Полный гайд по выбору межсетевого экрана нового поколения
5 ключевых критериев + чек-лист для выбора оптимального решения под ваш бизнес
Какие 5 ключевых критериев выбора NGFW?
1.1. Эффективность защиты (Security)
Оценивайте не только заявленные возможности, но и их реальную эффективность. NGFW для предприятия должен обеспечивать комплексную защиту от всех типов угроз.
Контроль приложений (L7): PT NGFW определяет более 4500 приложений, Kaspersky NGFW — более 6000.
IPS/IDS: наличие собственных сигнатур, разработанных вендором. 44% компаний считают это важным критерием.
SSL-инспекция: расшифровка HTTPS-трафика. Без неё до 80% трафика остаётся «невидимым».
Защита от угроз нулевого дня: песочница (Sandbox), Threat Intelligence.
Сертификация ФСТЭК для NGFW: обязательна для госсектора и КИИ по 4-му классу защиты.
Частая ошибка: выбор только по цене без проверки SSL-инспекции и собственных сигнатур IPS.
Контроль приложений (L7): PT NGFW определяет более 4500 приложений, Kaspersky NGFW — более 6000.
IPS/IDS: наличие собственных сигнатур, разработанных вендором. 44% компаний считают это важным критерием.
SSL-инспекция: расшифровка HTTPS-трафика. Без неё до 80% трафика остаётся «невидимым».
Защита от угроз нулевого дня: песочница (Sandbox), Threat Intelligence.
Сертификация ФСТЭК для NGFW: обязательна для госсектора и КИИ по 4-му классу защиты.
Частая ошибка: выбор только по цене без проверки SSL-инспекции и собственных сигнатур IPS.
1.2. Скорость работы (Performance)
Производительность — один из главных сдерживающих факторов. Обращайте внимание на реальные цифры, а не на маркетинговые обещания.
Threat Prevention Throughput: реальная производительность при включённых всех функциях безопасности.
Производительность IPS: PT NGFW 3040 — 60 Гбит/с.
Производительность NGFW: Kaspersky NGFW KX-3500 — 140 Гбит/с.
VPN Throughput: может превышать 40 Гбит/с.
Количество сессий (CPS): Ideco NGFW Novum — до 1 млн новых TCP-сессий/с.
Количество правил NGFW: UserGate DCFW — до 130 000 правил.
Совет: запрашивайте результаты нагрузочного тестирования в условиях, приближенных к вашим.
Threat Prevention Throughput: реальная производительность при включённых всех функциях безопасности.
Производительность IPS: PT NGFW 3040 — 60 Гбит/с.
Производительность NGFW: Kaspersky NGFW KX-3500 — 140 Гбит/с.
VPN Throughput: может превышать 40 Гбит/с.
Количество сессий (CPS): Ideco NGFW Novum — до 1 млн новых TCP-сессий/с.
Количество правил NGFW: UserGate DCFW — до 130 000 правил.
Совет: запрашивайте результаты нагрузочного тестирования в условиях, приближенных к вашим.
1.3. Удобство администрирования (Manageability)
Интеграция с SIEM/SOC — важнейший критерий выбора NGFW. NGFW — не изолированное устройство, а часть экосистемы безопасности.
Централизованное управление: единая консоль управления. 64% компаний называют это важнейшим критерием.
Интеграция NGFW с SIEM: передача логов и событий в системы мониторинга.
Удобство администрирования: интуитивный интерфейс, ролевая модель доступа.
NGFW для распределенных сетей: управление десятками и сотнями устройств с одной консоли.
Наш опыт: клиенты часто забывают проверить интеграцию с SIEM. В итоге после внедрения приходится тратить недели на настройку.
Централизованное управление: единая консоль управления. 64% компаний называют это важнейшим критерием.
Интеграция NGFW с SIEM: передача логов и событий в системы мониторинга.
Удобство администрирования: интуитивный интерфейс, ролевая модель доступа.
NGFW для распределенных сетей: управление десятками и сотнями устройств с одной консоли.
Наш опыт: клиенты часто забывают проверить интеграцию с SIEM. В итоге после внедрения приходится тратить недели на настройку.
1.4. Способность к росту (Scalability)
Решение должно расти вместе с вашим бизнесом и не требовать полной замены через год-два.
Поддержка кластеризации: отказоустойчивые кластеры Active-Passive и Active-Active.
Виртуальные системы (VSS): логическое разделение одного устройства на несколько независимых NGFW.
Поддержка распределённых сетей: работа с филиалами, VPN, ZTNA, Site-to-Site VPN.
Практический совет: оценивайте планы роста бизнеса на 3–5 лет. Лучше взять модель с запасом по производительности.
Поддержка кластеризации: отказоустойчивые кластеры Active-Passive и Active-Active.
Виртуальные системы (VSS): логическое разделение одного устройства на несколько независимых NGFW.
Поддержка распределённых сетей: работа с филиалами, VPN, ZTNA, Site-to-Site VPN.
