Обзор Kaspersky NGFW 1.2, межсетевого экрана нового поколения

1. 1. Введение
2. 2. Функциональные возможности Kaspersky NGFW 1.2
3. 3. Архитектура Kaspersky NGFW
   1. 3.1. ПАК
   2. 3.2. Облачное решение
4. 4. Системные требования Kaspersky NGFW
5. 5. Лицензирование
6. 6. Практическое применение межсетевого экрана нового поколения Kaspersky NGFW
   1. 6.1. Добавление виртуальных контекстов (Virtual Security Systems — VSS)
   2. 6.2. Настройка Policy-based routing (PBR)
   3. 6.3. Просмотр изменений в политике перед их применением
   4. 6.4. Настройка IP SLA трекера для статической маршрутизации
   5. 6.5. Policy & route based Site-to-Site IPsec VPN
   6. 6.6. Защита от IP Spoofing
   7. 6.7. Мониторинг кластера, BGP и OSPF-соседств через SNMP
   8. 6.8. Создание групп сетевых объектов
   9. 6.9. Создание правил безопасности
7. 7. Сценарии использования Kaspersky NGFW
8. 8. Выводы

Введение

Межсетевые экраны нового поколения (Next‑Generation Firewall, NGFW) появились как ответ на стремительную эволюцию киберугроз и ограниченность традиционных файрволов, которые могли управлять только IP‑адресами и портами. Российские разработчики активно включились в гонку импортозамещения, предлагая решения нового поколения, не уступающие по характеристикам зарубежным.

Не осталась в стороне и компания «Лаборатория Касперского» — наши читатели уже знакомы с бета-версией Kaspersky NGFW, представленной вендором в конце 2024 года. В прошлом году состоялся коммерческий релиз первой версии, который мы обсуждали в эфире AM Live, а в июне этого года вышла новая версия — Kaspersky NGFW 1.2 с улучшенным UX и расширенной функциональностью. Разбираемся, как разработчику удалось достичь баланса между гибкостью, скоростью и безопасностью.

Функциональные возможности Kaspersky NGFW 1.2

Kaspersky NGFW версии 1.2 — это многофункциональный межсетевой экран нового поколения, предназначенный для фильтрации трафика, контроля сетевых соединений и защиты корпоративных сетей от угроз. Продукт позволяет эффективно выявлять сетевую активность и обнаруживать угрозы даже в зашифрованном трафике. Благодаря гибким настройкам и масштабированию он подходит для использования в крупных и распределённых инфраструктурах.

Основные технологии и возможности Kaspersky NGFW:

• Полноценный межсетевой экран (Stateful Firewall) с возможностью гранулярной настройки и поддержкой 100 000 правил. Отслеживает активные сетевые соединения и принимает решения о блокировке нежелательных сессий с учётом контекста.
• Глубокий анализ трафика (Deep Packet Inspection, DPI) с распознаванием более 6 000 приложений и сервисов. Детектирование приложений осуществляется при помощи сигнатурного метода и через Server Name Indication (SNI).
• Механизм обнаружения и предотвращения вторжений (Intrusion Detection and Prevention System, IDPS) с поддержкой свыше 9 000 сигнатур. Выявляет и блокирует атаки в режиме реального времени.
• Встроенная антивирусная проверка с возможностью выбора между высокоскоростным потоковым антивирусом и AI-powered антивирусом, специально разработанным под Kaspersky NGFW.
• Контроль веб-ресурсов, включающий категоризацию и проверку репутации URL-адресов. Дополнительно заложена возможность создавать собственные категории с гибкими сценариями реагирования.
• Расшифровка SSL/TLS для оценки опасности зашифрованного трафика.
• Пропускная способность до 200 Гбит/с в режиме L4 Firewall с контролем приложений и до 140 Гбит/с в режиме NGFW (контроль приложений + IDPS).
• Централизованное администрирование нескольких устройств Kaspersky NGFW и других продуктов вендора через единую консоль управления (Open Single Management Platform).

Релиз Kaspersky NGFW 1.2 отличается от предыдущей версии не только мажорными изменениями, которые мы рассмотрим в практической части, но и множественными улучшениями UX при работе с веб-интерфейсом управления NGFW в OSMP.

