Обзор UserGate — межсетевого экрана следующего поколения

1. Введение
2. Функциональные возможности UserGate
3. Варианты поставки UserGate
4. Базовая настройка UserGate
5. Визуализация работы UserGate
1. 5.1. Межсетевое экранирование и контроль приложений в UserGate
2. 5.2. Система предотвращения вторжений UserGate
3. 5.3. Веб-фильтрация UserGate
4. 5.4. Антивирусная фильтрация UserGate
5. 5.5. Контроль трафика АСУ ТП средствами UserGate
6. 5.6. Фильтрация электронной почты в UserGate
7. 5.7. Дешифрование TLS/SSL-трафика в UserGate
8. 5.8. VPN UserGate
9. 5.9. DNS-прокси в UserGate
10. 5.10. Идентификация пользователей и гостевой портал UserGate
11. 5.11. Поддержка концепции BYOD в UserGate
12. 5.12. Диагностика и мониторинг средствами UserGate
13. 5.13. Оповещение администратора средствами UserGate
14. 5.14. Журналирование и отчетность в UserGate
6. Выводы

Введение

В августе 2018 года вступили в силу новые санкции США против Российской Федерации. Эксперты прогнозируют, что новые ограничения затронут американских производителей сетевого оборудования и средств защиты информации, которые передают иностранным регуляторам исходный код своих продуктов для анализа. В связи с нестабильной внешнеполитической обстановкой очень важно развивать отечественный рынок информационных технологий, увеличивая импортозамещение и долю российских продуктов в каждом сегменте рынка информационной безопасности. В сетевой безопасности до недавнего времени выбор российских продуктов и их зрелость оставляли желать лучшего, но ситуация постепенно меняется в лучшую сторону.

Российская компания ООО «Юзергейт», выпускающая решения в области информационной безопасности, долгое время работала под брендом Entensys. Еще с 2000-х годов компания разрабатывала целую линейку продуктов под Windows. В разное время были выпущены решения UserGate Proxy & Firewall, UserGate Mail Server, GateWall DNS Filter, KinderGate, ориентированные на малый и средний бизнес, а также на частных пользователей.

С 2011 года началась разработка новой высокопроизводительной и масштабируемой платформы UserGate UTM, ориентированной на корпоративный сегмент с тысячами и десятками тысяч пользователей, которая развивается по сей день в линейке межсетевых экранов UserGate.

Важной особенностью UserGate является то, что программное обеспечение, функционирующее на устройствах, является собственной разработкой ООО «Юзергейт» и не содержит свободно распространяемых модулей и программ.

Устройства UserGate выпускаются в разных аппаратных исполнениях, адаптированных для применения в сетях разного масштаба.

Рисунок 1. Линейка физических устройств UserGate (модели С, D, E, F, X)

В марте 2018 года устройство UserGate получило сертификат ФСТЭК России по требованиям методических документов:

• Профиль защиты межсетевых экранов типа «А» четвертого класса защиты (ИТ.МЭ.А4.ПЗ).
• Профиль защиты межсетевых экранов типа «Б» четвертого класса защиты (ИТ.МЭ.Б4.ПЗ).
• Профиль защиты систем обнаружения вторжений уровня сети четвертого класса защиты (ИТ.СОВ.С5.ПЗ).

Таким образом, сертифицированная версия UserGate может быть использована в автоматизированных системах до класса 1Г включительно, в информационных системах персональных данных (ИСПДн) 1 уровня защищенности персональных данных и государственных информационных системах (ГИС), не обрабатывающих сведения, составляющие государственную тайну.

Устройство UserGate также включено в Единый реестр российских программ для электронных вычислительных машин и баз данных (рег. № 1194).

Функциональные возможности UserGate

Устройства UserGate версии 5.0 предоставляют широкий набор возможностей, реализуя функциональность межсетевых экранов следующего поколения (Next Generation Firewall, NGFW):

