Kaspersky NGFW

Работа в режиме L3 (Routing Mode)

Fail Close / Fail Open (настройка поведения устройства при высокой нагрузке)

Возможность указывать исходящий интерфейс при настройке маршрутизации

Приоритизация маршрутов (Administrative Distance)

Поддержка Fullview (маршрутизация)

ECMP (Equal-Cost Multi-Path)

BFD (Bidirectional Forwarding Detection)

Протоколы маршрутизации

Поддерживаются OSPF и BGP

Ограничения для поддерживаемых динамических протоколов

Ограниченй нет, протоколы реализованы на базе FRR

VXLAN (Virtual Extensible LAN)

LACP (Link Aggregation Control Protocol, стандарт IEEE 802.3ad/802.1ax)

Резервирование интернет-канала (ISP Redundancy)

Сколько ISP поддерживается

По количеству физических интерфейсов

Статическая балансировка трафика при использовании резервирования провайдера (ISP Redundancy)

Просмотр состояния кластера

Механизмы мониторинга физических линков при использовании ISP Redundancy

Задание приоритета для линка

Поддержка виртуальных контекстов

VRF (Virtual Routing and Forwarding)

Настройка Proxy ARP

Поведение устройства при обновлении правил / применении политики

В текущей версии vKX-8 при применении политик наблюдается зависание обработки трафика, что приводит к временной недоступности и некорректной работе NAT

Netflow (сетевой экспорт потоков)

Функционал Anti-Spoofing (защита от подмены адресов)

NTP (Network Time Protocol)

Мониторинг состояния блоков питания

Поддержка Graceful Restart для протоколов динамической маршрутизации

Выгрузка/загрузка  конфигураций в виде текстовых файлов

SNMP (Simple Network Management Protocol)

Страна происхождения производителя

Российская Федерация

Включен в реестр ПАК Минцифры

Сертификат ФСТЭК

Сертификат ФСБ

Наличие дополнительного функционала: DLP, WAF, SandBox и др.

QoS (Quality of Service, «качество обслуживания»)

Применение QoS-политик отдельно для интерфейсов

Применение QoS-политик для зон

Использование зон безопасности в политиках ACL

Использование интерфейсов в политиках ACL

Возможность включения интерфейсов в зоны

Перетаскивание элементов (Drag&Drop) при работе с объектами и политиками

Контроль состояния соединений (Stateful Inspection)

Ускорение обработки трафика

NAT-правила для определенных правил МСЭ

Расписание действия правил МСЭ

Поддержка временных правил МСЭ

Просмотр неявных правил (Implicit Rules)

Управление неявными правилами (Implicit Rules)

Счетчик срабатываний (Hit Count) для каждого правила

Поиск правил по объекту

Проверка правил на дубликаты

Объекты для создания правил

IP — host,
network,
range,
GeoIP
FQDN
Зоны
Пользователи и группы
Сервисы
Приложения — прикладные протоколы, прикладные сервисы (приложения), клиентские приложения (используемые браузеры)
Расписания —IP — host,
network,
range,
GeoIP
FQDN
Зоны
Пользователи и группы
Сервисы
Приложения — прикладные протоколы, прикладные сервисы (приложения), клиентские приложения (используемые браузеры)
Расписания — повторяющиеся, разовые
Профиль безопасности (включает в себя IDS/IPS, AV/ICAP, защиту DNS-трафика, веб-контроль)Развернуть

Блокировка по GeoIP

Наличие поля "Комментарий" на каждом правиле

Очередность выполнения NAT

DNAT -> PF(ACL) -> SNAT

Возможность выбора интерфейса, на котором будет осуществляться NAT

Преобразование исходного адреса (Source NAT)

Преобразование адреса назначения (Destination NAT)

PBR (Policy-Based Routing)

ISP Redundancy с провайдером при использовании PBR

IPS (Intrusion Prevention System)

Возможность выбора определенной группы сигнатур для защиты

Создание исключений

Создание самописных сигнатур

Наличие документации, описывающей синтаксис, используемый при написании сигнатуры

Защита от DoS

Защита от SYN-flood

Защита от HTTP-flood

Защита от ICMP-flood

"Поддержка сложных правил. Например: 1. Разрешить трафик на YouTube, но запретить оставлять комментарии 2. Разрешить трафик VK, но запретить пользоваться Multimedia"

Добавление собственных приложений

Конфигурация сервисов на определенных портах

Политика реализации Application Control

Поддерживаются списки Blacklist и Whitelist

Политика для трафика — «Неизвестный или не мог быть опознан устройством»

Существует объект приложений "Unknown". Категоризация приложений выполняется.