Среди возможностей межсетевого экрана нового поколения Kaspersky NGFW также стоит отметить вариант расширения функциональности за счёт интеграции с другими продуктами «Лаборатории Касперского»: передовой платформой для защиты от целевых атак и сложных угроз Kaspersky Anti Targeted Attack (KATA), решения для расширенного обнаружения и реагирования на угрозы Kaspersky Symphony XDR, SIEM-системой для мониторинга и анализа ИБ-инцидентов Kaspersky Unified Monitoring and Analysis Platform (KUMA).

Архитектура Kaspersky NGFW

Kaspersky NGFW включает три функциональных компонента: Security Plane (плоскость безопасности), Data Plane (плоскость данных) и Management Plane (плоскость управления). При этом Data Plane и Management Plane разделены друг от друга, чтобы большой объём трафика на Data Plane не влиял на функции управления устройством.

Рисунок 1. Архитектура Kaspersky NGFW

Компонент Security Plane отвечает за фильтрацию сетевого трафика и защиту от киберугроз. Он включает KSN (Kaspersky Security Network), обеспечивающий обновление антивируса и базы известных угроз, и Updater, отвечающий за регулярное обновление сигнатур угроз, категорий веб-сайтов, а также репутационных списков IP и URL.

Компонент Data Plane обрабатывает сетевой трафик, проходящий через продукт. Он включает несколько механизмов: Ingress (входящий сетевой интерфейс), Stateful Inspection, обеспечивающий контроль над каждым сеансом связи, Routing и NAT, отвечающие за маршрутизацию пакетов и трансляцию сетевых адресов, Egress (исходящий сетевой интерфейс).

Компонент VPP предназначен для высокопроизводительной обработки сетевых пакетов.

Решение Kaspersky NGFW 1.2 может поставляться в виде программно-аппаратного комплекса, реализуемого на базе аппаратной платформы, или в виде виртуального образа.

Рисунок 2. Аппаратные платформы KX-Series

ПАК

Линейка KX (Kaspersky Extension) включает специализированные аппаратные платформы, изначально созданные для работы с решением Kaspersky NGFW. На момент написания обзора в неё входят: KX-100, доступная в двух исполнениях (KX-100-KA1 (настольная) и KX-100-KB1 (стоечная)), KX-400, KX-1000 и KX-3500.

Эти сетевые устройства обеспечивают высокую пропускную способность, устойчивость к атакам и гибкость при развёртывании в различных сценариях. Аппаратные платформы KX-Series позволяют полностью реализовать возможности межсетевого экрана нового поколения Kaspersky NGFW, оставаясь эффективными даже в сложных сетевых средах.

Характеристики сетевых устройств, доступных для развёртывания ПАК, приведены в таблице.

Таблица 1. Сравнительные характеристики аппаратных платформ линейки KX

* Тестирование выполнялось при активном логировании и задействовании 20 тысяч правил межсетевого экрана.

Облачное решение

В линейку KX-Series также входят виртуальные исполнения комплекса Kaspersky NGFW, получившие обозначение vKX. Это программное решение позволяет устанавливать продукт на собственных вычислительных ресурсах без покупки специализированных аппаратных платформ разработчика. На момент написания обзора пользователям доступна одна такая редакция — vKX-8.

Характеристики vKX-8:

• Пропускная способность в режиме L4 FW + Application Control* — до 5 Гбит/с.
• Пропускная способность в режиме NGFW (L4 FW + Application Control + IDPS)* — до 4 Гбит/с.
• Поддерживаемые гипервизоры — KVM и VMware ESXi.

* Тестирование проводилось с 20 000 правил Firewall и включённым логированием.

Запускать vKX-8 можно на базе двух гипервизоров: KVM, входящего в комплект поставки готовой виртуальной машины, и VMware ESXi, развёртывание продукта в котором выполняется из образа в формате OVA, также входящего в комплект поставки.

