Во многих небольших и средних компаниях интернет приходит в офис напрямую через роутер провайдера, а дополнительное защитное устройство не используется, потому что «в роутере есть файрвол». Но если компьютеры, серверы, камеры и гостевые устройства находятся в одной сети, а сотрудники подключаются удалённо, этого недостаточно. В статье разбираем, на что смотреть малому и среднему бизнесу при выборе межсетевого экрана.
Почему встроенного в роутер файрвола мало?
Базовый межсетевой экран роутера отсекает нежелательные входящие соединения, но не анализирует исходящий трафик на уровне приложений, не блокирует вредоносные сайты и известные схемы атак, не позволяет разделить сеть на сегменты с правилами между ними и не ведёт подробных журналов. Корпоративный межсетевой экран позволяет управлять всем этим из одной точки.
6 критериев выбора
- Число пользователей и устройств: учитывайте не только текущее количество, но и ожидаемое через два-три года.
- Реальная производительность: максимальное значение в спецификациях часто измеряется с выключенными функциями защиты. Сравнивайте с вашей скоростью интернета значение при включённых предотвращении вторжений, веб-фильтре и антивирусе.
- Потребность в VPN: количество удалённых сотрудников и связей между филиалами определяет нужную ёмкость VPN. Ищите поддержку MFA для входа по VPN.
- Лицензии на сервисы безопасности: предотвращение вторжений, веб-фильтр, антивирус и подобные сервисы обычно работают по годовой подписке.
- Управление и отчётность: важно, кто ведёт правила, где и сколько хранятся журналы и насколько понятны отчёты.
- Непрерывность: если отключение интернета останавливает работу, планируются две линии и при необходимости второе устройство для отказоустойчивости.
Общая рамка по масштабу
Границы ниже условны и меняются в зависимости от списка требований.
- Небольшой офис (примерно до 25 пользователей): настольное UTM-устройство, одна или две линии интернета, базовый VPN и веб-фильтр часто достаточны.
- Средний масштаб (примерно 25–100 пользователей): устройство для стойки, две линии, правила между офисной, камерной и гостевой сетями, VPN по пользователям и централизованное журналирование.
- Компания с филиалами или производство: два устройства для отказоустойчивости, VPN между площадками, отделение производственной сети (станки, ПЛК) от офисной и передача журналов в центральную систему мониторинга (SIEM).
Лицензии и полная стоимость
Стоимость межсетевого экрана — это не только цена устройства. Лицензии на сервисы безопасности продлеваются ежегодно; у многих производителей по окончании лицензии устройство продолжает работать как базовый файрвол, но постоянно обновляемые сервисы защиты отключаются. Поэтому предложения стоит сравнивать по полной стоимости минимум за три года: устройство, продления, внедрение и сопровождение. Состав услуг и стартовые цены — в статье о ценах на кибербезопасность.
Частые ошибки при настройке
- правило «разрешить всё», добавленное на время перехода и забытое навсегда,
- интерфейс управления открыт в интернет и используется со стандартной учётной записью администратора,
- прошивка никогда не обновляется,
- журналы не ведутся или ведутся, но никто их не читает,
- пользователи VPN имеют доступ ко всей сети, MFA не включена.
Подготовка к правильному выбору
Если до запроса предложений подготовить эти данные, выбрать подходящее устройство проще: список пользователей и устройств, скорости интернет-каналов, число удалённых сотрудников и филиалов, критичные приложения (ERP, бухгалтерия, облачные сервисы) и текущая схема сети. Межсетевой экран — одна из основ подхода Zero Trust; полную ценность он даёт вместе с сегментацией сети и аутентификацией.
После установки: первые 30 дней
- В первые недели правила сверяются с реальным трафиком, слишком широкие разрешения сужаются.
- Назначается регулярное окно обновления прошивки.
- Конфигурация сохраняется в резервную копию и обновляется после каждого значимого изменения.
- Еженедельно просматриваются отчёты: заблокированные угрозы, самые «шумные» устройства, VPN-сессии.
- Учётные записи администраторов делаются персональными, вход в управление защищается MFA.
Частые вопросы
Какой бренд межсетевого экрана вы рекомендуете?
Бренд выбирают по списку требований, реальной производительности, стоимости лицензий и наличию местной поддержки. Утверждать, что один бренд лучший для всех компаний, было бы неверно.
Что будет, если не продлить лицензию?
У многих производителей устройство продолжит работать как базовый файрвол, но постоянно обновляемые сервисы — предотвращение вторжений, веб-фильтр — отключатся, и защита ослабнет.
Нужен ли межсетевой экран, если мы пользуемся облачными приложениями?
Да. Выход офисных устройств в интернет, трафик между сегментами и удалённый доступ по-прежнему идут через офисную сеть. Дополнительные меры для облачных приложений дополняют эту защиту, но не заменяют её.
Чтобы вместе определить подходящий масштаб для вашей компании, посетите страницу кибербезопасность и Zero Trust и запросите бесплатное предложение.