ბიზნესისთვის firewall როგორ ავირჩიოთ სწორად

ოფისში ინტერნეტი რომ მუშაობდეს, ეს საკმარისი აღარ არის. თუ კომპანიაში იყენებთ ERP-ს, cloud სერვისებს, VPN-ს, დისტანციურ წვდომას ან რამდენიმე ფილიალს შორის კავშირს, firewall უკვე არა უბრალოდ ქსელური მოწყობილობაა, არამედ ბიზნეს-რისკის კონტროლის წერტილია. სწორედ ამიტომ კითხვა – ბიზნესისთვის firewall როგორ ავირჩიოთ – უნდა გადაწყდეს არა მხოლოდ ფასით, არამედ რეალური დატვირთვით, უსაფრთხოების მოთხოვნებით და მომავალი ზრდის გათვლით.

ბიზნესისთვის firewall როგორ ავირჩიოთ – პირველი კრიტერიუმები

ყველაზე გავრცელებული შეცდომა არის firewall-ის არჩევა ისე, თითქოს ეს უბრალოდ ინტერნეტის „დამცავი ყუთი“ იყოს. რეალურად, ბიზნეს-გარემოში firewall ხშირად აერთიანებს traffic filtering-ს, VPN-ს, აპლიკაციების კონტროლს, intrusion prevention-ს, web filtering-ს და ზოგჯერ SD-WAN ფუნქციებსაც. ამიტომ არჩევა უნდა დაიწყოს ერთი მარტივი კითხვით – რას უნდა იცავდეს ეს მოწყობილობა და რა დატვირთვაზე.

თუ კომპანიაში 15 თანამშრომელია და ძირითადად გამოიყენება ელფოსტა, ბრაუზერი და საბუღალტრო სისტემა, მოთხოვნა ერთია. თუ უკვე გაქვთ რამდენიმე სერვერი, IP ტელეფონია, ფილიალებს შორის VPN, ვიდეოკონფერენცია და სტუმრის Wi-Fi, საჭიროება სხვანაირად უნდა შეფასდეს. იგივე ეხება ონლაინ მაღაზიას, საბანკო ინტეგრაციებს, წარმოების ქსელს ან კამერების ინფრასტრუქტურას.

პირველ ეტაპზე უნდა გაიწეროს ქსელის სურათი. რამდენი მომხმარებელი გყავთ დღეს, რამდენი გეყოლებათ 12-24 თვეში, რამდენი ოფისი ან ლოკაციაა, გჭირდებათ თუ არა საიტებს შორის დაცული კავშირი, გაქვთ თუ არა საჯარო სერვისები, და საჭიროა თუ არა თანამშრომლებისთვის დისტანციური წვდომა. ამ კითხვებზე პასუხის გარეშე firewall-ის მოდელის არჩევა ხშირ შემთხვევაში ან ზედმეტი ხარჯია, ან არასაკმარისი დაცვა.

ნუ უყურებთ მხოლოდ Mbps-ს

ბევრი მყიდველი ჯერ throughput-ს ადარებს და არჩევანს მხოლოდ ამ რიცხვით აკეთებს. ეს ნაწილობრივ სწორია, მაგრამ არასაკმარისი. მწარმოებლის ტექნიკურ აღწერაში ხშირად რამდენიმე განსხვავებული მაჩვენებელია – firewall throughput, threat protection throughput, IPS throughput, VPN throughput. ყველაზე დიდი ციფრი, როგორც წესი, მხოლოდ ძირითადი ფილტრაციისთვის არის და არა ყველა უსაფრთხოების ფუნქციის ჩართული რეჟიმისთვის.

პრაქტიკაში ბიზნესისთვის მნიშვნელობა აქვს იმას, რა სიჩქარეს მიიღებთ მაშინ, როცა აქტიურია რეალური დაცვა. თუ იყიდეთ მოწყობილობა, რომელსაც მაღალი raw throughput აქვს, მაგრამ IPS, application control და web filtering ჩართვის შემდეგ სიჩქარე მკვეთრად ეცემა, მომხმარებლები პირველივე კვირაში იგრძნობენ შეფერხებას. ამის შემდეგ ხშირად იწყება არასასიამოვნო კომპრომისი – ან ფუნქციებს თიშავენ, ან ისევ ახალი მოწყობილობის ყიდვა ხდება.

