Сертифицированные межсетевые экраны ФСТЭК: защита по ГОСТу и за его пределами

Сертифицированные межсетевые экраны (МЭ) — обязательный элемент защиты КИИ и ГИС, но не гарантия безопасности. Даже решения, формально соответствующие требованиям ФСТЭК, могут содержать уязвимости на уровне ОС или «доверенного» железа. Необходимо грамотно выстроить архитектуру, предусмотреть риски компрометации и исключить типовые ошибки. Cyber Media разбирает, как выстроить устойчивую защиту на базе сертифицированных МЭ, но с учетом реальных рисков, архитектурных нюансов и уязвимостей в доверенной среде.

Что такое сертифицированные МЭ и зачем они нужны

Межсетевые экраны — это базовые средства защиты периметра. Они фильтруют трафик между сегментами сети и предотвращают несанкционированный доступ. В контуре КИИ и государственных информационных систем межсетевой экран становится не просто технической мерой, а регламентированной обязанностью.

Когда речь идет о защите значимых объектов КИИ или государственных ресурсов, использовать можно только сертифицированные МЭ, то есть прошедшие аттестацию в ФСТЭК. Такой сертификат подтверждает соответствие продукту определенному профилю защиты: функционалу, устойчивости к НСД и качеству реализации механизмов безопасности.

Сертификация ФСТЭК — это не знак абсолютной безопасности, а скорее гарант того, что продукт реализует заданные функции защиты и протестирован на соответствие требованиям. Сертификат дает право использовать МЭ в защищенных системах и позволяет пройти проверки регулятора.

Наличие сертификата не означает:

• отсутствие уязвимостей в коде;
• полной защищенности от всех типов атак;
• корректной работы в любой архитектуре.

Сертифицированный МЭ может быть неправильно настроен, встроен в скомпрометированную среду или использоваться с нарушениями. Поэтому сертификат — это минимум, а не максимум. Все зависит от архитектуры и сопровождения.

Обязанность использовать сертифицированные МЭ возникает, если организация работает с объектами КИИ или внедряет ГИС выше определенного класса. Также такие решения могут требоваться при аттестации объектов информатизации или участии в госконтрактах.

Архитектура сертифицированной защиты: как проектировать с умом

Когда речь заходит о сертифицированных МЭ, проектировать «на глаз» не получится. Тут важен баланс: с одной стороны — соблюдение требований ФСТЭК, с другой — реальная устойчивость к угрозам. Добавим к этому непростую инфраструктуру, импортозамещенное ПО, кучу ограничений и получится вполне «квест» для архитектора ИБ.

Первый шаг — определить категорию защищаемого объекта. КИИ делится на три категории значимости, у ГИС — классы от 1 до 4. От этого напрямую зависят как класс защищенности, так и уровень доверия к применяемым средствам защиты. Например, для объекта 2 категории значимости по КИИ вам понадобится МЭ с сертификатом на соответствие 3 классу защиты и уровню доверия не ниже второго.

Но важен не только выбор коробки — нужно понимать, как этот МЭ впишется в общую архитектуру: где он будет стоять, какие сегменты защищать, какие интерфейсы и протоколы фильтровать, какие журналы собирать и как ими управлять. Часто ошибаются на старте — думают, что просто поставить сертифицированное решение в разрыв сети уже достаточно. Увы, это не так.

Учитывать нужно все: требования к изоляции, порядок разграничения доступа, ограничения на межсетевое взаимодействие. МЭ должен не только фильтровать трафик, но и быть корректно интегрирован с СЗИ, системой журналирования и мониторинга. Особенно если у вас в стеке еще и сертифицированные ОС или гипервизоры — из-за них могут всплыть нестандартные нюансы на уровне совместимости.

Владимир Арышев

Эксперт по комплексным проектам информационной безопасности STEP LOGIC

К вопросу безопасности необходимо подходить комплексно. Межсетевой экран является одним из «кирпичиков» системы информационной безопасности, который стоит на периметре всей сети либо отдельного сегмента и контролирует сетевой трафик.

Основная цель — разрешить только необходимые сетевые соединения и запретить все остальные. Базово, выделяется три типа сегментов: внешний (недоверенный), внутренний (доверенный) и демилитаризованная зона (ДМЗ) — буферная сеть, где размещаются системы, к которым необходим доступ из внешнего сегмента. Никаких прямых подключений из внешнего сегмента во внутренний быть не должно. Трафик из внешнего сегмента должен направляться на сервисы ДМЗ, а затем уже трафик сервисов ДМЗ контролируемо идти во внутреннюю сеть, если для этого есть веские причины. К примеру, удаленные пользователи не должны идти напрямую к корпоративным ресурсам во внутреннем сегменте, для этого в ДМЗ располагаются терминальные серверы, пользователи подключаются непосредственно к ним и только затем попадают во внутреннюю сеть.