Системные требования Kaspersky NGFW

Чтобы развернуть виртуальное исполнение Kaspersky NGFW в среде виртуализации KVM или VMware, потребуется аппаратное оборудование со следующими минимальными параметрами:

• процессор Intel Broadwell либо иной совместимой микроархитектуры;
• 8 выделенных виртуальных ядер процессора (vCPU);
• 16 ГБ оперативной памяти;
• 128 ГБ свободного дискового пространства.

Виртуальная машина с такими характеристиками поддерживает подключение до десяти сетевых интерфейсов.

Kaspersky NGFW поддерживает эмулятор QEMU версии 6.2.0 для развёртывания на базе гипервизора KVM (поддерживаемая версия ОС — Ubuntu 22.04) и платформу виртуализации VMware vSphere версии 6.5 для развёртывания на базе гипервизора VMware ESXi.

Лицензирование

Kaspersky NGFW доступен к покупке в двух вариантах — Standard и Advanced:

• Базовая версия Kaspersky NGFW Standard содержит все необходимые средства для мониторинга и управления сетью, контроля соединений и отражения сетевых угроз.
• Версия Kaspersky NGFW Advanced дополнена расширенными возможностями контроля веб-ресурсов и построения многоуровневой защиты корпоративной сети.

К каждому варианту можно подключить техподдержку уровня обслуживания Premium или Premium Plus.

Таким образом, стоимость лицензии включает: выбор аппаратной/виртуальной платформы, выбор варианта решения и выбор нужного уровня технической поддержки.

Практическое применение межсетевого экрана нового поколения Kaspersky NGFW

Рассмотрим более подробно новые функциональные возможности Kaspersky NGFW 1.2, доступные и настраиваемые через веб-интерфейс.

Добавление виртуальных контекстов (Virtual Security Systems — VSS)

Одна из важных возможностей релиза 1.2 — поддержка виртуальных контекстов. Благодаря внедрению этой технологии на одном физическом NGFW можно запускать несколько логических копий продукта. Они работают независимо друг от друга: у каждой своя политика доступа, таблица маршрутизации, сетевые и прочие настройки. Такая архитектура упрощает сегментацию сети, позволяет разграничивать задачи (например, VPN, маршрутизация, защита АСУ ТП) и обеспечивает гранулярное разграничение доступа к самому NGFW, что повышает общий уровень безопасности и даёт больше свободы при управлении.

Чтобы добавить новый виртуальный контекст в рамках существующего устройства, необходимо выбрать нужное устройство, отметив соответствующий чекбокс, и по кнопке «Создать» выбрать вариант «Добавить VSS».

Рисунок 3. Добавление виртуального контекста (часть 1)

Рисунок 4. Добавление виртуального контекста (часть 2)

Новому контексту необходимо сразу назначить новое имя, а также настроить политику из числа тех, что уже добавлены в систему управления. Здесь же настраивается VRF (Virtual Routing and Forwarding) по умолчанию, в рамках которого будет работать маршрутизация, и задаются интерфейсы, которые будут доступны в данном VSS.

Это могут быть физические интерфейсы, сабинтерфейсы и агрегированные интерфейсы — ограничений нет.

Рисунок 5. Настройка интерфейсов на VSS

Настройка Policy-based routing (PBR)

Политики маршрутизации трафика — это модуль, позволяющий настраивать правила направления пакетов. С его помощью можно задать, что трафик, соответствующий определённым параметрам, должен направляться в конкретный интерфейс. Эта функциональность делает более гибкой настройку маршрутизации на устройстве.

Политики маршрутизации трафика настраиваются в разделе «Маршрутизация». В подразделе PBR отображается таблица настроенных правил Policy-based routing. Также обратиться к ней можно через настройку устройств, VSS, шаблонов устройств.

Рисунок 6. Подраздел Policy-based routing

При создании новой политики маршрутизации необходимо задать источник сетевого трафика, указав, для каких интерфейсов, адресов, пользователей или групп пользователей требуется настроить маршрутизацию.

Также здесь доступна возможность перенаправить трафик в соответствующий VRF, отбрасывать его (blackhole) или назначить правило «Нет PBR», чтобы более точно задать трафик, выделенный в рамках отдельного правила, и далее направлять его в соответствии с таблицей маршрутизации.