Страница оповещения для пользователя (блокировка)

Страница оповещения для пользователя (предупредить и продолжить)

Блокировка QUIC-протокола

Использование сторонних сигнатур Threat Feed

Условия работы антивируса

1. Контролирует TCP-трафик по протоколам HTTP, IMAP,  POP3, SMTP, включая их зашифрованные версии.
2. Для контроля зашифрованных версий требуется SSL Decryption.
3. Потоковый антивирус сравнивает SH1. Контролирует TCP-трафик по протоколам HTTP, IMAP,  POP3, SMTP, включая их зашифрованные версии.
2. Для контроля зашифрованных версий требуется SSL Decryption.
3. Потоковый антивирус сравнивает SHA2-хеш с базой данных и облачными сервисами (при наличии интеграции)
4. Объектный антивирус сканирует объекты, используя эвристический анализ на основе алгоритмов и ИИ. Может проверять содержимое архивов при настройке. 
5. Модуль проверки URL, который входит в состав модуля антивируса, проверяет репутацию URL, проверяет соответствие со списками фишинговых ресурсов на основе собственной локальной базы и облачных сервисов (при наличии интеграции) 
6. Работает по порядку URL — Объектный антивирус — Потоковый антивирусРазвернуть

Проверка скачиваемых файлов

Проверка работы антивируса по FTP

Проверка SMB

Типы файлов

Проверка файлов в архивах без паролей

Проверка файлов в архивах с паролями

Выбор действий для определенных типов файлов

Антивирусный движок

Собственный движок с использованием потокового и объектного анализа

Поддержка добавления пользовательских хешей

Поддерживаемые режимы SSL-инспекции (SSL Inspection)

IDPS, URL фильтр, AV

Поддерживаемые протоколы

TLS:
SSLv3
TLS 1.0 – 1.3

Поддержка нестандартных портов для поддерживаемых протоколов

Возможность использования сертификатов стороннего УЦ (удостоверяющего центра)

Инспектирование для отдельных пользователей

Инспектирование для отдельных сайтов

Поддержка Wildcard-сертификатов

Client-Side SSL Inspection (Outbound – инспекция исходящего SSL-трафика)

Server-Side SSL Inspection (Inbound – инспекция входящего SSL-трафика)

Использование собственных или сторонних списков URL

Тип используемой базы URL

Локальная и облачная (интеграция с KSN)

Создание пользовательских URL-категорий

Переопределение категории URL

Страница блокировки сайта в случае наличия вируса на странице (URL-категория)

Настройка доступа к определенным URL/доменам

URL Lookup (проверка принадлежности URL к определенной категории)

Страница блокировки/предупреждения

Какие списки URL использует производитель

Используются собственные списки. Актуальный список доступен по ссылке: https://support.kaspersky.ru/common/start/6105

Явный прокси-сервер (Explicit Proxy)

Прозрачный прокси (Transparent Proxy)

Авторизация Kerberos

Страница блокировки на Captive Portal

Captive Portal для авторизации на Proxy

Контентная фильтрация

Типы файлов для фильтрации

Блокировка файлов в архивах

Блокировка архивов внутри архивов

Запрет загрузки файлов

Запрет отправки файлов

Типы защищаемого трафика

Реализована через URL-антивирус и модуль IDPS. Используется проприетарный облачный список IP-адресов ботнет-сетей. Инспекция (вскрытие) трафика не требуется

Частота обновлений

Доступна настройка расписания обновлений. По умолчанию интервал составляет 120 минут

Место хранения баз

Локально

Выявление трафика RAT

Выявление обращений к вредоносными URL и доменам

Выявление IRC-коммуникаций

Защита почты

Наличие функционала MTA

Поддерживаемые протоколы

Интеграция с LDAP

VPN-клиент

Автоматическое назначение IP-адреса клиенту

Поддержка 2FA

Получение маршрутов от шлюза

Разделенный VPN-туннель (SPLIT Tunnel)

Направление всего трафика через VPN

Подключение к VIP-адресу кластера шлюзов

Операционная система для клиента

Проверка трафика на шлюзе

Проверка трафика на клиентском устройстве

Compliance Check (проверка соответствия требованиям безопасности) клиента

Алгоритмы шифрования

Поддержка изолированного сегмента для клиентов, не прошедших Compliance Check

Кастомизация портала

Типы приложений для публикации

Публикация нескольких порталов (на разных IP-адресах)

Распространение через портал Remote Access Client

Публикация собственных приложений на портале

Авторизация пользователя по сертификату

Поддержка 2FA

2FA + Remote Access VPN с клиентом

2FA + Remote Access VPN с SSL-порталом

Поддерживаемые протоколы

DPD / Tunnel Test

Инструменты диагностики VPN-соединений

Время жизни Security Association — параметр времени жизни VPN-ключей (режим КБ (килобайты), секунды/минуты)

Аутентификация

Исключение из VPN-трафика на основании сервиса

Алгоритмы шифрования

NAT-T (NAT Traversal)

PFS (Perfect Forward Secrecy)

NAT внутри VPN

VPN со сторонними вендорами

SD-WAN (Software-Defined Wide Area Network — программно-определяемая WAN-сеть)

Распределение пользователей (локальных и доменных) по каналам

Распределение трафика приложений/сайтов по каналам

Мониторинг трафика

Типы фильтров в политиках SD-WAN (Software-Defined Wide Area Network — программно-определяемая WAN-сеть)

Требования к нодам кластера

Требуются идентичные версии ПО и аппаратных платформ. Для настройки необходимы: Sync-интерфейс, сетевой шаблон управляющего узла, шаблон резервного узла кластера и синхронизация по NTP

