Результаты независимого тестирования NGFW

Анонсы только на активной ноде. На резервной служба bird не активна

Трафик блокируется. Тест с дефолтной конфигурацией антиспуфинга

OSPF, BGP

В ходе тестирования ограничений не выявлено. Используется bird 2.13.1. Можно использовать стороннюю документацию для этой версии службы

По количеству физических интерфейсов типа "Внешний"

ICMP Probing

Работает автоматический (NAT), ручные записи не работают

В зависимости от настроек: разрывает сессии или сохраняет текущие сессии

IP host, IP range, IP-сеть, Сервисы и порты, Протоколы, Приложения, Группы, Страны, Пользователи (локальные и доменные)

Используется политика NAT. Правила обрабатываются по порядку сверху вниз, правила DNAT имеют приоритет

Blacklist, Whitelist

Определяется последующим правилом для данного трафика

Проверка только трафика инспектируемого SSL Inspection, протоколы HTTP и HTTPS

Более 40 типов файлов

Проверка по хешам

Антивирус, web-категоризация, Feeds, ICAP Client

HTTPS

Да, обновление в ручном или автоматическом режиме

Локальная

SkyDNS, TI feeds (Kaspersky, КБ, ЦБ, RST)

Антивирус, TI Feeds, Категоризация сайтов, ICAP-client, Авторизация пользователей

Больше 40 категорий, блокируемых по расширениям и MIME-type. Предустановленные группы файлов (Исполняемые файлы, Архивы, Видеофайлы, Аудиофайлы, Flash-видео, Active-X, Torrent-файлы, Документы). Работа по фильтрации HTTPS-трафика по данному типу категорий возможна только при его расшифровке

Пользовательский трафик, трафик опубликованных серверов

Динамично: от нескольких раз в день до нескольких раз в неделю

Загружаются с сервера обновлений, хранятся локально на ЦУС

TLS ГОСТ

Windows, Linux, Android, iOS, MacOS, Аврора

Через дистрибутив или сайт

ГОСТ

Реализовано через интеграцию с мультифактор.ру и Avanpost MFA+. Поддерживаются только Push-уведомления

Проприетарный протокол

Диагностика сети (ping, tracert, arp), просмотр соединений, командная строка (netstat, tcpdump и др.), запись дампа трафика на носитель, вывод виджета VPN-соединения со статистикой в dashboard

ГОСТ

Требуется одинаковое оборудование (модель, ОС, патчи)

Проприетарный протокол

Переключение мастер-ноды

Менее 1 секунды

При параметрах по умолчанию: до 50 icmp пакетов; есть настройки, позволяющие изменить периодичность проверки работоспособности канала

Active-Passive

2

Продолжит работу

Локально, централизованно

Логи хранятся в БД. Есть возможность выгрузки в виде файлов xls, csv, json через интерфейс мониторинга, csv и txt через локальное меню ЦУС

Компоненты — Web/FTP-фильтрация, КП, межсетевой экран, VPN, СОВ, МПА, приоритезация трафика, прокси-сервер

Встроенные, пользовательские

В зависимости от компонента. Количество переданных данных в рамках сессии можно увидеть в live активных сессий, выведенных на dashboard

Чтение домена

Дополнительные требования не предъявляются

Windows Server 2008 и старше

Работа с журналом мониторинга и отчетами

Утилиты для диагностики системы и сети, встроенные команды ping, tracert, arp, запись дампа, выгрузка отчетов и журналов и т.д.

Все модули

IPC-3000F40

6,3

7,7

Обе ноды

В зависимости от настроек

RIP, OSPF, BGP, IS-IS, PIM

В ходе тестирования ограничений не выявлено

До 10

ICMP Probing, HTTP Request (SD-WAN)

Ручная настройка

Устройство продолжает обрабатывать трафик, сессии не разрываются

Network, Host, Service, Application, VPN, User, Servers, Time Objects, Limit, Updatable Objects, Network Feed, Dynamic objects, DC Objects, Domain

Manual Static NAT (Port Forwarding, Bi-directional NAT) -> Automatic Static NAT -> Hide NAT

Blacklist, Whitelist

Accept, Deny (Drop)

Пользовательские и внешние источники в форматах STIX XML (STIX 1.0), CSV в формате Check Point, CSV в других форматах