• межсетевое экранирование (МЭ) с контролем и фильтрацией сетевого трафика, проходящего через устройство;
• предотвращение вторжений (СОВ);
• контроль приложений пользователей, имеющих доступ в интернет, и защита от угроз, связанных с ними;
• веб-фильтрация и разбор сетевого трафика с применением морфологического анализа содержимого веб-страниц;
• антивирусная фильтрация с поддержкой модуля «Лаборатории Касперского»;
• контроль трафика автоматизированных систем управления технологическим процессом (АСУ ТП) и поддержка промышленных протоколов SCADA, ГОСТ Р МЭК 60870-5-104;
• фильтрация электронных писем с целью выявления вирусов и спама;
• дешифрование TLS/SSL-трафика для применения полного набора методов фильтрации, реализованных на устройстве;
• поддержка VPN-подлюкчений для удаленного доступа клиентов и защищенного соединения офисов;
• идентификация и аутентификация пользователей и устройств с поддержкой концепции BYOD (Bring Your Own Device);
• балансировка нагрузки и распределение ресурсов между пользователи;
• гостевой доступ пользователей в корпоративную сеть;
• перехват и фильтрация DNS-запросов;
• ведение электронных журналов, диагностика и мониторинг состояния сети и устройств;
• оповещение администратора о событиях безопасности.

В следующих версиях UserGate планируется поддержка криптографической защиты передаваемых данных в соответствии с ГОСТ 28147–89. Это позволит применять устройства в ГИС, обрабатывающих сведения, составляющие государственную тайну, и организовать VPN-соединения с ГОСТ-шифрованием. В настоящий момент идет подготовка к прохождению сертификации в системе сертификации ФСБ России.

Каждую функцию UserGate рассмотрим подробно далее в обзоре.

Варианты поставки UserGate

Межсетевой экран UserGate 5.0 доступен в качестве физического и виртуального устройства. Программно-аппаратные комплексы (ПАК) UserGate моделей C, D, E и F предназначены для использования в сетях с поддержкой интернет-каналов до 40 Гбит/с. Виртуальное устройство UserGate поставляется в виде готового образа (VMware, Hyper-V, VirtualBox и др.) с уже настроенными компонентами. Виртуальное устройство обладает теми же функциями, что и физическое.

В 2017 году вышел ПАК UserGate X, созданный для работы в уличных условиях при температурах от -40° до 70°.

На сегодняшний день компания ООО «Юзергейт» занимается работами по аппаратному ускорению устройств UserGate, включающими разработку собственных плат и использование ASIC (Application-Specific Integrated Circuit, интегральная схема специального назначения).

Рисунок 2. Сфера применения устройств UserGate

UserGate функционируют под управлением специальной операционной системы UG OS, которая является собственной разработкой Entensys и не содержит сторонний исходный код или модули. UG OS разработана для работы на аппаратных платформах UserGate с целью получения максимальной пропускной способности и наибольшей эффективности.

Таблица 1. Характеристики аппаратных платформ UserGate

Поскольку максимальное количество сессий, обрабатываемых одним устройством UserGate, ограничено, то для балансировки нагрузки в условиях высокой доступности применяется кластеризация. UserGate поддерживает 2 типа кластеров:

• кластер конфигурации (узлы, объединенные в кластер конфигурации, поддерживают единые настройки в рамках кластера);
• кластер отказоустойчивости (до 4-х узлов кластера конфигурации могут быть объединены в кластер отказоустойчивости, поддерживающий работу в режиме Актив-Актив или Актив-Пассив).

Лицензия на использование UserGate 5.0 определяет количество пользователей, то есть количество IP-адресов, с которых подключаются устройства пользователей. Базовая лицензия бессрочная, при этом дополнительные модули безопасности (ATP, обновления безопасности, антивирусная фильтрация, фильтрация электронных адресов) лицензируются отдельно по модели подписки.

Базовая настройка UserGate

Базовая настройка UserGate 5.0 осуществляется с помощью графического интерфейса администратора по протоколу HTTPS через порт Management (интерфейс eth0). При этом задается логин и пароль для доступа к веб-интерфейсу устройства, а также вводится PIN-код активации UserGate.

Далее задаются следующие параметры:

• зоны и IP-адреса интерфейсов;
• шлюз доступа в интернет;
• системные DNS-серверы;
• правила NAT;
• правила межсетевого экранирования.

Зона в UserGate — это логическое объединение сетевых интерфейсов. Политики безопасности UserGate используют зоны интерфейсов, а не непосредственно интерфейсы. Это дает необходимую гибкость политикам безопасности, а также упрощает управление отказоустойчивым кластером (зоны одинаковы на всех узлах кластера).

Администратор может менять настройки зон, созданных по умолчанию, а также создавать дополнительные.

Рисунок 3. Зоны UserGate, настроенные по умолчанию

Интерфейс администратора позволяет изменить параметры сетевых интерфейсов:

• доступность (включить или отключить интерфейс);
• назначенная интерфейсу зона;
• физические параметры интерфейса (MAC-адрес и размер MTU);
• тип присвоения IP-адреса (без адреса, статический IP-адрес или динамический IP-адрес, полученный по DHCP);
• настройки DHCP-релея на выбранном интерфейсе.