Для внутренней сети необходимо выполнить сегментацию: выделить из общей сети отдельные сегменты, терминировать их на межсетевом экране и настроить правила доступа между ними. Цель сегментации — в случае компрометации одного сегмента затруднить распространение атаки на другие.

Кроме того, современный межсетевой экран обладает рядом функций, обеспечивающих глубокую инспекцию трафика: SSL-инспекция для анализа зашифрованного трафика, IPS для выявления и предотвращения сетевых атак, потоковый антивирус для блокировки известных вредоносов. Ряд межсетевых экранов способен отправлять проходящий через них трафик на анализ в сторонние системы, например, в песочницу, которая выявит угрозы «нулевого дня» путем запуска файлов в изолированной среде.

Для самого межсетевого экрана необходимо настроить его собственные функции безопасности, например, использовать сложные пароли, ограничить административный доступ только с выделенных устройств администраторов, отключить неиспользуемые сервисы, отслеживать выход обновлений и патчей, чтобы вовремя закрывать новые уязвимости.

Хорошая архитектура — это не просто набор правильных компонентов, а четко выстроенная логика взаимодействия. Она должна не только соответствовать требованиям профиля защиты, но и работать устойчиво, с учетом реальных угроз, а не только регуляторных галочек.

Угрозы в доверенной среде: что делать, если ОС и гипервизор скомпрометированы

Сертифицированный МЭ — не магический щит. Он отлично справляется с фильтрацией трафика, но если под капотом все плохо — не спасет. Когда скомпрометирована сама доверенная среда, в том числе гипервизор или ОС, риски растут кратно. Особенно если доступ получает привилегированный инсайдер или внешняя угроза, обошедшая внешние периметры.

На практике это выглядит так: администратор с рут-доступом может не только читать трафик, но и менять конфигурации, обходить МЭ, внедрять бэкдоры или подменять логи. Причем незаметно для внешнего контроля. Все, что происходит внутри хоста, становится невидимым — особенно если система виртуализирована и границы между уровнями доступа размыты.

Дмитрий Сатанин

Директор по информационной безопасности «Группы Астра»

В области защиты информации какой-то одной волшебной пилюли нет. Каждый механизм, процесс и средство имеют свои назначение и ограничения. Это касается и межсетевых экранов: они не могут защитить от воздействий, которые вписываются в правила фильтрации (не нарушают их). Ранее каноническим примером был открытый 80-й порт, то есть МЭ «пропускал» все компьютерные атаки, для проведения которых используется протокол HTTP.

С появлением NGFW ситуация существенно улучшилась, но до конца не была решена, так как остается возможность использования уязвимостей нулевого дня. Аналогичные рассуждения применимы и для ситуации компрометации доверенной среды на уровне гипервизора или ОС: если тактика и техника соответствующей атаки не нарушает правил фильтрации или нет технической возможности их настроить соответствующим образом, то межсетевой экран не поможет.

Вот типовые векторы угроз:

• атаки через гипервизор, например, side-channel или уязвимости в управлении памятью;
• внедрение зловреда в доверенную ОС с возможностью подмены библиотек и драйверов;
• использование встроенных инструментов администрирования — от iptables до systemd — для обхода политик;
• удаленное подключение по легитимным каналам с привилегиями root/admin.

Фокус в том, что все это может происходить внутри защищенного периметра, уже за сертифицированным МЭ. То есть, сам межсетевой экран в этой истории ни при чем: он не видит, что происходит за его спиной.

Марат Хакимьянов

Ведущий инженер компании «Газинформсервис»

Сегментация сети сильно поможет в защите от НСД, поскольку злоумышленник не сможет пройти в другие сегменты и развить успех. Если же мы говорим не просто о МЭ, а об NGFW, модуль IPS вполне сможет выявить часть подозрительных действий. Сканирование сети, множественный брутфорс УЗ — и МЭ распознает эти действия как атаку. Конечно, NGFW сильно ограничен своим расположением, и для более эффективного анализа лучше также применять решения класса NTA/NDR.

Если говорить об унифицированных практиках защиты, то, конечно, в первую очередь в голову приходит концепция Zero Trust. Она включает в себя совместное использование множества средств защиты, а главный ее принцип «Запрещено все, что не разрешено».

Межсетевой экран — один из ключевых компонентов Zero Trust, который включает следующие функции:

• Микросегментация сети. У администраторов должна быть возможность гранулярно управлять доступом в сети.
• Непрерывный сетевой мониторинг. Все подозрительные действия пользователей, если они выходят за пределы своей подсети, должны проверяться по базе сигнатур IPS на соответствие атакам. Также у многих NGFW есть собственные модули для поведенческого анализа трафика.
• Принцип минимальных привилегий. У пользователя должны быть доступы только к тем сегментам, которые нужны ему сейчас для работы. Во всех остальных случаях идем по алгоритму: заведение заявки на доступ -> рассмотрение админами МЭ -> написание временного (!) правила МЭ.