Нет дополнительных условий

Более 90 типов файлов

Check Point Propreitary

FW, IPS, Application Control, URL filtering, AV, Sandbox

SSH, SMTPS, HTTPS

Да, обновление в ручном или автоматическом режимах

Локальная

Check Point Threat Cloud, Extermal Threat Feed

Все модули Threat Prevention

Более 80 типов файлов

Пользовательский трафик, трафик опубликованных серверов

Возможна ручная конфигурация (до 1 раза в час)

Локально

SMTP, POP3, IMAP

IKEv1, IKEv2, IPSec, L2TP

Windows, Linux, Android, iOS, MacOS

Сайт поддержки, портал SSL VPN

DES, 3DES, AES-128, AES-256

Все Web-Based, FileShare, RDP in HTML, Citrix, IMAP in HTML

Radius, TOTP, SMS, SMTP

Radius, TOTP, SMS, SMTP

IKEv1, IKEv2, IPSec

IkeView, SmartConsole

DES, 3DES, AES-128, AES-256

Все категории AppControl и URLFiltering

Требуется одинаковое оборудование (модель, ОС)

VRRP и ClusterXL

Зависит от настроек

Менее 1 секунды

До 2 пакетов

Active-Passive, Active-Active

VRRP – 2, ClusterXL – 5, Maestro – от 8

Продолжит работу

Локально, централизованно

RAW text log, индексы в базе PostgreSQL

Все модули

Встроенные, пользовательские

Per Connection, Per session, Detailed log, Extended Log

Чтение домена, доступ к WMI

Для крупных инсталляций (больше 10 тысяч пользователей ) — Identity Collector

Windows Server 2008 и старше

PAP, MS CHAP2

SmartConsole, SmartView, SmartLog, IkeVIEW, DiagnosticVIEW, Health Check Point, CPM Doctor, Log Doctor

CPView, Tcpdump, FWMonitor, Kernel Debug, IKE Debug, дебаг всех процессов

Все (SmartMove)

7000 Plus

9,5

Маршруты получает активная нода. При переключении кластера пассивная нода получает маршруты

Трафик блокируется

OSPF, BGP

Ограниченная настройка через web, отсутствие loopback. Планируются улучшения в версии 18

По количеству физических интерфейсов

ICMP, Round-Robin

Proxy ARP включен по умолчанию, изменить нельзя

Устройство продолжает обрабатывать трафик, сессии не разрываются

Да, с ограничениями

IP host, IP range, Пользовательские группы, Сервисы и порты, Протоколы, Типы приложений, Домен, Список стран

1. SNAT. 2. DNAT

Blacklist, Whitelist

Неопознанный трафик в модуле Контент-фильтрация

ClamAV — без дополнительных условий. Kaspersky — при активации дополнительной лицензии

Зависит от выбранного антивируса. Поддерживается более 90 типов файлов

Kaspersky, ClamAV

Контентная фильтрация, Антивирус, ICAP

HTTPS

Можно загружать собственный список. Неудобный формат ввода в виде одной строчки, но используется автоматический парсинг данной строки

Локальная база (обновляемая)

SkyDNS

Контентная фильтрация, Антивирус, ICAP

Аудиофайлы, Видеофайлы, Документы, Архивы, Torrent-файлы, Flash-видео, исполняемые файлы

Пользовательский трафик, трафик опубликованных серверов

Несколько раз в день

Локальная база (обновляемая)

IMAP(S), POP3(S)

PPTP, PPPoE, IKEv2/IPsec, SSTP, L2TP/IPsec, Wireguard

Windows. MAC OS планируется в версии 17. Linux планируется в версии 18

Через дистрибутив или личный кабинет пользователя на Ideco NGFW

AES256-GCM, AES256

Radius (при интеграции с Multifactor), SMS, TOTP

IKEv2, IPsec

Виджеты панели мониторинга, утилиты командной строки (ping, host, nslookup, tracepath, tcpdump, arping, ss (аналог netstat))

AES256-GCM, AES256

Обе ноды должны иметь одну версию системы, идентичную вплоть до номера сборки. Также интерфейсы на обеих нодах должны быть настроены идентично

Проприетарный протокол

Переключение мастер-ноды

5-15 секунд

2-3 пакета

Active/Standby

2

Продолжит работу

Локальное логирование, отправка на сторонний сервер через Syslog

RAW формат в БД ClickHouse

МЭ, IPS/IDS, Web Application Firewall, Контент-Фильтр, Контроль приложений

Встроенные, пользовательские

Вся сессия

Права на чтение каталога

Дополнительные требования не предъявляются

Windows Server 2008 R2, 2012, 2016, 2019, 2022; Samba DC версии 4.0 и старше

Журнал событий, отчетность по модулям, виджеты Панели мониторинга

ping, host, nslookup, tracepath, tcpdump, arping, ss (аналог netstat) и др.