Рисунок 4. Настройка сетевых интерфейсов UserGate

Для повышения пропускной способности или для отказоустойчивости канала несколько физических интерфейсов могут быть объединены в один логический бонд-интерфейс.

Для подключения UserGate к интернету необходимо указать IP-адрес одного или нескольких шлюзов. Настройка шлюза уникальна для каждого из узлов кластера.

Рисунок 5. Настройка шлюзов на UserGate для доступа в интернет

Прочие настройки и правила могут быть заданы позднее через интерфейс администратора.

Визуализация работы UserGate

Интерфейс администратора предоставляет подробную и наглядную информацию о текущем состоянии контролируемой сети и устройствах, предоставляет доступ к настраиваемым параметрам UserGate, сети, VPN, позволяет задавать политики сети и безопасности, контролировать пользователей и устройства.

Рисунок 6. Главная страница раздела настроек UserGate

Настройки механизмов безопасности UserGate, доступные администратору, рассмотрим подробно далее в обзоре.

Межсетевое экранирование и контроль приложений в UserGate

UserGate 5.0 осуществляет контроль и фильтрацию сетевого трафика, проходящего через него, в соответствии с заданными правилами. В качестве условий правила могут выступать зоны и IP-адреса источника/назначения, пользователи и группы, сервисы и приложения.

Рисунок 7. Консоль управления правилами межсетевого экранирования UserGate

Рисунок 8. Пример настроек правила блокировки ботнет-сетей

Администратор может задавать правила управления пропускной способностью для ограничения канала для пользователей, хостов, сервисов и приложений.

Рисунок 9. Управление пропускной способностью UserGate

В UserGate реализована функция контроля приложений на основе обновляемых баз сигнатур, обеспечивающая защиту от угроз, связанных с программами, имеющими доступ в интернет. UserGate оперативно сопоставляет установленное сетевое взаимодействие с конкретным сервисом и принимает меры по блокировке взаимодействия или отслеживания действий пользователя.

Рисунок 10. Перечень идентифицируемых группу приложении в UserGate

UserGate 5.0 реализует концепцию SOAR (Security Orchestration, Automation and Response) с помощью сценариев, сокращая время реакции на обнаруженную атаку. Сценарий является дополнительным условием в правилах межсетевого экрана и пропускной способности, позволяя администратору настроить реакцию устройства на возникновение определенных событий.

Рисунок 11. Консоль управления сценариями UserGate

Для каждого сценария администратор задает условие срабатывания сценария (получен упрежденный URL, обнаружен вирус, обнаружено приложение в трафике пользователя, сработала СОВ, обнаружены MIME-типы в трафике пользователя, превышен допустимый размер пакета) и для кого введен сценарий (определенный пользователь или все пользователи).

Система предотвращения вторжений UserGate

СОВ отслеживает и блокирует атаки в режиме реального времени с помощью эвристических правил и анализа сигнатур известных атак. Превентивными мерами защиты являются блокирование определенных сегментов сетевого трафика, обрыв соединения и оповещение администратора сети.

Рисунок 12. Параметры системы обнаружения вторжений UserGate

Администратор может создавать различные профили СОВ (наборы сигнатур, релевантных для защиты определенных сервисов) и задавать правила СОВ, определяющие действия для выбранного типа трафика (IP, ICMP, TCP, UDP), который будет проверяться СОВ в соответствии с назначенными профилями.

Рисунок 13. Сигнатуры профиля UserGate

Веб-фильтрация UserGate

UserGate позволяет разрешать или запрещать передачу контента по протоколам HTTP и HTTPS по следующим условиям:

• пользователи и группы;
• наличие на веб-страницах определенных слов и выражений (морфологий);
• принадлежность сайтов категориям;
• URL;
• зона и IP-адрес источника или назначения;
• тип MIME;
• время;
• веб-браузер пользователя;
• HTTP-метод.

Рисунок 14. Консоль управления веб-фильтрацией UserGate

UserGate предоставляет возможность создавать группы категорий URL (UserGate URL Filtering) для их использования при фильтрации контента. UserGate URL Filtering требует наличия специальной лицензии.

Рисунок 15. Категории URL для фильтрации контента

Для фильтрации контента применяются словари морфологии, обновляемые разработчиком UserGate и содержащие список материалов, запрещенных Министерством юстиции Российской Федерации, а также связанные с суицидом, терроризмом, порнографией, нецензурной лексикой, казино, наркотиками, и сведения, подпадающие под действие Федерального закона от 29.12.2010 N 436-ФЗ «О защите детей от информации, причиняющей вред их здоровью и развитию». Словари доступны на русском, английском, немецком, японском и арабском языках.