Механизмы резервирования кластера

Используется Keepalive-протокол, сообщения которого подписываются ключом HMAC-SHA256. Доступна регулировка интервала и количества попыток синхронизации перед переключением ролей.
Дополнение: при разрИспользуется Keepalive-протокол, сообщения которого подписываются ключом HMAC-SHA256. Доступна регулировка интервала и количества попыток синхронизации перед переключением ролей.
Дополнение: при разрыве соединения по SyncLink кластер не переключается (если этот интерфейс не мониторится), пока сохраняется сетевая доступность между узлами по другим портамРазвернуть

VIP-адрес и адреса физических интерфейсов должны принадлежать одной подсети

Primary- и Secondary-адреса интерфейсов узлов кластера должны принадлежать одной подсети

Режим получения динамических маршрутов при работе в кластере

Соседство устанавливается с активным узлом кластера. У пассивного узла работа FRR заблокирована. Маршруты синхронизируются между узлами; на пассивном узле они имеют статус «N - NgfwRibSync»

Дополнительная лицензия для кластера

Кластер собирается и функционирует даже без лицензии. Однако для корректной работы всех лицензируемых модулей необходимо сначала активировать лицензии на каждом узле и только после этого приступать кКластер собирается и функционирует даже без лицензии. Однако для корректной работы всех лицензируемых модулей необходимо сначала активировать лицензии на каждом узле и только после этого приступать к сборке кластераРазвернуть

Добавление сетевых интерфейсов после сборки кластера

Поведение при отключении сетевого интерфейса

Требуется поставить интерфейс на мониторинг

GARP (Gratuitous ARP)

Время переключения между нодами

Менее 3 секунд

Синхронизация сессий

Кластер системы централизованного управления

Кластер системы централизованного логирования

Просмотр состояния кластера

Тип кластера

Active-Passive

VMAC (Virtual MAC Address — виртуальный MAC-адрес)

Количество нод кластера

2

Защита от Split brain

Выделенный сервер управления

Импорт правил/политик с локального МСЭ

Синхронизация настроек в кластере серверов управления

Установка на ВМ

Поведение МСЭ при отключении сервера управления

МСЭ продолжает обработку трафика согласно загруженной конфигурации

Экспорт и резервное копирование политик

Централизованное обновление встроенного программного обеспечения МСЭ

Наличие web-интерфейса для доступа к компонентам, включая средства управления

Передача данных между центром управления и МЭ по защищенному каналу

Выделенный сервер логирования

Режим логирования

Локально логи не хранятся, отправляются напрямую в OSMP или SIEM-систему.

Автоматическая выгрузка логов на сторонний сервер

Формат хранения логов

CEF (Common Event Format)

Аггрегации и корреляции событий в инциденты безопасности

Модули с логированием

Существует глобальная настройка логирования правил МСЭ, определяющая работу остальных модулей (логируется либо всё, либо ничего)

Выгрузка логов

Отправка логов на сторонний сервер

Типы отчетов

Через интеграцию с OSMP

Автоматические отчеты (по расписанию)

Типы логирования (вся сессия, начало сессии, выбранное кол-во пакетов и т.д.)

Начало сессии, конец сессии

Сетевые виджеты для мониторинга трафика

Системные виджеты для мониторинга состояния устройства

Виджеты безопасности для мониторинга трафика

Журналы событий в режиме реального времени

Использование пользователей из LDAP для создания политик

Права учетной записи для интеграции с LDAP

Через интеграцию с OSMP, права на чтение для журналов WinRM и структуры домена по LDAP

Поддержка более одного домена

Просмотр импортированных пользователей

Kerberos

Proxy-аутентификация 

Прозрачная аутентификация

SAML (Security Assertion Markup Language)

Защищенный протокол LDAP (Secure LDAP)

Интеграция с Radius

Протоколы аутентификации при интеграции с Radius

Использование нескольких Radius-серверов

Интеграция по протоколу ICAP с внешними системами

Возможности настройки ICAP-взаимодействия

Модули диагностики в GUI

Модули диагностики в CLI

Команды для базовой проверки работоспособности изложены в документации и доступны для исполнения. Также имеется доступ в оболочку ОС (system shell)

Доступ к логам ОС

Активация дебага отдельных модулей безопасности

Обновление кластера

Обновление кластера без простоя

Резервное копирование при автоматическом обновлении

Возможность отката к предыдущей версии

Доступ к дистрибутивам на сайте производителя

Офлайн-обновления

Обновление с web-ресурсов производителя

Обновление через систему централизованного управления

Офлайн-установка лицензии (без доступа в интернет)

API (Application Programming Interface)

Для каких модулей можно загружать политики через API

Массовая загрузка политик

Поддержка миграции с других продуктов

Варианты резервного копирования для Системы Управления

Варианты резервного копирования для NGFW

Автоматические резервные копии по расписанию

Выгрузка резервных копий на сторонний сервер

Восстановление из резервной копии NGFW

Восстановление из резервной копии Системы Управления