Все

EX

5

RIP, OSPF, BGP, IS-IS, PIM

Не обнаружено в ходе тестирования

По количеству физических интерфейсов

ICMP, TTL-тест, пользовательский скрипт

Ручная настройка

Устройство продолжает обрабатывать трафик, сессии не разрываются

IP host, group IP, ports, group ports, interfaces, group interfaces, networks, group networks, protocols

По порядку размещения правил NAT, сверху вниз

Да, обновление в ручном или автоматическом режиме

Онлайн обновление

Open Source

URL Filtering

WireGuard, IPsec, OpenVPN, OpenConnect

aes128, aes192, aes256, aes128ctr, aes192ctr, aes256ctr, aes128ccm64, aes192ccm64, aes256ccm64, aes128ccm96, aes192ccm96, aes256ccm96, aes128ccm128, aes192ccm128, aes256ccm128, aes128gcm64, aes192gcm64, aes256gcm64, aes128gcm96, aes192gcm96, aes256gcm96, aes128gcm128, aes192gcm128, aes256gcm128, aes128gmac, aes192gmac, aes256gmac, 3des, blowfish128, blowfish192, blowfish256, camellia128, camellia192, camellia256, camellia128ctr, camellia192ctr, camellia256ctr, camellia128ccm64, camellia192ccm64, camellia256ccm64, camellia128ccm96, camellia192ccm96, camellia256ccm96, camellia128ccm128, camellia192ccm128, camellia256ccm128, serpent128, serpent192, serpent256, twofish128, twofish192, twofish256, cast128, chacha20poly1305, des, bf128, bf256, aes128gcm, aes192gcm, aes256gcm, TLS

IKEv1, IKEv2, IPSec

Show VPN connections, show the in-kernel crypto policies, show all active IPsec Security Associations (SA), show the in-kernel crypto state, show status of IPsec process

aes128, aes192, aes256, aes128ctr, aes192ctr, aes256ctr, aes128ccm64, aes192ccm64, aes256ccm64, aes128ccm96, aes192ccm96, aes256ccm96, aes128ccm128, aes192ccm128, aes256ccm128, aes128gcm64, aes192gcm64, aes256gcm64, aes128gcm96, aes192gcm96, aes256gcm96, aes128gcm128, aes192gcm128, aes256gcm128, aes128gmac, aes192gmac, aes256gmac, 3des, blowfish128, blowfish192, blowfish256, camellia128, camellia192, camellia256, camellia128ctr, camellia192ctr, camellia256ctr, camellia128ccm64, camellia192ccm64, camellia256ccm64, camellia128ccm96, camellia192ccm96, camellia256ccm96, camellia128ccm128, camellia192ccm128, camellia256ccm128, serpent128, serpent192, serpent256, twofish128, twofish192, twofish256, cast128, chacha20poly1305

Обе ноды должны иметь одну версию системы

VRRP

Переключение мастер-ноды

Не больше 3 секунд

До 3 пакетов

Active-Passive

2 или более

bandwidth, cluster, conntrack-sync, content-inspection, dhcp, dns, firewall, https, lldp, log, nat, ndp, openvpn, protocol (routing protocols), snmp, traffic (traffic dumps), vpn, vrrp, webproxy

Вся сессия

Права на чтение домена

Дополнительные требования не предъявляются

Windows Server 2012, 2016, 2019

PAP

Утилиты для диагностики системы и сети, встроенные команды ping, tracert, arp, запись дампа, работа с журналами и т.д.