Просмотр изменений в политике перед их применением

Доработано управление конфигурацией политик в OSMP. Раньше после создания определённого количества правил в рамках одного кандидат-конфига и нажатия кнопки «Применить» вся ревизия политики немедленно отправлялась на те устройства, к которым эта политика была привязана. Теперь логика работы изменилась: при нажатии «Применить» отображается полный перечень изменений, внесённых в рамках данного кандидат-конфига. Пользователь может просмотреть, какие именно правки и кем были сделаны.

Рисунок 7. Управление конфигурацией политик

После настройки определённых правил и нажатия на кнопку «Применить» мы видим список изменений для применения. Отображается информация о том, какая сущность подверглась изменению и к какому типу она относится. Например, если менялось правило фильтрации, система покажет именно этот объект. Также видно действие, выполненное над сущностью: правило могло быть создано, отредактировано или удалено, о чём говорит соответствующая пометка. Дополнительно фиксируются автор каждого изменения и время изменения.

Рисунок 8. Управление политиками безопасности

Настройка IP SLA трекера для статической маршрутизации

Это нововведение позволяет организовать отказоустойчивое подключение к нескольким провайдерам одновременно и управлять распределением трафика между ними, т. е. по сути организовать Multi-WAN.

Профили IP SLA можно создавать на вкладке «Объекты». В рамках такого профиля можно гибко настраивать механизмы, позволяющие отслеживать состояние канала до определённого уровня (на момент написания обзора — до IP-адреса).

В этом разделе задаются параметры мониторинга состояния канала: количество отправляемых пакетов, позволяющее признать канал непригодным для использования, а также тайм-аут, по истечении которого соединение считается неработоспособным, порог задержки и процент потерянных пакетов.

Рисунок 9. Профили IP SLA

Policy & route based Site-to-Site IPsec VPN

Policy-based и route-based — это два подхода к настройке VPN-соединений для установления безопасных соединений между устройствами через IPsec. Они различаются способом определения трафика, который должен проходить через туннель, и механизмами управления им. В данном случае рассматривается только режим site-to-site.

Policy-based IPsec VPN можно настроить в рамках сетевых шаблонов устройств, устройств и VSS. При создании IPsec-туннеля нужно указать его название, профиль IPsec, локальный и удалённый префиксы, IKE-шлюз (обязательные для заполнения поля).

В профиле IPsec указывается протокол шифрования для передачи данных, используемый тип шифрования, режим (туннельный/транспортный), группа DH (Diffie–Hellman group) и время жизни SLA.

Рисунок 10. Просмотр IPsec VPN туннелей на устройстве

Route-based IPsec VPN реализован в новом релизе Kaspersky NGFW в виде GRE-based IPsec VPN. Настраивается через добавление туннельных интерфейсов непосредственно на устройстве или VSS. Для этого необходимо создать туннель, выбрав тип «GRE поверх IPsec», задать ему зону безопасности, профиль IPsec, IKE-шлюз и при необходимости переопределить MTU.

Защита от IP Spoofing

Реализована поддержка механизма uRPF (Unicast Reverse Path Forwarding), которая позволяет обнаруживать и предотвращать атаки, при которых злоумышленник подменяет IP-адрес источника в заголовках сетевых пакетов, чтобы замаскировать свою настоящую идентичность или выдать себя за доверенный узел сети.

В рамках настроек зон безопасности, которые назначаются непосредственно на интерфейсы, появился новый раздел — «Антиспуфинг». Можно выбрать один из двух режимов защиты — «Строгий» или «Нестрогий», с возможностью фиксации событий антиспуфинга непосредственно в журнале событий.

Рисунок 11. Настройка зон безопасности

Мониторинг кластера, BGP и OSPF-соседств через SNMP

Эта функция позволяет отслеживать состояние сетевых устройств, их конфигурацию и параметры маршрутизации. Для этого используются базы управляющей информации (MIB), содержащие идентификаторы объектов (OID), и специальные утилиты для работы с ними. Теперь пользователь может в режиме реального времени отслеживать соседство NGFW с BGP- и OSPF-соседями, а также отслеживать, сколько префиксов на текущий момент активно и в какой сессии динамической маршрутизации с конкретным пиром. Данная возможность упрощает расследование сетевых инцидентов.

