UserGate: що вміє цей шлюз безпеки для вашої компанії

UserGate починався в нульові як проксі-сервер для офісу: роздати інтернет, порахувати трафік, закрити розважальні сайти. Відтоді продукт виріс у шлюз безпеки, який у галузі називають NGFW: міжмережевий екран нового покоління. Ім'я лишилося, клас задач змінився, і дивитися на нього цікаво саме як на представника класу: схоже влаштовані всі сучасні корпоративні шлюзи.

Місце в мережі

Шлюз ставиться на межі: весь трафік офісу в інтернет і назад проходить через нього. Звідси і можливості, і відповідальність: тут найзручніше фільтрувати, рахувати й захищати, і тут само єдина точка відмови, тому старші конфігурації працюють парою з резервуванням. Постачається і залізом, і віртуальною машиною: середнім офісам зазвичай вистачає віртуального виконання.

Головні модулі

Ключове слово всюди: користувач. Шлюз інтегрується зі службою каталогів, і правила пишуться на людей і групи, а не на IP-адреси: бухгалтерії одне, розробці інше, гостьовому Wi-Fi третє. Інспекція TLS заслуговує окремого застереження: технічно це кероване розкриття шифрованого каналу з підміною сертифіката, воно потребує встановлення корпоративного сертифіката на пристрої й чесного повідомлення співробітників. Банківські й медичні категорії з інспекції прийнято виключати.

Політики пов'язують модулі в сценарії. Приклад із життя: групі маркетингу дозволені соцмережі, але файли туди не завантажуються; підрядникам відкрито лише список робочих сервісів; решті закрито файлообмінники й щойно зареєстровані домени, улюблений інструмент фішингу. Кожне правило супроводжується звітом, і суперечка «мені потрібен цей сайт для роботи» вирішується даними, а не голосом.

Кому це потрібно

• Компанії з вимогами регуляторів. Для російських організацій важливо, що продукт сертифікований місцевими регуляторами й лишається підтримуваним.
• Навчальні заклади. Обов'язкова контент-фільтрація вирішується категоріями й чорними списками з коробки.
• Офіси від півсотні людей. Нижче цього порогу зазвичай вистачає можливостей хорошого роутера; вище починається зоопарк тіньових сервісів, який без контролю застосунків не видно взагалі.
• Мережі з віддаленою роботою і філіями. VPN, єдині політики й звіти в одному місці.

Відкриті альтернативи класу існують: pfSense і OPNsense закривають міжмережевий екран і VPN безкоштовно, фільтрацію додають плагінами. Різниця в ціні зустрічна: за відкриті платять часом адміністратора й самостійним збиранням звітності, за комерційні грошима за підписку на модулі. Вибір зазвичай вирішує наявність людей, готових жити з рішенням роками, більше, ніж функціональність.

Як вибирають і впроваджують

Клас купується за пілотом на своєму трафіку, а не за списком функцій, бо в усіх виробників він схожий. Розгортають шлюз у режимі спостереження, без блокувань, на два тижні: звіти покажуть і реальну картину трафіку, і навантаження. Головна цифра, яку варто зняти з пілота: продуктивність з увімкненою інспекцією TLS та IPS. Паспортна пропускна здатність міряється без них, а з повним набором перевірок падає в рази, і саме тут помиляються з розміром заліза. Другий результат пілота: список того, що доведеться виключати з інспекції, від банк-клієнтів до відеозв'язку, у кожної компанії він свій.

1. Сформулюйте політику заздалегідь: що блокуємо, що спостерігаємо, кого не чіпаємо. Шлюз виконує політику, а не замінює її.
2. Порахуйте користувачів і пікову смугу із запасом на два роки: ліцензії й залізо беруться під зростання.
3. Перевірте інтеграцію зі своєю службою каталогів і терпимість мережі до падіння шлюзу: чи потрібен обхід або резервна пара.
4. Уточніть склад підписки: фільтрація, IPS й антивірусні бази ліцензуються модулями, і «гола» ціна коробки оманлива.
5. Призначте власника. Шлюз без людини, що читає його звіти, за рік перетворюється на дорогий маршрутизатор.

Не плутати з комерційними проксі

Корпоративний шлюз і проксі-сервіси на кшталт нашого вирішують протилежні задачі, хоча обидва називаються словом «проксі». Шлюз контролює вихідний трафік своїх співробітників: видимість, фільтрація, дисципліна. Комерційний проксі змінює точку виходу для робочих задач: гео-дані, пули адрес, акаунти, про що ми писали в розборі задач проксі-серверів. Перший про «ми бачимо й обмежуємо свій трафік», другий про «наш трафік має потрібний вигляд ззовні». У зрілій компанії вони спокійно живуть разом: шлюз на межі офісу, пули адрес у відділів маркетингу й аналітики, кожен на своєму місці. Шлюзу при цьому корисно знати про легальні пули колег: інакше відділ аналітики колись упреться у власну систему безпеки, і лагодження цього непорозуміння займе більше часу, ніж усе налаштування. Куди такий шлюз вписується в решту серверної інфраструктури, ми показували в огляді типів серверів.