სწორი მიდგომაა მაქსიმალურ ინტერნეტარხს კი არა, რეალურ დატვირთვას შეხედოთ. თუ თქვენი არხი 500 Mbps-ია, VPN-ებიც გამოიყენება და უსაფრთხოების სერვისებიც უნდა იყოს ჩართული, მოწყობილობა უნდა შეირჩეს არა ნომინალურ, არამედ protected throughput-ის გათვალისწინებით.

Next-Generation Firewall ნამდვილად გჭირდებათ?

დღეს მცირე და საშუალო ბიზნესისთვისაც ხშირად გამართლებულია NGFW კლასის მოწყობილობა. მიზეზი მარტივია – საფრთხეები აღარ მოდის მხოლოდ პორტების ან IP მისამართების დონეზე. საჭიროა აპლიკაციების ამოცნობა, კატეგორიების მიხედვით ვებ-ფილტრაცია, მავნე აქტივობის გამოვლენა და პოლიტიკების უფრო ზუსტი მართვა.

თუმცა NGFW ყოველთვის არ ნიშნავს, რომ ყველაფერი მაქსიმალურად უნდა ჩართოთ. თუ კომპანიას არ ჰყავს ადმინისტრატორი, რომელიც პოლიტიკებს სწორად მოაწყობს და ალერტებს მიხედავს, ძვირადღირებული ფუნქციები შეიძლება გამოუყენებელი დარჩეს. ასეთ დროს ჯობს აირჩიოთ მოდელი, რომელიც გაძლევთ საჭირო სერვისებს, მაგრამ მართვა შედარებით მარტივია და ლიცენზირების სქემაც გასაგებია.

რა ფუნქციებია რეალურად მნიშვნელოვანი

ფუნქციების ჩამონათვალი მწარმოებლების კატალოგებში ყოველთვის შთამბეჭდავად გამოიყურება, მაგრამ ბიზნესის მხარეს გადაწყვეტილება უნდა ემყარებოდეს გამოყენებადობას. თითქმის ყველა კომპანიას სჭირდება stateful inspection, site-to-site VPN, remote access VPN, basic web filtering და network segmentation-ის შესაძლებლობა. თუ გაქვთ ბუღალტრული სისტემა, ფაილსერვერი, კამერები და სტუმრის ქსელი, VLAN-ებით სეგმენტაცია უკვე აუცილებლობას უახლოვდება.

თუ თანამშრომლები ხშირად მუშაობენ სახლიდან ან მოგზაურობის დროს ერთვებიან შიდა რესურსებზე, remote VPN-ის ხარისხი და ერთდროული მომხმარებლების რაოდენობა პრიორიტეტია. თუ რამდენიმე ოფისი გაქვთ, მნიშვნელოვანია რამდენად სტაბილურად მუშაობს site-to-site VPN და რამდენად მარტივია failover სცენარები. თუ აქტიურად იყენებთ SaaS პლატფორმებს, გამოსადეგია აპლიკაციების კონტროლი და ტრაფიკის პრიორიტეტიზაცია.

IDS/IPS, antivirus, sandboxing ან SSL inspection ყველა კომპანიას ერთნაირი სიღრმით არ სჭირდება. მაგალითად, მცირე ოფისისთვის სრული SSL inspection შეიძლება ზედმეტად დაამძიმოს ინფრასტრუქტურა. მეორე მხრივ, ფინანსური, იურიდიული ან მონაცემებზე ორიენტირებული ბიზნესი ამ ფუნქციებს უფრო სერიოზულად უნდა უყურებდეს.

Firewall თუ UTM?

ხშირად ეს ტერმინები ერთმანეთში ერევა. მარტივად რომ ვთქვათ, UTM უფრო კონსოლიდირებულ მიდგომას გულისხმობს – ბევრი უსაფრთხოების ფუნქცია ერთ მოწყობილობაში. მცირე და საშუალო კომპანიებისთვის ეს პრაქტიკულია, რადგან ცალკე appliance-ების შენახვა და მართვა ძვირი ჯდება. მაგრამ როცა ქსელი იზრდება, პოლიტიკები რთულდება და სიჩქარის მოთხოვნა იმატებს, შეიძლება უფრო ძლიერი NGFW ან სპეციალიზებული არქიტექტურა გახდეს საჭირო.

