Сертификат AM Test Lab
Номер сертификата: 405
Дата выдачи: 21.12.2022
Срок действия: 21.12.2027
- Введение
- Функциональные возможности Ideco UTM
- Системные требования Ideco UTM
- Модельный ряд программно-аппаратных устройств Ideco UTM
- Применение Ideco UTM
- Выводы
Введение
14 ноября 2022 года российская компания «Айдеко» анонсировала выход очередного релиза своего продукта — универсального шлюза безопасности Ideco UTM 14.0. За уходящий год это уже третье серьёзное обновление. С предыдущими релизами можно ознакомиться в наших прежних обзорах: Ideco UTM 12.0 и Ideco UTM 13.0.
Новая версия Ideco UTM получила от разработчиков название «NGFW из новой реальности», что хорошо показывает важность развития отечественных СЗИ в условиях западных санкций.
Ideco UTM использует новейшие технологии, в том числе обновлённое ядро Linux 5.18. При этом, несмотря на выход нового релиза, разработчик принял решение продолжить поддержку предыдущих версий шлюза.
Функциональные возможности Ideco UTM
Ключевые возможности шлюза безопасности Ideco UTM:
- межсетевое экранирование (МЭ);
- предотвращение вторжений (IPS);
- контент-фильтрация веб-трафика;
- контроль приложений;
- многоуровневая антивирусная и антиспам-проверка трафика на базе модулей ClamAV (опенсорс-антивирус) или «Лаборатории Касперского»;
- защита от бот-сетей и фишинга, антишпион;
- VPN с поддержкой протоколов IKEv2/IPsec, SSTP, L2TP/IPsec, PPTP;
- подробная отчётность по трафику пользователей.
В 14-й версии Ideco UTM реализован ряд важных функциональных возможностей:
- агрегирование каналов (Link Aggregation Control Protocol, LACP);
- создание правил по GeoIP в МЭ;
- ведение отчётности по срабатываниям МЭ веб-приложений;
- логирование срабатываний правил МЭ;
- отправка логов IPS по протоколу Syslog на сторонние серверы;
- использование сервиса WHOIS по IP-адресам в отчётности IPS;
- перенаправление трафика в контент-фильтр в соответствии с заданными настройками;
- увеличение скорости обработки трафика за счёт использования новейших алгоритмов ядра Linux и собственных разработок «Айдеко».
Из новой версии Ideco UTM исключена возможность массового создания пользователей с авторизацией по IP-адресам, поскольку данная функциональность невостребованна. При этом сохраняются «Авторизация подсетей» и автоматическое создание пользователей через механизм «Поиск устройств».
Разработчик уделил особое внимание интерфейсу и его удобству:
- появилась возможность импортировать большой объём данных, в частности перечень IP-адресов для блокировки, из файла;
- добавлен механизм белого списка для системы обнаружения вторжений, программного модуля управления доступом и ограничителя трафика (шейпера);
- обновлена центральная панель мониторинга (дашборд);
- предусмотрена возможность скрытия панели меню;
- добавлен числовой идентификатор правила межсетевого экрана;
- добавлено уведомление администратора о переключении на резервный / основной канал;
- улучшены фильтры в таблицах правил и отчётности.
«Айдеко» придерживается единой политики обновления всех данных по лицензии Ideco UTM. Обновление до 14-й версии происходит с минорной сборки 13.6, бэкап настроек «подтягивается» также с 13-й версии. Предусмотрен откат на предыдущую версию. Обновления можно отложить до удобного времени (при этом они скачиваются заранее). Для комфорта пользователей и стабильности работы шлюза безопасности подготовлен постепенный план перехода на Ideco UTM 14.
Вендор уже анонсировал планы на следующую, 15-ю версию: новая платформа, оптимизация сетевого стека, информация о выданных DHCP-адресах и повышенное удобство пользования. Впрочем, многих обновлений можно ожидать уже в сборках Ideco UTM 14.х.
Системные требования Ideco UTM
Ideco UTM распространяется как программный или программно-аппаратный продукт. Программный шлюз Ideco UTM может устанавливаться с загрузочного CD или USB-носителя на физический сервер или на виртуальную машину с системой виртуализации VMware, Microsoft Hyper-V, VirtualBox, KVM или Citrix XenServer. При этом не требуется предустановленной ОС или дополнительного программного обеспечения. Требования к аппаратному обеспечению варьируются в зависимости от сетевой нагрузки и используемых сервисов Ideco UTM. Минимальные требования Ideco UTM приведены в таблице ниже.