Сертификация — это база. Но настоящая защита начинается с проектирования и реалистичной модели угроз. Особенно если угрозы уже внутри.

Типовые ошибки при внедрении: формально соответствует, но небезопасно

Сертифицированный МЭ — это только половина дела. Вторая половина — как его внедряют. И тут все не так однозначно: система может выглядеть по бумаге отлично, соответствовать профилю защиты, но при этом быть уязвимой в реальной эксплуатации. Потому что «сертифицировано» ≠ «безопасно».

Одна из типичных ошибок — это нарушения в схемах межсетевого взаимодействия. Проблема заключается в неправильной сегментации зон и наличии неконтролируемых маршрутов. В результате трафик между защищенной и внешней сетью может идти напрямую, а межсетевой экран фактически становится «прозрачной стенкой», не обеспечивая нужного уровня защиты.

Николай Спирихин

Руководитель Центра компетенций сетевой безопасности «Софтлайн Решения» (ГК Softline)

К типовым ошибкам можно отнести неиспользуемые открытые порты и протоколы, которые могут содержать уязвимости. Для устранения этого риска следует применять практику «запрещено всё, что не разрешено».

Другой распространенной проблемой является грануляция уровней доступов пользователей в зависимости от функций администратора и наблюдателя не только в используемых средствах защиты информации, но и в серверах журналирования и смежных объектах защиты инфраструктуры. Подобные меры позволяют минимизировать кросс-сетевое взаимодействие и потенциально вредоносное горизонтальное перемещение по сети.

Другая серьезная уязвимость — устаревшие или избыточные политики доступа. Обычно это связано с тем, что используются старые шаблоны, не соответствующие текущей ИТ-инфраструктуре. В результате межсетевой экран либо разрешает избыточный трафик, создавая лазейки для атак, либо блокирует важные каналы, мешая работе. При этом правила доступа часто не пересматриваются и не актуализируются.

Наконец, важную роль играет соответствие конфигурации профилю защиты. Если фактическая архитектура не соответствует утвержденной модели, появляются неучтенные шлюзы, VPN-соединения и точки подключения. В таком случае профиль защиты превращается в формальность и не отражает реальное состояние системы безопасности.

Главное: даже если все формально соответствует, нужно проверять, как работает система в реальности. Насколько легко обойти политику. Кто имеет доступ к журналам. Что происходит при сбое или перезагрузке. Без этого сертификация становится просто галочкой, а не гарантом безопасности.

Что еще важно: процессы, люди и реальный контроль

Сертифицированный МЭ это стартовая точка. А настоящая безопасность начинается не с покупки «коробки», а с того, что происходит после: как МЭ внедряют, кто с ним работает и как выстроены процессы.

Сертификация — не гарантия, а рамка. Она задает минимальные требования, но не учитывает все особенности конкретной инфраструктуры. В ней не прописано, кто именно в вашей организации сможет получить доступ к панели управления, как вы будете обновлять прошивки или что делать, если один из интерфейсов «забудут» отключить. Поэтому сертификацию нужно воспринимать как основу, а не как финишную прямую.

Без постоянной проверки межсетевое взаимодействие быстро превращается в хаос. Особенно если ИТ-инфраструктура активно развивается. Внешний аудит помогает увидеть уязвимости, которые изнутри могут быть не столь очевидны. И главное — проводить его не «для отчетности», а по-настоящему.

Администратор с некорректными правами может случайно или намеренно открыть все подряд. Или оставить дефолтные пароли. Или забыть отключить ненужный интерфейс. Квалификация и осознанность — важнее любой сертификации. Особенно если речь идет о защите КИИ и ГИС.

Можно сколько угодно инвестировать в лицензии и «соответствие требованиям», но если в организации безопасность воспринимается как обуза, толку от этого мало. Настоящая защита — это не только МЭ и политика доступа, а общая культура, в которой каждый понимает: защита — это не просто чья-то работа, это часть процессов.

Системы работают как люди, которые их настраивают. А значит, доверие к технологии начинается с доверия к тем, кто с ней работает.

Заключение

Сертифицированный межсетевой экран — это не защита от всех угроз. Он важен, особенно когда вы работаете с КИИ и ГИС, но сам по себе он не решает все. Угрозы могут прийти не только извне, но и изнутри — из уязвимостей доверенной среды, из ошибок в конфигурации, из действий администратора.

Реальная защита — это не просто соответствие профилю. Это продуманная архитектура, регулярный аудит, грамотные люди и процессы, в которых безопасность — не формальность, а ежедневная практика.

Так что, если вы на этапе проектирования или пересмотра защиты — начните с вопросов. Что именно защищаем? От кого? Кто отвечает за конфигурацию? Кто проверяет? И что будет, если что-то пойдет не так? А сертификат — это шаг. Без него нельзя. Но и с ним — недостаточно для обеспечения полноценной защиты ресурсов.