Рисунок 16. Добавление морфологических словарей для фильтрации контента

Администратор может задать дополнительные параметры веб-безопасности для протоколов HTTP и HTTPS:

• блокировка рекламы;
• функция «Инжектировать скрипт», позволяющая вставить необходимый код во все веб-страницы, просматриваемые пользователем перед тегом </head>;
• принудительное включение безопасного поиска для поисковых систем Google, Yandex, Yahoo, Bing, Rambler, Ask и портала YouTube для блокировки нежелательного контента;
• включение журналирования поисковых запросов пользователей;
• блокировка приложений популярных социальных сетей.

Рисунок 17. Дополнительные параметры веб-безопасности

UserGate может выступать в качестве ICAP-клиента и передавать HTTP/HTTPS и почтовый трафик (SMTP, POP3) на внешние серверы ICAP для более глубокого анализа трафика (антивирусная проверка, проверка возможной утечки важной информации). Администратор средствами устройства может выбрать, какой трафик направлять для выборочной проверки и на какие серверы.

Рисунок 18. Консоль управления ICAP-правилами UserGate

Антивирусная фильтрация UserGate

UserGate 5.0 оснащен встроенным антивирусом, обеспечивающим быструю проверку трафика на наличие вредоносного кода. Возможно активировать эвристическую антивирусную проверку на новые, еще неизвестные сигнатурному движку, модификации вредоносного кода, но данная опция может негативно повлиять на производительность устройства. Дополнительно может быть задействован антивирусный модуль от «Лаборатории Касперского» (предоставляется по лицензии).

Рисунок 19. Включение антивирусной фильтрации трафика на UserGate

Антивирусная фильтрация доступна для правил с действием «Запретить» — при наличии вируса содержащий его трафик будет запрещен.

Контроль трафика АСУ ТП средствами UserGate

UserGate фильтрует трафик АСУ ТП, проходящий через устройство, контролируя передачу блока ASDU (в соответствии с ГОСТ Р МЭК 60870-5-104). Администратору предоставляется возможность задавать профили ТП (пара «команда:адрес») и использовать их в правилах.

Рисунок 20. Консоль управления правилами АСУ ТП UserGate

Правила АСУ ТП определяют трафик, к которому применяется профиль АСУ ТП, и действие, которое UserGate должен предпринять при срабатывании правила.

Рисунок 21. Профили АСУ ТП в UserGate

Фильтрация электронной почты в UserGate

UserGate проводит фильтрацию электронной почты путем анализа содержимого писем и эвристики с целью выявления вирусов и спама. Анализу подвергаются письма на любых языках, а также графические сообщения. По результатам фильтрации письмо может быть пропущено, промаркировано (маркировка задается администратором), заблокировано с ошибкой, заблокировано без ошибки.

Рисунок 22. Консоль управления фильтрацией электронной почты UserGate

Фильтрация доступна по следующим параметрам:

• зона источника трафика и/или списки IP-адресов источника трафика;
• зона назначения трафика и/или списки IP-адресов назначения трафика;
• пользователи;
• сервис (POP3 или SMTP);
• почтовый адрес отправителя письма;
• почтовый адрес адресата письма.

Рисунок 23. Пример правила фильтрации электронной почты — обнаружение спама

Дешифрование TLS/SSL-трафика в UserGate

Устройство UserGate проводит полную проверку данных, передаваемых по протоколу TLS/SSL (HTTPS, SMTPS и POP3S), выдавая себя за получателя, инициирующего сеанс SSL.

Дешифрование  шифрованного трафика необходимо для корректной работы веб-фильтра по протоколу HTTPS, для защиты по электронной почты от спама и вирусов по протоколам SMTPS и POP3S.

Рисунок 24. Консоль управления механизмами проверки криптографических протоколов UserGate

VPN в UserGate

UserGate 5.0 позволяет создавать VPN-подключения двух типов:

• VPN-сервер для удаленного доступа клиентов (Remote Access VPN) — UserGate выступает в качестве сервера, а пользователи других устройств выступают в качестве клиентов VPN;
• VPN для защищенного соединения офисов (Site-to-Site VPN) — UserGate выступает в качестве сервера, а другой UserGate-сервер выступает в роли клиента, объединяя разобщенные офисы в единую логическую сеть.