Таблица 1. Минимальные требования для установки Ideco UTM
Технические характеристики | Значение |
|---|---|
Процессор | Intel Pentium G / i3 / i5 / i7 / Xeon E3 / Xeon E5 с поддержкой SSE 4.2 |
Ёмкость и тип устройства хранения данных | HDD или SSD объёмом 64 ГБ или больше с интерфейсом SATA, mSATA, SAS или совместимый аппаратный RAID Дополнительный жёсткий диск или SSD при использовании почтового сервера |
Объём оперативной памяти | 8 ГБ (16 ГБ при количестве пользователей более 75) |
Сетевые адаптеры | Две сетевые карты (или два сетевых порта) 100/1000 Мбит/с. Рекомендуется использовать карты на чипах Intel, Broadcom. Поддерживаются Realtek, D-Link и другие |
Гипервизор | VMware, Microsoft Hyper-V (2-го поколения), VirtualBox, KVM, Citrix XenServer |
Дополнительное оборудование | Монитор и клавиатура |
Ограничения | Обязательна поддержка UEFI. Не поддерживаются программные RAID-контроллеры (интегрированные в чипсет). Для виртуальных машин необходимо использовать фиксированный, а не динамический размер жёсткого диска |
Для подключения к серверу устройств пользователей достаточно стандартных программ ОС Windows, Linux или macOS. Также поддерживаются подключения мобильных устройств на Android и iOS.
Модельный ряд программно-аппаратных устройств Ideco UTM
«Айдеко» предлагает широкий модельный ряд устройств Ideco UTM, подходящих как небольшим компаниям, так и крупным корпорациям. Среди прочего представлены устройства сертифицированные по требованиям ФСТЭК России.
Таблица 2. Технические характеристики и производительность устройств Ideco UTM
Характеристики | Ideco MX Cert (сертифицировано ФСТЭК России) | Ideco MX+ Cert (сертифицировано ФСТЭК России) | Ideco SX+ | Ideco MX | Ideco LX | Ideco LX+ | Ideco EX |
|---|---|---|---|---|---|---|---|
Технические характеристики | |||||||
Назначение | Сертифицированная аппаратная платформа для организаций численностью от 100 до 350 активных пользователей | Сертифицированная аппаратная платформа для организаций численностью от 300 до 700 активных пользователей | Аппаратная платформа для небольших организаций (от 50 до 75 активных пользователей) | Аппаратная платформа для средних предприятий (от 50 до 350 активных пользователей) | Аппаратная платформа для средних и крупных предприятий (от 300 до 1000 активных пользователей) | Аппаратная платформа для средних и крупных предприятий (от 1000 до 3000 активных пользователей) | Аппаратная платформа для крупных предприятий (от 3000 активных пользователей) |
Процессор | Intel Atom C-3758 (8 ядер, 2,2 ГГц, кеш 16 МБ, 25 Вт) | Intel Atom C-3958 (16 ядер, 2,0 ГГц, кеш 16 МБ, 31 Вт) | Intel Core i5-10210U (4 ядра, 1,6 ГГц, кеш 6 MБ) | Intel Xeon E-2234 (4 ядра, 3,6 ГГц, кеш 8 MБ) | Intel Xeon E-22xx (8 ядер, кеш 16 МБ, 8 ГТ/с) | Intel Xeon Silver 4214R (12 ядер, 24 потока, 2,4 ГГц, кеш 16,5 МБ, 100 Вт) | Intel Xeon Gold 6238R (28 ядер, 56 потоков, 2,2 / 4,0 ГГц, кеш 38,5 МБ, DDR4-2933, 2S, 165 Вт OEM) |
Объём оперативной памяти | 16 ГБ, DDR4 | 32 ГБ, DDR4 | 16 ГБ, SO-DIMM DDR4 | 16 ГБ, DDR4-2133 ECC | 32 ГБ, DDR4-2133 ECC | 64 ГБ, DDR4 ECC REG | 64 ГБ, DDR4 ECC REG |