-

7,8

Обе ноды

В зависимости от настроек

OSPF, BGP, RIP, PIM

Нет редистрибуции из BGP в OSPF

Без ограничений

Link up\down

Ручная настройка

В зависимости от настроек: разрывает сессии или сохраняет текущие сессии

Зона, Адрес источника, Список адресов, Список GeoIP, Список доменов, Пользователь, Группа пользователей

По каждому типу правил правила применяются поочередно сверху вниз в том порядке, в котором они указаны в списке. Выполняется только первое правило, для которого совпали все указанные в нем условия

Да, с ограничениями

Blacklist

Разрешить, Запретить

По типам файлов не дифференцируется. Проверяется hash файлов

Проприетарный

Контентная фильтрация, IPS, AppControl

HTTPS, SMTPS, POP3

Да, обновление в ручном или автоматическом режимах

Локальная

Собственные списки производителя

Контентная фильтрация, IPS, AppControl

Видео, документы, звуки и музыка, картинки, приложения, JS

Пользовательский трафик, трафик опубликованных серверов

Раз в неделю

Локально

POP3 и SMTP

L2TP over IPSec, IKEv2 c PSK, IKEv2 c сертификатом

Windows 8/10

Через дистрибутив

AES

HTTP, HTTPS, FTP, SSH, RDP

Radius, TOTP, SMS

Radius, TOTP, SMS

IKEv1, IKEv2

DES; 3DES; AES128, AES192, AES256

Требуется одинаковая версия ОС

VRRP

Переключение мастер-ноды

Менее 1 секунды

1-2 пакета

Active-Passive, Active-Active

До 4

Продолжит работу

Локально, централизованно

Логи хранятся в БД

Все модули

Встроенные, пользовательские

Начало сессии либо все пакеты сессии с возможностью установки ограничений на количество логируемых пакетов в единицу времени

Администратор домена

Дополнительные требования не предъявляются

Windows Server 2008 и старше

Chap

Журналы, отчеты, захват пакетов

Журналы, захват пакетов

Да, с ограничениями

Все

-

нет данных

Активная нода

Трафик блокируется

OSPF, BGP

Для OSPF: 1. Можно указать не более 128 сетей, в которых осуществляется обмен информацией по протоколу OSPF. 2. На каждом интерфейсе можно создать не более 255 ключей с уникальным keyid и только один пароль.

По количеству физических интерфейсов

Используется проверка состояния шлюзов (Dead Gateway Detection, DGD)

Правила/политики применяются без перерывов в обслуживании

IP host, IP range, IP network, DNS-имена, Интерфейсы и Группы интерфейсов, Сервисы и порты, Прикладные протоколы, Пользователи, Приложения и Группы приложений

По порядку размещения правил NAT, сверху вниз

Да, с ограничениями

Whitelist

Определяется последующим правилом для данного трафика

Загрузка списков URL не поддерживается, можно создавать группы объектов, добавляя каждый URL вручную

Локальная, используется в модуле Контроль приложений

Собственные

Более 95 типов файлов

Да, с ограничениями

Пользовательский трафик, трафик опубликованных серверов. Защита от Botnet реализована в модуле IPS

Один раз в день

Локально

IPlir

Linux, Windows, Android, iOS, MacOS, Аврора

Сайт вендора, поставка на CD

ГОСТ 28147-89, ГОСТ 34.12-2018, ГОСТ 34.13-2018

Реализовано через интеграцию с мультифактор.ру в рамках отдельного продукта ViPNet Сервер многофакторной аутентификации

IPlir

Группа команд iplir, диагностика сети (ping, tracert, arp), командная строка (netstat, tcpdump и др.)

ГОСТ 28147-89, ГОСТ 34.12-2018, ГОСТ 34.13-2018

Для ViPNet Coordinator HW: одинаковая платформа и версия ПО. Для ViPNet Coordinator VA: одинаковые параметры эмулируемого аппаратного обеспечения (количество процессоров, ОЗУ и сетевых интерфейсов)

Проприетарный протокол

Переключение мастер-ноды

Active-Passive

2

Продолжит работать

Локально, централизованно

RAW text log, SQLite

Все модули

Регистрировать все IP-пакеты или только заблокированные IP-пакеты

Чтение домена

Дополнительные требования не предъявляются

Windows Server 2016, Windows Server 2012 R2

Работа с журналами, ARP-Таблица

Утилиты для диагностики системы и сети, встроенные команды ping, tracert, arp, запись дампа, работа с журналами и т.д.

