Классы межсетевых экранов: чем различаются и как выбрать под свою систему

Межсетевой экран стоит на границе корпоративной сети и пропускает или блокирует трафик по правилам, которые задает администратор. Если компания обрабатывает персональные данные, строит государственную систему или защищает автоматику производства, ей нужен сертификат ФСТЭК с подходящим классом. Всего таких классов шесть, и чем строже требования к защищаемой системе, тем выше ступень. Если устройство еще и шифрует трафик между офисами, ФСБ оценивает его отдельно и присваивает обозначение КС1, КС2 или КС3. Рассказываем, что означают классы межсетевых экранов, чем они отличаются от типов МЭ и как выбрать подходящий вариант.

Межсетевые экраны: классы и их назначение

Класс защиты межсетевого экрана показывает, какой набор мер безопасности подтвердила испытательная лаборатория. Чем выше класс, тем больше требований к фильтрации трафика, учету событий, защите самого устройства и поведению при сбоях. Правила описаны в приказе ФСТЭК России № 9, который действует с 2016 года.

Строго по классу выбирают в трех ситуациях: строится государственная система, обрабатываются персональные данные или защищается управление производством. Во всех трех случаях регулятор задает минимальные уровни защиты межсетевых экранов, и устройство слабее нужного уровня приемку не пройдет. Остальным компаниям класс помогает сравнивать предложения поставщиков.

Классификация межсетевых экранов по уровням защиты

МЭ делят по двум признакам: месту в сети и поколению технологии. Место определяет тип по приказу ФСТЭК: экран может работать на границе всей сети, на стыке ее сегментов, на отдельном сервере или в производственной сети. Поколение определяет глубину анализа трафика: по адресам и портам, по состоянию соединения или по содержимому и приложениям.

Типы межсетевых экранов по месту в сети

Приказ ФСТЭК № 9 делит МЭ на пять типов по тому, где они стоят, и обозначает их буквами А, Б, В, Г и Д. Для каждого типа допустимы свои способы поставки: готовое устройство, программа или оба варианта.

Для обычного офиса с серверами хватает А, Б и В, а Г нужен тем, у кого есть публичный сайт. Д относится только к промышленной автоматике. Типы межсетевых экранов комбинируют: границу закрывает А, а критичные серверы дополнительно защищает В.

От пакетных фильтров к NGFW

Поколение выбирают по задаче. Для простого разграничения хватает фильтрации по адресам, портам и состоянию соединения. Чтобы видеть приложения и проверять содержимое трафика, нужна более современная модель.

NGFW (от англ. Next Generation Firewall) дополняет фильтрацию глубоким анализом пакетов, защитой от известных атак и проверкой трафика на вредоносные программы. Их применяют, когда важно знать, какое приложение нагружает канал.

Межсетевой экран нового поколения проходит ту же сертификацию, что и обычный: при покупке сверяют набор функций и класс в сертификате. Широкий набор функций не заменяет требуемый класс: для регулируемой системы такая модель без подходящего класса не годится.

Скачать гайд

Шесть классов защиты по требованиям ФСТЭК

Классы межсетевых экранов у ФСТЭК образуют шкалу из шести ступеней: шестая самая простая, первая самая строгая. Три высшие ступени предназначены для систем с государственной тайной. Три низшие, с четвертой по шестую, подходят для коммерческих компаний и государственных систем без грифа секретности. Каждый межсетевой экран ФСТЭК получает обозначение из буквы типа и цифры класса, например А4 или Б6.

Между уровнями защиты межсетевых экранов с четвертого по шестой выбирают по категории защищаемого объекта: классу защищенности ГИС, уровню защищенности персональных данных или категории автоматики. Размер бизнеса и бюджет на выбор не влияют. Брать строже необходимого можно, но придется платить за лишние требования.