Создание групп сетевых объектов

В новой версии Kaspersky NGFW был переработан механизм управления объектами — теперь в разделе «Адреса» появилась возможность создавать группы адресов. Для этого, нажав по кнопке «Создать», необходимо выбрать вариант «Создать адресную группу».

Группа создаётся на базе ранее созданных объектов, при этом в роли объектов (адресов) могут выступать хосты, подсети, диапазоны IP-адресов, GeoIP и FQDN (Fully Qualified Domain Name).

Рисунок 12. Таблица «Адреса и группы»

Рисунок 13. Создание группы адресов

Теперь группы объектов отображаются в общем списке адресов, которые можно использовать для управления NGFW. На данный момент поддерживается уровень вложенности не более двух: можно создать объект, поместить его в группу, а затем использовать эту группу внутри другой группы. При этом один и тот же объект может состоять в неограниченном количестве групп одного уровня вложенности.

Создание правил безопасности

Существенно переработан механизм создания правил безопасности: теперь продукт поддерживает до 100 000 правил, а не до 20 000, как было в предыдущей версии.

Теперь при создании правила появилась возможность сразу разместить его в нужной позиции: в самом верху списка, выше или ниже выбранного правила либо в самом низу. Также можно создать правило и сразу же поместить его возле конкретного элемента (другого правила) — выше или ниже целевой позиции.

Аналогичные изменения коснулись перемещения уже существующих правил. Выбранное правило можно отправить наверх, вниз, поднять или опустить на один пункт, а также переместить к конкретному правилу — выше или ниже него.

Рисунок 14. Правила безопасности

Ранее на одной странице отображалось максимум 20 правил, теперь этот лимит увеличен до 100.

Также добавлена возможность перехода на конкретную страницу в таблице. Когда правил много (например, тысяча), пользователь понимает, что нужный фрагмент находится примерно в середине. Достаточно ввести номер страницы, нажать Enter, и система сразу переместится к указанному блоку.

Сценарии использования Kaspersky NGFW

Kaspersky NGFW может использоваться в двух основных сценариях: 

• Защита периметра. Это классическая задача межсетевого экрана — контролировать трафик на границе между внутренней сетью и внешними недоверенными сетями (например, интернетом). Цель — отсечь внешние угрозы и не допустить их проникновения внутрь инфраструктуры.
• Внутренняя сегментация. Позволяет разделить корпоративную сеть на изолированные сегменты (зоны) с разными уровнями доверия. Благодаря этому можно ограничить распространение угрозы внутри сети: даже если злоумышленник проникнет в один сегмент, он не сможет свободно перемещаться по всей инфраструктуре.

Сценарии дополняют друг друга, поэтому их можно использовать в связке. Первый сценарий предотвращает проникновение, а второй — ограничивает последствия, если атака всё же произошла.

Рисунок 15. Основные сценарии использования Kaspersky NGFW

Для распределённых инфраструктур в Kaspersky NGFW предусмотрена возможность как централизованного управления, при котором продукт администрируется только в главном офисе, так и локального управления в филиалах компании.

Рисунок 16. Схема работы Kaspersky NGFW с централизованным управлением

Рисунок 17. Схема работы Kaspersky NGFW с возможностью локального управления

Kaspersky NGFW подходит средним и крупным компаниям, а благодаря сертификации ФСТЭК России может использоваться в госсекторе и на объектах КИИ. Сценарии защиты периметра и внутренней сегментации достигаются за счёт следующих ключевых функциональных возможностей:

Контроль приложений и сервисов

Система распознаёт в сетевом трафике свыше 6 тысяч приложений и сервисов. За их идентификацию отвечает внутренний экспертный центр компании по анализу прикладного ПО.

Контроль пользователей

Инструменты разграничения доступа позволяют гибко настраивать права как для отдельных сотрудников, так и для групп пользователей. Такой подход повышает прозрачность сетевой активности и облегчает работу специалистам по ИТ и ИБ.