HW5000

1

Активная нода

Трафик блокируется

OSPF, BGP

В ходе тестирования ограничений не выявлено

По количеству физических интерфейсов

ICMP Probing

Ручная настройка

В зависимости от настроек: разрывает сессии или сохраняет текущие сессии

IP host, IP range, IP-сеть, Сервисы и порты, Протоколы, Приложения, Группы, Страны, Пользователи (локальные и доменные)

Используется политика NAT. Правила обрабатываются по порядку сверху вниз, правила DNAT имеют приоритет

Blacklist, Whitelist

Определяется последующим правилом для данного трафика

Проверка только трафика инспектируемого SSL Inspection, протоколы HTTP и HTTPS

Более 40 типов файлов

Проверка по хешам

Антивирус, WEB-категоризация, Feeds, ICAP Client

HTTPS

Да, обновление в ручном или автоматическом режимах

Локальная

SkyDNS, TI feeds (Kaspersky, КБ, ЦБ)

Антивирус, TI Feeds, Категоризация сайтов, ICAP-client, Авторизация пользователей

Больше 40 категорий, блокируемых по расширениям и MIME-type. Предустановленные группы файлов (Исполняемые файлы, Архивы, Видеофайлы, Аудиофайлы, Flash-видео, Active-X, Torrent-файлы, Документы). Работа по фильтрации HTTPS-трафика по данному типу категорий возможна только при его расшифровке

Пользовательский трафик, трафик опубликованных серверов

Динамично: от нескольких раз в день до нескольких раз в неделю

Загружаются с сервера обновлений, хранятся локально на ЦУС

TLS ГОСТ

Windows, Linux, Android, iOS, MacOS, Аврора

Через дистрибутив или сайт

ГОСТ

Реализовано через интеграцию с мультифактор.ру и Avanpost MFA+

Проприетарный протокол

Диагностика сети (ping, tracert, arp), просмотр соединений, командная строка (netstat, tcpdump и др.)

ГОСТ

Требуется одинаковое оборудование (модель, ОС, патчи)

Проприетарный протокол

Переключение мастер-ноды

Да, с ограничениями

Менее 1 секунды

При параметрах по умолчанию: до 50 icmp пакетов; есть настройки, позволяющие изменить периодичность проверки работоспособности канала

Active-Passive

2

Продолжит работу

Локально, централизованно

Логи хранятся в БД. Есть возможность выгрузки в виде файлов xml, csv

Все модули

Встроенные, пользовательские

В зависимости от компонента

Чтение домена

Дополнительные требования не предъявляются

Windows Server 2008 и старше

Работа с журналом мониторинга и отчетами

Утилиты для диагностики системы и сети, встроенные команды ping, tracert, arp, запись дампа, выгрузка отчетов и журналов и т.д.

Сетевые объекты, правил МЭ и NAT

IPC-R1000

4,9

При использовании OSPF маршруты получает активная нода и синхронизирует их с пассивной нодой

Трафик блокируется

Не тестировалось

RIP, OSPF, BGP

Max BGP members 128

Без ограничений

BDF, ICMP, ARP, DNS

Ручная настройка

Повторное сравнение согласно новой политике.Устройство продолжает обрабатывать трафик, сессии не разрываются

Source Zone, Source Address, User/Group, Destination Address, Service, Applications/Groups

По порядку написания в политике NAT

Blacklist, Whitelist

Нет дополнительных условий

Более 100 типов файлов, можно редактировать

Собственный

Все модули

HTTPS

Да, обновление в ручном режиме

Локальная

Собственные списки производителя

Более 100 типов файлов, можно редактировать

Пользовательский трафик, трафик опубликованных серверов

База вендора обновляется по мере выявления новых угроз. База на МСЭ обновляется по настраиваемому расписанию

Локально

SMTP, POP3, IMAP

SSL VPN

Windows, Linux, MacOS, Android, iOS

SSL VPN портал, ТП вендора

DES, 3DES, AES/AES128, AES192, AES256, проприетарный_DES

HTTP, HTTPS, FileShare, DNS, H.323, SMTP, POP3, Telnet, SSH, LotusNote, Terminal Service, VNC, MSSQL Server, Citrix ICA (old version), MSN, Sinfor DNet, NetMeeting base, NetMeeting desktop, FTP (port/pasv mode), Citrix ICA (latest version), ORACLE, MYSQL, Other (ICMP, UDP, TCP, any protocol)

TOTP, Hardware ID

TOTP, Hardware ID

IKEv1, IKEv2, IPSec, проприетарный VPN

Логирование