ამიტომ არჩევანი ზომაზე კი არა, ოპერაციულ მოდელზეა. თუ გჭირდებათ ერთი პლატფორმა, რომელიც შედარებით მარტივად მართავს ძირითად დაცვას, UTM-კლასის მოწყობილობა ლოგიკური ვარიანტია. თუ გაქვთ მაღალი ტრაფიკი, მკაცრი სეგმენტაცია და ღრმა ინსპექტირების მოთხოვნა, ყურადღება უფრო მაღალ კლასზე უნდა გადაიტანოთ.

ბრენდი, ეკოსისტემა და მხარდაჭერა

Firewall ერთჯერადი ყიდვა არ არის. ის მუშაობს პოლიტიკებით, განახლებებით, ლიცენზიებით და ტექნიკური მხარდაჭერით. ამიტომ ბრენდის არჩევისას მარტო სახელის ცნობადობა არ კმარა. უნდა შეაფასოთ, რამდენად კომფორტულია ადმინისტრირება, რა ღირს განახლება, რამდენად სწრაფად იშოვება შესაბამისი მოდელი ან ჩანაცვლება და რამდენად მარტივად ეწყობა უკვე არსებულ ინფრასტრუქტურასთან.

კომპანიები, რომლებიც უკვე მუშაობენ Cisco, Fortinet, Juniper, Huawei ან HPE ეკოსისტემაში, ხშირად იგებენ იმით, რომ მართვა, ინტეგრაცია და სტანდარტიზაცია უფრო მარტივია. მაგალითად, თუ თქვენი ქსელური ინფრასტრუქტურა უკვე კონკრეტულ ვენდორზეა აწყობილი, firewall-ის იმავე ეკოსისტემიდან შერჩევა ზოგჯერ ამცირებს დანერგვის დროს და ადმინისტრირების სირთულეს. მაგრამ ეს ავტომატური წესი არ არის – ხანდახან სხვა ბრენდი უკეთეს ფასს ან ფუნქციურ შესაბამისობას გაძლევთ.

მხარდაჭერის საკითხიც კრიტიკულია. თუ მოწყობილობა დაზიანდა ან ლიცენზია შეწყდა, პრობლემა მარტო უსაფრთხოების კი არა, ოპერაციების უწყვეტობის საკითხიც ხდება. ამიტომ წინასწარ უნდა იცოდეთ, როგორია საგარანტიო პირობები, ხელმისაწვდომია თუ არა განახლება, არსებობს თუ არა შესაბამისი ლიცენზიის სწრაფი მიწოდება და რამდენად რეალურია ჩანაცვლების დროული ორგანიზება.

ლიცენზია და სრული ფასი

Firewall-ის რეალური ღირებულება ხშირად ბევრად მეტია, ვიდრე თავად მოწყობილობის ფასი. ბევრი მოდელი მუშაობს საბაზისო რეჟიმში, მაგრამ უსაფრთხოების მნიშვნელოვანი ფუნქციები მოითხოვს წლიურ ან მრავალწლიან ლიცენზიას. თუ ეს წინასწარ არ გაითვალისწინეთ, პირველ ეტაპზე იაფი არჩევანი მეორე წელს შეიძლება უფრო ძვირი აღმოჩნდეს.

სწორად უნდა დაინახოთ სრული ხარჯი – მოწყობილობა, უსაფრთხოების პაკეტი, VPN ლიმიტები თუ არსებობს, ცენტრალური მართვა, განახლებები და მხარდაჭერის დონე. ზოგიერთ კომპანიას ურჩევნია კაპექსის შემცირება და რამდენიმე წლიანი პაკეტის ერთად ყიდვა. სხვებისთვის უფრო მოქნილია ეტაპობრივი გაფართოება. ორივე მოდელი მისაღებია, თუ მთლიანი ხარჯი და შეზღუდვები თავიდანვე გამჭვირვალეა.

