сети, требуемой пропускной способности и класса защиты. Для АПК «ЗАСТАВА» совокупная стоимость владения в среднем ниже рыночной на 10–15%.

Какие российские межсетевые экраны соответствуют требованиям ФСТЭК и ФСБ?

Отдельные исполнения АПК «ЗАСТАВА» сертифицированы ФСТЭК России как МЭ типа А 4 класса и имеют 4-й уровень доверия, а продукты семейства сертифицированы ФСБ России как СКЗИ классов КС1 — КС3.

Как быстро можно развернуть пилотный проект межсетевого экрана?

Срок пилотного проекта согласовывается индивидуально с учетом масштаба сети и задач проверки. Перед внедрением можно провести демонстрацию по ВКС или нагрузочное тестирование.