Приказ ФСТЭК № 9 вступил в силу 1 декабря 2016 года. Ранее установленные межсетевые экраны можно использовать без повторной сертификации, а новые продукты проверяют только по новым требованиям. Упоминание «класса по руководящему документу Гостехкомиссии» в документации поставщика относится к старой шкале 1997 года.

Криптографические классы КС1, КС2 и КС3

Многие МЭ совмещают фильтрацию с шифрованием каналов связи между офисами и удаленными сотрудниками. Классы межсетевых экранов по ФСТЭК эту часть не оценивают, поэтому такой продукт получает второй сертификат, уже от ФСБ, с обозначением КС1, КС2 или КС3. Обозначение зависит от возможностей предполагаемого противника.

КС1: атака снаружи

КС1 подходит, когда злоумышленник находится снаружи и не имеет доступа в помещения, где стоит оборудование. Это типичная модель для канала, который проходит через интернет. Связь КС с возможностями противника и уровнем защищенности персональных данных описана в приказе ФСБ № 378 от 2014 года, а для государственных систем действует приказ ФСБ № 524. Конкретное обозначение определяет модель угроз.

КС2: угроза изнутри организации

КС2 рассчитан на злоумышленника, который может находиться в помещениях организации, но к самому оборудованию не прикасается. Это может быть подрядчик или сотрудник другого отдела. Каждая следующая ступень шкалы рассчитана на более сильного противника, поэтому растут требования и к самому устройству, и к условиям его эксплуатации. Для заказчика это означает рост затрат на внедрение и обслуживание.

КС3: доступ к самому оборудованию

КС3 выбирают, когда злоумышленник может находиться в помещениях организации и получать доступ к самому оборудованию. Из трех классов КС3 самый строгий.

Подписка вместо покупки позволила выполнить требование КС3 без собственных шлюзов, а затраты превратились в регулярный платеж. Так строгие требования выполняются без собственной серверной инфраструктуры.

Как не ошибиться со ступенью при покупке МЭ

Классификацию межсетевых экранов по ФСТЭК и шкалу КС от ФСБ часто путают, хотя выдают их разные ведомства по разным причинам. Ошибка вскрывается на проверке, поэтому сначала стоит сопоставить две шкалы, а затем идти по шагам выбора.

Сравнение уровней защиты межсетевых экранов

Реестры ФСТЭК и ФСБ ведутся отдельно. Межсетевой экран ФСТЭК без шифрования получает документ только от этого регулятора, а шлюз шифрования без фильтрации только от ФСБ. Устройству с обеими функциями нужны оба документа, проверять их стоит отдельно.

Напрямую сравнить шкалы нельзя: обозначение А4 и класс КС3 описывают разные свойства устройства. Зато встречаются продукты с обоими подтверждениями, например модель типа А или Б четвертого класса с шифрованием КС1, КС2 или КС3. Устройство с двумя сертификатами закрывает требования и к фильтрации, и к защите канала.

Как выбрать класс МЭ для бизнеса

Каталог открывают после того, как описана защищаемая система. Четыре шага ниже ведут от категории системы к проверке документов.

1. Определите, что защищается: государственная система, персональные данные, автоматика производства или обычная сеть без регулируемых данных.
2. Найдите по категории системы минимальный класс по ФСТЭК и подберите тип: А или Б для границ сети, В — для отдельных узлов, Г — для сайтов, Д — для производства.
3. Выясните, нужно ли шифрование между площадками, и, если нужно, определите КС по модели нарушителя.
4. Запросите у поставщика сертификаты и сверьте класс, тип и срок действия с требованиями вашей системы.

Если требований регуляторов нет, обязательного класса тоже нет, и модель выбирают по задачам: контроль приложений, защита от вторжений, связь филиалов. Класс в сертификате служит дополнительным ориентиром. Перед закупкой полезно собрать у поставщика пакет документов. Четыре пункта из списка ниже показывают, что именно стоит запросить, чтобы проверка соответствия прошла без задержек.