რა კითხვები უნდა დაუსვათ მომწოდებელს

როცა მოდელს არჩევთ, ტექნიკური ფურცელი მარტო დასაწყისია. პრაქტიკული გადაწყვეტილებისთვის მომწოდებელს უნდა ჰკითხოთ, რა წარმადობა აქვს ჩართული უსაფრთხოების სერვისებით, რამდენი ერთდროული VPN მომხმარებელი უჭერს მხარს, რამდენად მარტივია HA ან failover სქემის აწყობა, არის თუ არა მოდელი მზად ფილიალებს შორის კავშირისთვის და რა ლიცენზია სჭირდება პირველივე დღიდან.

ასევე უნდა გაირკვეს, შეესაბამება თუ არა მოწყობილობა თქვენს არხს, მომხმარებელთა რაოდენობას და ზრდის გეგმას. თუ ახლავე ყიდულობთ ზღვარზე მყოფ მოდელს, ერთი წლის შემდეგ ისევ გამოცვლა დაგჭირდებათ. მცირე რეზერვი თითქმის ყოველთვის გამართლებულია, განსაკუთრებით მაშინ, როცა ბიზნესი იზრდება ან დამატებითი სერვისების ჩართვას გეგმავთ.

თუ შესყიდვა ხდება ორგანიზაციის დონეზე, სასარგებლოა შედარება არა მხოლოდ ბრენდებს შორის, არამედ კლასებს შორისაც. ზოგჯერ ერთი უფრო მაღალი კლასის მოწყობილობა ჯამში უფრო მომგებიანია, ვიდრე შედარებით იაფი მოდელი, რომელსაც მალე რესურსი აღარ ეყოფა.

ბიზნესისთვის firewall როგორ ავირჩიოთ პრაქტიკულად

თუ მოკლე ოპერაციულ ჩარჩოს გავყვებით, ჯერ განსაზღვრეთ მომხმარებლების რაოდენობა, ინტერნეტარხი, VPN საჭიროება და სეგმენტაციის დონე. შემდეგ შეარჩიეთ არა უბრალოდ firewall throughput, არამედ threat protection და VPN წარმადობის მიხედვით. ამის შემდეგ შეაფასეთ ლიცენზიის სრული ღირებულება, მხარდაჭერის რეალური პირობები და ის, რამდენად ეწყობა არჩეული მოწყობილობა თქვენს არსებულ ქსელს.

საბოლოო არჩევანში იაფი და ძვირი ხშირად არ არის მთავარი დაყოფა. მთავარი განსხვავებაა სწორად გათვლილ და არასწორად შერჩეულ მოწყობილობას შორის. ბიზნესს სჭირდება firewall, რომელიც გაუძლებს რეალურ ტრაფიკს, არ გახდება bottleneck, ექნება გასაგები მხარდაჭერის მოდელი და ადმინისტრირების მხრივ ზედმეტ ტვირთს არ შექმნის.

თუ შესყიდვას აწარმოებთ რამდენიმე ბრენდს შორის, პრაქტიკული მიდგომაა 2-3 ვარიანტის შედარება ერთსა და იმავე სცენარზე – მომხმარებლების რაოდენობა, ჩართული ფუნქციები, VPN დატვირთვა, ლიცენზიის ვადა და საერთო ხარჯი. ასეთ ფორმატში გადაწყვეტილება უფრო სწრაფად მიიღება და ნაკლებია იმის რისკი, რომ არჩევანი მხოლოდ მარკეტინგულ აღწერაზე დაყრდნობით გაკეთდეს. GreenCode Tech-ის ტიპის მომწოდებელთან უპირატესობა ისაა, რომ ბრენდების ფართო არჩევანი და ბიზნეს-შესყიდვაზე ორიენტირებული შეთავაზება საშუალებას გაძლევთ მოდელი მოთხოვნიდან დაიწყოთ და არა საწყობში შემთხვევით არსებულიდან.

სწორი firewall არ არის ის, რომელსაც ყველაზე გრძელი ფუნქციების სია აქვს. სწორი firewall არის ის, რომელიც თქვენს ქსელს შეესაბამება დღეს, დატოვებს ზრდის სივრცეს ხვალისთვის და პრობლემას არ შეგიქმნით მაშინ, როცა დაცვა ყველაზე მეტად დაგჭირდებათ.