Ёмкость и тип устройства хранения данных | Не менее одного SSD объёмом 240 ГБ, SATA | Не менее одного SSD объёмом 240 ГБ, SATA | SSD 256 ГБ, mSATA | SSD 240 ГБ, SATA | SSD 240 ГБ, SATA | SSD 480 ГБ, SATA | SSD 480 ГБ, SATA |
Сетевые адаптеры | 8 × 1 Гбит | 8 × 1 Гбит | 6 × i210 / i211 | 4 × 1 Гбит | 4 × 1 Гбит | 4 × 1 Гбит, 4 × 10 Гбит SFP+ | 4 × 1 Гбит, 4 × 10 Гбит SFP+ |
Формфактор | 1U | 1U | Настольный | 1U | 1U | 2U | 2U |
Габариты (Д × Ш × В), мм | 438 × 321 × 44 | 438 × 321 × 44 | 209 × 150 × 57 | 408 × 484 × 43 | 408 × 484 × 43 | 659 × 438 × 87 | 659 × 438 × 87 |
Характеристики | Ideco MX Cert (сертифицировано ФСТЭК России) | Ideco MX+ Cert (сертифицировано ФСТЭК России) | Ideco SX+ | Ideco MX | Ideco LX | Ideco LX+ | Ideco EX |
Максимальная производительность | |||||||
Межсетевой экран, трафик EMIX | 3 Гбит/с | 6 Гбит/с | 5 Гбит/с | 8 Гбит/с | 11,5 Гбит/с | 19,6 Гбит/с | 42 Гбит/с |
Контентная фильтрация, трафик EMIX | 1,7 Гбит/с | 3,2 Гбит/с | 2 Гбит/с | 5 Гбит/с | 8,1 Гбит/с | 10,2 Гбит/с | 25 Гбит/с |
Контроль приложений, трафик EMIX | 0,7 Гбит/с | 1,3 Гбит/с | 1 Гбит/с | 2,2 Гбит/с | 3,5 Гбит/с | 4 Гбит/с | 8,8 Гбит/с |
Предотвращение вторжений, трафик EMIX | 0,3 Гбит/с | 0,6 Гбит/с | 0,4 Гбит/с | 1,2 Гбит/с | 1,8 Гбит/с | 2 Гбит/с | 5 Гбит/с |
Режим NGFW (IPS, контент-фильтр, контроль приложений, межсетевой экран), трафик EMIX | 0,3 Гбит/с | 0,6 Гбит/с | 0,4 Гбит/с | 1,2 Гбит/с | 1,8 Гбит/с | 2 Гбит/с | 5 Гбит/с |
Применение Ideco UTM
Рассмотрим подробнее нововведения Ideco UTM 14 с практической точки зрения.
Рисунок 1. Обновлённый центральный дашборд Ideco UTM
Оптимизация работы Ideco UTM
В новой версии оптимизирована работа межсетевого экрана и снижены задержки при обновлении настроек и правил безопасности. Это позволило ускорить переключение к новым параметрам фильтрации трафика.
Обновлённая центральная консоль управления Ideco UTM
Центральная консоль управления несколькими шлюзами Ideco UTM была анонсирована ещё в 13-й версии, однако теперь её функциональность расширилась настройками политик контроля приложений, контент-фильтров и ограничения скорости, дополнительными объектами и т. д.
Рисунок 2. Центральная консоль управления Ideco UTM, раздел «Контроль приложений»
Центральная консоль позволяет распространить настройки на все контролируемые устройства, при этом отменить их локально на сервере Ideco UTM нельзя.
Центральная консоль распространяется свободно, дополнительных лицензий не требуется.
Агрегирование каналов (LACP)
В новой версии Ideco UTM появилась возможность агрегировать несколько параллельных физических каналов в один логический по протоколу LACP, что позволяет увеличить пропускную способность, обеспечить балансировку трафика и повысить надёжность передачи данных.
Рисунок 3. Интерфейс администратора Ideco UTM, раздел «Сетевые интерфейсы»
Syslog и события по безопасности
Настройка механизма отправки логов по протоколу Syslog — такая же, как и раньше, но в 14-й версии при включённом журналировании межсетевого экрана на внешний сервер дополнительно направляются логи системы обнаружения вторжений.