• Копия сертификата ФСТЭК, в которой указаны ступень и тип устройства.
• Сертификат ФСБ с классом КС, если МЭ шифрует трафик.
• Сроки действия обоих документов и перечень версий продукта, на которые они распространяются.
• Описание условий эксплуатации, которые требует сертификат, включая порядок установки и настройки.

Российские МЭ и ГОСТ VPN: вклад компании «ЭЛВИС-ПЛЮС»

Компания «ЭЛВИС-ПЛЮС» входит в группу «Солар» и разрабатывает семейство продуктов «ЗАСТАВА», в которых межсетевые экраны совмещены с созданием защищенных каналов между площадками. Специалисты компании входят в число авторов протокола IPsec, на котором строятся такие каналы.

Технология VPN (виртуальная частная сеть) создает защищенный туннель через открытые сети между офисами, центрами обработки данных и удаленными сотрудниками. В российских проектах для шифрования применяют алгоритмы ГОСТ, а средство шифрования проходит сертификацию в ФСБ, по результатам присваивается КС1, КС2 или КС3.

«Ростелеком-Солар» предлагает шифрование по ГОСТ как сервис ГОСТ VPN: сертифицированные шлюзы работают на стороне провайдера, а компания получает защищенные каналы по подписке. Покупать шлюзы для этого не нужно.

Подберем класс МЭ под вашу информационную систему

Расскажите, что нужно защитить, и специалисты «Солара» подскажут тип МЭ, класс по ФСТЭК и класс КС.

Получить консультацию

АПК «ЗАСТАВА»: соответствие классам защиты

АПК «ЗАСТАВА» (аппаратно-программный комплекс) создан специалистами «ЭЛВИС-ПЛЮС» и состоит из шлюзов шифрования, клиентских приложений и системы управления. В основе лежат алгоритмы ГОСТ и протокол IPsec, а продукт совместим со сторонними средствами защиты. В линейке четыре основных компонента, и каждый отвечает за свой участок сети: от шлюза в центральном офисе до клиента на ноутбуке сотрудника. Из компонентов собирают конфигурацию под размер организации:

• «ЗАСТАВА-Управление» позволяет администрировать всю сеть шлюзов и клиентов из одной точки через браузер.
• «ЗАСТАВА-Клиент» дает удаленный доступ с Windows, Android и российских ОС Astra, «РЕД ОС», ALT.
• «ЗАСТАВА-Офис» разворачивается как программный шлюз для малых и средних офисов, в том числе на виртуальных машинах.
• Аппаратный шлюз АПК «ЗАСТАВА» шифрует каналы по IPsec и фильтрует трафик на уровнях L2 и L3.

Для «ЗАСТАВЫ» класс защиты межсетевого экрана подтверждает ФСТЭК, а шифрование подтверждает ФСБ. Линейка выпускается в исполнениях КС1, КС2 и КС3, поэтому исполнение подбирают под модель нарушителя.

От выбора класса к защищенной сети: с чего начать внедрение

Межсетевые экраны: классы по ФСТЭК определяются категорией системы, тип зависит от места установки, а КС задается моделью нарушителя. Классификация межсетевых экранов сводится к трем вопросам: какая категория у системы, где будет стоять МЭ и нужно ли шифровать трафик. Без ответа на любой из них закупка либо не пройдет проверку, либо обернется переплатой.

Внедрение АПК «ЗАСТАВА» начинается с трех документов: описания защищаемых систем, схемы площадок и модели нарушителя. По ним специалисты подбирают состав комплекса и определяют КС. Бесплатная демонстрация с экспертом «Солара» помогает увидеть конфигурацию в работе до закупки.

Посмотрите, как АПК «ЗАСТАВА» закроет требования вашей сети

Эксперт «Солара» покажет шлюзы, клиентов и централизованное управление в работе. Оставьте заявку на бесплатную демонстрацию.

Оставить заявку

Частые вопросы и ответы