Практический совет: оценивайте планы роста бизнеса на 3–5 лет. Лучше взять модель с запасом по производительности.
1.5. Экономическая целесообразность (TCO)
При выборе NGFW важно смотреть не только на цену покупки, но и на все сопутствующие расходы.
Стоимость лицензий и оборудования: покупка и ежегодное обновление.
Стоимость внедрения и настройки: сложность настройки напрямую влияет на бюджет проекта.
Стоимость сопровождения и техподдержки: круглосуточная поддержка, обновление сигнатур.
Модель «плати только за то, что используешь» — приобретение только необходимых модулей.
Стоимость лицензий и оборудования: покупка и ежегодное обновление.
Стоимость внедрения и настройки: сложность настройки напрямую влияет на бюджет проекта.
Стоимость сопровождения и техподдержки: круглосуточная поддержка, обновление сигнатур.
Модель «плати только за то, что используешь» — приобретение только необходимых модулей.
Как выбрать NGFW:
пошаговый алгоритм
Этот алгоритм переводит теоретические критерии в практические действия. Как выбрать межсетевой экран — следуйте этим шагам.
| Шаг | Что делаем | Результат | |
| 1. Аудит инфраструктуры | Оцениваем текущую сетевую архитектуру, количество пользователей, трафик, политики безопасности | Понимание текущего состояния | |
| 2. Определение бизнес-задач | Для чего нужен NGFW? Защита периметра? Удалённый доступ? Импортозамещение? | Чёткое понимание целей | |
| 3. Формулирование функциональных требований | Какие функции обязательны (IPS, AppControl, VPN, SSL-инспекция, ZTNA)? | Список обязательных функций | |
| 4. Определение регуляторных требований | Нужна ли сертификация ФСТЭК? Для каких объектов (КИИ, ГИС, ИСПДн)? | Требования к сертификации | |
| 5. Составление бюджета (TCO) | Стоимость владения на 3–5 лет | Бюджет проекта | |
| 6. Сравнение 2–3 вендоров | Сравнение по критериям: безопасность, производительность, управляемость, масштабируемость, TCO | Короткий список кандидатов | |
| 7. Пилотное тестирование | Тестирование в лаборатории или на инфраструктуре | Реальные данные о работе | |
| 8. Решение и планирование внедрения | Выбор решения, планирование миграции и внедрения | Готовый план проекта |
Какие приоритеты у российских компаний при выборе NGFW?
По данным исследования ГК «Солар» (2024), в котором приняли участие более 100 компаний, лидерами среди функциональных критериев выбора NGFW стали:
Критерий | Доля компаний | |
| Централизованное управление, мониторинг и хранение логов | 64% | |
| Наличие сигнатур, разработанных вендором | 44% | |
| Встроенное прокси-решение и контроль доступа в интернет | 44% | |
| Контроль сетевых приложений на уровне L7 | 36% |
Интересный факт: согласно исследованию компании Ideco, главными приоритетами при выборе решений становятся интеграция NGFW с SIEM и простота эксплуатации. Однако ключевым сдерживающим фактором для отечественных продуктов респонденты называют производительность при высоких нагрузках.
К концу 2025 года ключевыми критериями выбора стали:
✅ Устойчивость к высоким нагрузкам
✅ Минимизация затрат на администрирование
✅Открытая интеграция с существующей инфраструктурой ИБ
✅Высокое качество сервиса со стороны дистрибьютора и вендора
Какие российские вендоры NGFW есть на рынке?
По данным исследования «СТРИМ Консалтинг», российские вендоры уже занимают свыше 60% рынка NGFW в стране. Ниже — краткая сравнительная таблица ключевых игроков.