Рисунок 4. Интерфейс администратора Ideco UTM, раздел «Syslog»
При этом администратор сам настраивает типы сетевого трафика, проходящего через межсетевой экран по заданным правилам фильтрации и подлежащего логированию.
Рисунок 5. Интерфейс администратора Ideco UTM, раздел «События безопасности», зарегистрированные события по безопасности
GeoIP
Модуль геолокации GeoIP позволяет определить физическое местоположение пользователей и устройств по их IP-адресам. Геолокация применяется для различных целей, в частности для персонализации контента и анализа трафика.
Доступ к базе IP-адресов и её обновление осуществляются по лицензии Ideco UTM. Фильтры межсетевого экрана по GeoIP не влияют на общую производительность шлюза безопасности.
Обновление базы GeoIP происходит автоматически из базы вендора. Допускается вносить изменения в эти базы по запросу пользователей, тем самым актуализируя информацию и распространяя её по другим потребителям.
Рисунок 6. Интерфейс администратора Ideco UTM, раздел «Файрвол», настройка фильтрации по стране
Новая отчётность по мониторингу трафика
В 14-ю версию Ideco UTM добавлена новая отчётность по мониторингу трафика и событиям из области безопасности. Нововведения позволяют фильтровать события по узлу локальной сети, анализировать трафик по конкретному пользователю. Все фильтры в отчётности содержат дополнительные операторы и условия срабатывания, что даёт возможность гибко настроить вывод информации.
Рисунок 7. Интерфейс администратора Ideco UTM, раздел «События безопасности», новая фильтрация
Обновлённый контент-фильтр
В шлюзе безопасности кроме стандартных действий «Разрешить» / «Запретить» появилась новая функция перенаправления пользователя на заданный URL-адрес.
Рисунок 8. Интерфейс администратора Ideco UTM, раздел «Контент-фильтр», выбор действий
Перенаправление HTTPS-трафика осуществляется после его расшифрования.
Документация по REST API
Разработчик ведёт подробную документацию для пользователей и разработчиков. Она доступна на официальном сайте Ideco и регулярно обновляется по мере развития шлюза безопасности Ideco UTM.
Рисунок 9. Документация Ideco UTM по REST API
Выводы
Шлюз безопасности Ideco UTM благодаря большому числу функций безопасности (межсетевое экранирование, контент-фильтрация, предотвращение вторжений, антивирусная защита и т. д.) по праву может называться отечественным NGFW. Продукт дорабатывается постепенно, но регулярно. Большое число запросов и предложений сообщества находят отклик в обновлениях шлюза.
Новая версия 14.0 содержит долгожданные нововведения по GeoIP, UI- и UX-дизайну, LACP, журналированию и отчётности. Наряду с версией Ideco также обновляется версия ядра Linux, на котором он базируется.
С момента выхода предыдущего обзора ещё один аппаратно-программный шлюз из линейки Ideco UTM получил подтверждение соответствия требованиям ко средствам защиты информации в системе сертификации ФСТЭК России. Ideco MX+ Cert может быть использован для обеспечения безопасности объектов критической информационной инфраструктуры и защиты персональных данных в ГИС, ИСПДн, АСУ ТП.
Компания «Айдеко» успешно повышает качество обслуживания своих клиентов, добившись отклика техподдержки за несколько секунд. Специалисты пресейла могут подобрать для клиентов оптимальные характеристики и параметры безопасности шлюза.
Дополнительно хочется отметить, что для предприятий численностью до 25 человек Ideco UTM бесплатен. Это сделано для того, чтобы повысить общий уровень обеспечения безопасности информации в России.
Достоинства:
- Добавлена фильтрация по GeoIP.
- Появилось агрегирование физических каналов по протоколу LACP.
- Новая функция «Перенаправить на».
- Обновлённый интерфейс с повышенным удобством пользования.
- Централизованная консоль управления.
- Программно-аппаратное и программное представления.
- Разработчик учитывает требования и пожелания пользователей в новых версиях шлюза.
Недостатки:
- Отсутствует поддержка отечественных криптографических алгоритмов ГОСТ 28147-89 VPN-сервером шлюза.
- Нет сертификатов соответствия по требованиям безопасности ФСБ России.
- Высокие требования к аппаратной платформе для развёртывания программного шлюза на стороне заказчика.