Обнаружение и предотвращение вторжений (IDPS)

NGFW выявляет и пресекает атаки в режиме реального времени. Уровень обнаружения и блокировки сетевых угроз (Detection Rate) — более 95 %. Поддерживается работа с более чем 9 тысячами сигнатур.

Антивирусная проверка

Kaspersky NGFW даёт возможность выбрать один из двух антивирусных механизмов: потоковый антивирус (Stream Anti-Virus) или объектный антивирус (Object Anti-Virus). Потоковый антивирус обеспечивает проверку трафика «на лету» с минимальной нагрузкой на ресурсы, а объектный — глубокий анализ объектов из трафика на наличие вредоносного кода на основе эвристических методов и алгоритмов машинного обучения.

Высокоточная веб-категоризация

Решение точно определяет принадлежность URL к определённой категории, позволяет создавать собственные группы ресурсов и гибко управлять реакцией на них (включая блокировку). Работает на основе локальных баз данных и постоянно актуализируемой информации из облачного сервиса Kaspersky Security Network. Также предусмотрена возможность исключать отдельные адреса из проверки.

Проверка репутации веб-ресурсов

Межсетевой экран ограничивает доступ к опасным и потенциально нежелательным сайтам и IP-адресам. Также с его помощью можно блокировать показ рекламных материалов.

Выводы

Kaspersky NGFW — это многофункциональный продукт нового поколения, объединяющий функции межсетевого экрана, механизмы глубокой фильтрации трафика, средства антивирусной защиты и предотвращения вторжений. Такое сочетание позволяет рассматривать Kaspersky NGFW как комплексное решение для защиты современной корпоративной сети.

Продукт анализирует сетевой трафик на нескольких уровнях, выявляет скрытые угрозы, блокирует аномальную активность и предотвращает распространение вредоносной активности. В отличие от классических файрволов, Kaspersky NGFW позволяет контролировать приложения, пользователей и контент, а не только сетевые порты и протоколы. Это позволяет выстраивать гибкие политики безопасности с учётом реальных бизнес-процессов организации.

Помимо базовой функции разграничения доступа, продукт включает механизмы обнаружения вторжений (IDS/IPS), проверки фильтрации трафика, а также защиту от кибератак на уровне приложений (L7). Таким образом, Kaspersky NGFW может применяться от широкого спектра угроз, с которыми сталкиваются компании при работе в гибридной и распределённой инфраструктуре.

Достоинства:

• Продукт включён в реестр РПО (реестровые записи № 28270 и № 29350 от 20.08.2025) и сертифицирован ФСТЭК России на соответствие 4-му уровню доверия и 4-му классу защиты по профилю многофункциональных межсетевых экранов уровня сети (сертификат соответствия ФСТЭК № 4994 выдан 11 ноября 2025 года).
• Собственная разработка «Лаборатории Касперского» с движками безопасности и архитектурой, постоянно совершенствуемыми командой экспертов.
• Высокая производительность: пропускная способность до 200 Гбит/с, поддержка до 100 000 правил безопасности, свыше 9 000 сигнатур и распознавание более 6 000 приложений и сервисов.
• Встроенное автоматическое обогащение актуальными данными об угрозах из Kaspersky Threat Intelligence.
• Возможность интеграции с другими решениями «Лаборатории Касперского» в рамках единой экосистемы.
• Развёртывание на аппаратных и виртуальных платформах с поддержкой популярных гипервизоров KVM и VMware ESXi.
• Экономия на покупке нескольких аппаратных платформ за счёт возможности добавления виртуальных контекстов.

Недостатки:

• Нельзя запускать туннели в разных VRF (Virtual Routing and Forwarding). В дальнейшем вендор планирует добавить поддержку нескольких VRF для IPsec.
• Ограничения: 32 VSS на одно сетевое устройство и уровень вложенности групп — не более двух. Однако данные лимиты могут быть расширены, если у заказчика возникнет такая потребность.
• Нет возможности гранулярно выбрать, какие изменения следует применить в рамках конкретного кандидат-конфига, а также не реализована возможность детального просмотра изменений по каждой сущности. Эти функции вендор планирует доработать в следующих релизах.