| Вендор | Продукт | Производительность (L4 FW + AppControl) | Ключевая особенность | Сертификация | |
| UserGate | UserGate NGFW (DCFW) | до 400 Гбит/с | 130 000 правил, ГОСТ VPN, ZTNA, FPGA-ускоритель | ФСТЭК (УД4) | |
| Ideco | Ideco NGFW (Novum) | до 200 Гбит/с | 1 млн сессий/с, DPDK/VPP, 25 млн сессий | ФСТЭК, реестр Минпромторга | |
| Positive Technologies | PT NGFW | до 400 Гбит/с | 4 500+ приложений, IPS — 60 Гбит/с, VPN — 40+ Гбит/с | ФСТЭК | |
| Kaspersky | Kaspersky NGFW | до 180 Гбит/с | 6 000+ приложений, 7 000+ сигнатур | ФСТЭК, реестр Минцифры | |
| Код Безопасности | Континент 4 | по запросу | Двойная сертификация ФСТЭК + ФСБ, ГОСТ VPN, IKEv2/IPsec | ФСТЭК (4 класс), ФСБ | |
| InfoWatch | ARMA Стена (NGFW) | до 10 Гбит/с | Поддержка промышленных протоколов (Alpha.Link, OPC UA, Modbus) | ФСТЭК |
Чек-лист выбора NGFW
✅Проведён аудит текущей ИТ-инфраструктуры
✅Определены бизнес-задачи и сценарии ✅использования
✅Сформулированы обязательные функции (IPS, AppControl, VPN, SSL-инспекция)
✅Определены регуляторные требования (ФСТЭК, ФСБ)
✅Составлен бюджет с учётом TCO на 3–5 лет
✅Проведено сравнение 2–3 вендоров
✅Выполнено пилотное тестирование (в лаборатории или на инфраструктуре)
✅Выбрано решение с оптимальным балансом цена/качество
✅Спланирован этап внедрения и миграции
✅Определён уровень сопровождения и техподдержки
✅Определены бизнес-задачи и сценарии ✅использования
✅Сформулированы обязательные функции (IPS, AppControl, VPN, SSL-инспекция)
✅Определены регуляторные требования (ФСТЭК, ФСБ)
✅Составлен бюджет с учётом TCO на 3–5 лет
✅Проведено сравнение 2–3 вендоров
✅Выполнено пилотное тестирование (в лаборатории или на инфраструктуре)
✅Выбрано решение с оптимальным балансом цена/качество
✅Спланирован этап внедрения и миграции
✅Определён уровень сопровождения и техподдержки
Часто задаваемые вопросы
Как выбрать NGFW для компании?
Оцените масштаб (количество пользователей и трафик), необходимые функции (IPS, VPN, контроль приложений), требования регуляторов (ФСТЭК) и бюджет. Наши инженеры помогут с выбором NGFW для компании — оставьте заявку на консультацию.
Какие критерии выбора NGFW самые важные?
По данным исследований, ключевые критерии: централизованное управление (64%), наличие собственных сигнатур IPS (44%), интеграция NGFW с SIEM и производительность при высоких нагрузках.
Нужна ли сертификация ФСТЭК для NGFW?
Для госсектора, объектов КИИ, ГИС и ИСПДн — обязательна. Решение должно иметь сертификат ФСТЭК по 4-му классу защиты.
Какой NGFW лучше для ЦОД?
Для ЦОД рекомендуются высокопроизводительные решения: UserGate DCFW (до 400 Гбит/с, 130 000 правил), PT NGFW 3050 (до 400 Гбит/с) или Ideco NGFW Novum (до 200 Гбит/с). Все они поддерживают кластеризацию и отказоустойчивость.
Какой NGFW выбрать для импортозамещения?
Все ведущие российские вендоры предлагают решения для импортозамещения: UserGate, Ideco, PT NGFW, Kaspersky, «Континент 4», InfoWatch. Выбор зависит от масштаба и требований к производительности.
Сколько стоит NGFW?
Стоимость зависит от вендора, модели, производительности и количества лицензий. Цены варьируются от нескольких сотен тысяч рублей для младших моделей до миллионов для флагманских решений для ЦОД.
Можно ли протестировать NGFW перед покупкой?
Да, в ABRIKOS Labs мы предоставляем возможность пилотного тестирования NGFW на вашей инфраструктуре или в лабораторной среде. Вы сможете убедиться в производительности и функциональности решения до принятия решения о покупке.
Оцените масштаб (количество пользователей и трафик), необходимые функции (IPS, VPN, контроль приложений), требования регуляторов (ФСТЭК) и бюджет. Наши инженеры помогут с выбором NGFW для компании — оставьте заявку на консультацию.
Какие критерии выбора NGFW самые важные?
По данным исследований, ключевые критерии: централизованное управление (64%), наличие собственных сигнатур IPS (44%), интеграция NGFW с SIEM и производительность при высоких нагрузках.
Нужна ли сертификация ФСТЭК для NGFW?
Для госсектора, объектов КИИ, ГИС и ИСПДн — обязательна. Решение должно иметь сертификат ФСТЭК по 4-му классу защиты.
Какой NGFW лучше для ЦОД?
Для ЦОД рекомендуются высокопроизводительные решения: UserGate DCFW (до 400 Гбит/с, 130 000 правил), PT NGFW 3050 (до 400 Гбит/с) или Ideco NGFW Novum (до 200 Гбит/с). Все они поддерживают кластеризацию и отказоустойчивость.
Какой NGFW выбрать для импортозамещения?
Все ведущие российские вендоры предлагают решения для импортозамещения: UserGate, Ideco, PT NGFW, Kaspersky, «Континент 4», InfoWatch. Выбор зависит от масштаба и требований к производительности.
Сколько стоит NGFW?
Стоимость зависит от вендора, модели, производительности и количества лицензий. Цены варьируются от нескольких сотен тысяч рублей для младших моделей до миллионов для флагманских решений для ЦОД.
Можно ли протестировать NGFW перед покупкой?
Да, в ABRIKOS Labs мы предоставляем возможность пилотного тестирования NGFW на вашей инфраструктуре или в лабораторной среде. Вы сможете убедиться в производительности и функциональности решения до принятия решения о покупке.