Рисунок 25. Консоль управления VPN UserGate

Рисунок 26. Правило, разрешающее удаленное подключение к корпоративной сети (Remote Access VPN)

Рисунок 27. Правило защищенного соединения офисов (Site-to-Site VPN)

DNS-прокси в UserGate

Сервис DNS-прокси позволяет перехватывать DNS-запросы от пользователей и изменять их в зависимости от заданных администратором правил.

Рисунок 28. Параметры DNS и DNS-прокси на UserGate

Контролю подвержены такие параметры, как:

• кэширование ответов DNS;
• фильтрация DNS-запросов;
• возможность осуществления рекурсивных DNS-запросов;
• максимально возможное время жизни для записей DNS;
• ограничение на количество DNS-запросов в секунду для каждого пользователя.

UserGate может отвечает только на запросы на записи A и AAAA от неизвестных пользователей, что позволяет блокировать попытки организации VPN поверх протокола DNS.

Идентификация пользователей и гостевой портал UserGate

Отдельные политики безопасности, правила межсетевого экрана, правила веб-фильтрации, контентная фильтрация, контроль приложений и другие возможности UserGate могут быть применены к пользователям или группам пользователей.

Идентификация пользователя осуществляется при однозначном сопоставлении пользователя с IP-адресом устройства, с которого пользователь подключается к сети. Аутентификация пользователей осуществляется с поддержкой Active Directory, Kerberos, NTLM, Radius, LDAP, Captive Portal, TACACS+, 2FA.

Рисунок 29. Управление пользователями средствами UserGate

UserGate 5.0 позволяет организовать гостевой доступ для пользователей через Wi-Fi. Гостевые пользователи могут быть созданы заранее администратором системы или пользователям может быть предоставлена возможность самостоятельной регистрации в системе с подтверждением через SMS или электронную почту.

UserGate поддерживает применение к гостевому доступу специальных политик и правил, обеспечивает мониторинг использования (в том числе объем трафика) и генерирует статистические данные.

Рисунок 30. Гостевой портал UserGate

Поддержка концепции BYOD в UserGate

UserGate 5.0 поддерживает применение специальных правил доступа к любым устройствам (смартфоны, планшеты, ноутбуки), с которых пользователь может получить доступ к сети. Администратор может установить ограничение на максимальное число подключаемых устройств на одного пользователя, разрешить конкретным устройствам получать доступ к интернету.

Правила применяются сверху вниз в том порядке, в котором они указаны в консоли администратора.

Рисунок 31. Свойства правила концепции BYOD на UserGate, разрешающего подключение устройств определенного типа

Диагностика и мониторинг средствами UserGate

Для удобства и наглядности работы устройства администратору доступны дашборды и виджеты, содержащие графическую информацию и статистические данные о результатах веб-фильтрации и защите почты, анализе сетевого трафика и состоянии сетевых интерфейсов, количестве запросов от пользователей и устройств, количестве подключений SMTP.

Администратор UserGate имеет всеобъемлющую информацию о производительности устройства, состоянии его оборудования, версии прошивки и установленных обновлениях.

Рисунок 32. Дашборды UserGate, отображающие состояние устройства и сети

В консоли диагностики и мониторинга UserGate отображает все соединения, установленные через устройство. Данные сгруппированы по пользователям или IP-адресам. Администратору предоставляется информация обо всех установленных сессиях выбранного пользователя. Администратор может заблокировать определенный IP-адрес по всем протоколам или создать для этого IP-адреса правило, ограничивающее ширину канала.

Рисунок 33. Консоль диагностики и мониторинга UserGate

UserGate генерирует список всех маршрутов, указанных на устройстве.

Рисунок 34. Перечень маршрутов UserGate

Устройство позволяет записать трафик, удовлетворяющий заданным условиям, в pcap-файл для дальнейшего анализа с помощью сторонних средств.

Рисунок 35. Механизм захвата пакетов UserGate

Также UserGate предлагает механизмы внесения сайтов в белый список, трассировки правил, утилиты ping и traceroute.

Оповещение администратора средствами UserGate

UserGate 5.0 может оповещать администратора о наступлении различных типов событий (например, средствами СОВ предотвращена атака или пользователю отправлен пароль для гостевого доступа) в соответствии с заданными правилами. Оповещения доставляются двумя способами: по e-mail (SMTP) или через SMS (SMPP).

Рисунок 36. Консоль управления оповещениями UserGate

Журналирование и отчетность в UserGate

Электронные журналы UserGate позволяют быстро определить, какие события происходят в защищаемой сети и на устройстве. Все журналы могут быть отфильтрованы и экспортированы в CSV-файлы для дальнейшего анализа. Поддерживается выгрузка журналов на сторонние серверы, в том числе и в SIEM-системы.

Журнал событий отображает записи событий, связанных с изменением настроек UserGate, а также событий, связанных с авторизацией администратора.

Рисунок 37. Журнал событий UserGate

Журнал веб-доступа отображает запросы пользователей на доступ к интернету по протоколам HTTP и HTTPS.

Рисунок 38. Журнал веб-доступа UserGate

Журнал трафика отображает события срабатывания правил межсетевого экрана или правил NAT, в настройках которых включено логирование пакетов.

Рисунок 39. Журнал трафика UserGate

Журнал системы обнаружения вторжений отображает сработавшие сигнатуры IPS, для которых установлено действие «журналировать» или «блокировать».

Рисунок 40. Журнал системы обнаружения вторжений UserGate

Журнал истории поиска содержит все поисковые запросы пользователей, для которых настроено журналирование в политиках веб-безопасности.

Рисунок 41. Журнал истории поиска UserGate

С помощью отчетов UserGate предоставляет различные срезы данных о событиях безопасности, конфигурирования или действиях пользователей. Отчеты могут создаваться по созданным ранее правилам и шаблонам в автоматическом режиме и отправляться адресатам по электронной почте.

Рисунок 42. Шаблоны отчетов UserGate

Выводы

Новая линейка российских программно-аппаратных комплексов и виртуальных устройств UserGate 5.0 от компании «Юзергейт», которая не одно десятилетие фигурирует на отечественном рынке средств защиты информации, по функциональности соответствуют классу межсетевых экранов нового поколения (NGFW) и способна обеспечивать безопасность сетей разного масштаба.

В основе UserGate используются проприетарный код без заимствования модулей и библиотеки с открытым исходным кодом. Единая платформа UserGate является базисом всех предлагаемых решений компании.

Заказчики могут выбирать необходимые подписки на те или иные функции защиты. В частности в UserGate интегрирован антивирус от «Лабораторией Касперского», который доступен по специальной подписке.

Активное развитие линейки UserGate вселяет уверенность, что на российском рынке сетевой безопасности появилось и уже зарекомендовало себя отечественное решение, реализующее функции межсетевых экранов нового поколения.

UserGate имеет сертификаты ФСТЭК России на межсетевой экран и систему обнаружения вторжений, что позволяет использовать решение автоматизированных системах до класса 1Г включительно, в ИСПДн 1 уровня защищенности персональных данных и ГИС, не обрабатывающих сведения, составляющие государственную тайну.

Преимущества:

• Широкая линейка аппаратных устройств от 100 до 10 тыс. пользователей.
• Возможность поставки в виде виртуального устройства.
• Межсетевой экран следующего поколения, поддерживающий инспекционный контроль и блокирование трафика на уровне приложений.
• Широкий набор дополнительных функций защиты информации.
• Интуитивно понятный графический интерфейс администратора с поддержкой русской и английской локализации и с возможностью управления устройством и сбором аналитической информации.
• Встроенный антивирус от «Лаборатории Касперского».
• Контроль трафика АСУ ТП и поддержка промышленных протоколов SCADA, ГОСТ Р МЭК 60870-5-10.
• Встроенный VPN и поддержка концепции BYOD.
• Собственная база веб-фильтрации и морфологические словари, содержащие списки материалов, запрещенных Министерством юстиции Российской Федерации, а также связанные с суицидом, терроризмом, порнографией, нецензурной лексикой, казино, наркотиками, и сведения, подпадающие под действие ФЗ-436 «О защите детей от информации, причиняющей вред их здоровью и развитию».
• Наличие сертифицированной версии (сертификат соответствия № 3905 от 26 марта 2018 года), соответствующей требованиям Профиля защиты межсетевых экранов типа «А» четвертого класса защиты (ИТ.МЭ.А4.ПЗ), Профиля защиты межсетевых экранов типа «Б» четвертого класса защиты (ИТ.МЭ.Б4.ПЗ) и Профиля защиты систем обнаружения вторжений уровня сети четвертого класса защиты (ИТ.СОВ.С5.ПЗ).
• Русскоязычная техподдержка и документация.

Недостатки:

• Отсутствие аппаратного ускорения (не используется ASIC).
• Отсутствие VPN-шлюза с поддержкой шифрования ГОСТ.