enterprise firewall ლიცენზია – რა უნდა იცოდეთ

ქსელის უსაფრთხოების პროექტები ხშირად ფაიერვოლის შერჩევით არ მთავრდება – რეალური ხარჯი და ფუნქციონალი ბევრ შემთხვევაში enterprise firewall ლიცენზიაზე გადის. სწორედ ლიცენზია წყვეტს, მიიღებთ თუ არა მხოლოდ ძირითად ფაიერვოლს, თუ სრულ პაკეტს – threat protection, IPS, URL filtering, application control, sandboxing, VPN შესაძლებლობები, ცენტრალიზებული მართვა და მწარმოებლის მხარდაჭერა.

თუ შესყიდვას IT გუნდი და procurement განყოფილება ერთად უყურებს, ამ საკითხში ყველაზე ძვირი შეცდომა არის მხოლოდ მოწყობილობის ფასის შედარება. ორი ერთნაირი კლასის appliance შეიძლება გარედან მსგავსად გამოიყურებოდეს, მაგრამ ლიცენზირების მოდელი მათ რეალურ შესაძლებლობებს სრულიად განსხვავებულად განსაზღვრავს. ამიტომ სწორი კითხვა არ არის მხოლოდ რომელი firewall ვიყიდოთ. სწორი კითხვაა – რომელი enterprise firewall ლიცენზია შეესაბამება ჩვენს ინფრასტრუქტურას, ტრაფიკის პროფილს და ოპერაციულ მოთხოვნებს.

რას მოიცავს enterprise firewall ლიცენზია

საბაზისო დონეზე firewall appliance ხშირად უზრუნველყოფს stateful inspection-ს, routing-ს, NAT-ს და ზოგჯერ VPN-ის ნაწილს. მაგრამ enterprise გარემოში ეს საკმარისი იშვიათად არის. ბიზნესს სჭირდება პოლიტიკების დეტალური კონტროლი, შეტევების აღმოჩენა, დაშიფრული ტრაფიკის ინსპექცია, მომხმარებელთა და აპლიკაციების იდენტიფიკაცია, ლოგირება და უწყვეტი განახლებები. სწორედ აქ ერთვება ლიცენზია.

მწარმოებლების მიხედვით პაკეტები სხვადასხვაა, თუმცა პრაქტიკულად ყველაზე ხშირად ლიცენზიაში შედის უსაფრთხოების სერვისების subscription, firmware და signature updates, cloud-based intelligence, ტექნიკური მხარდაჭერა და ზოგჯერ მოწყობილობის RMA პირობებიც. Fortinet, Cisco, Juniper, Huawei და სხვა მწარმოებლები ამ მიდგომას განსხვავებულად აწყობენ – ზოგს ერთიანი bundle აქვს, ზოგს მოდულური სქემა.

ეს განსხვავება procurement-ის ეტაპზე გადამწყვეტია. თუ კომპანიას სჭირდება მხოლოდ site-to-site VPN და ძირითადი ქსელური სეგმენტაცია, სრული UTM ან NGFW პაკეტი შეიძლება ზედმეტი იყოს. მაგრამ თუ საქმე ეხება მრავალფილიან გარემოს, დისტანციურ წვდომას, SaaS გამოყენებას და ინტერნეტიდან მაღალი რისკის ტრაფიკს, მინიმალური ლიცენზია ჩვეულებრივ სწრაფად აღმოჩნდება არასაკმარისი.

ლიცენზირების ძირითადი მოდელები

enterprise firewall ლიცენზია ერთიანი კატეგორია არ არის. ბაზარზე ყველაზე ხშირად შეხვდებით სამ მოდელს.

პირველი არის perpetual plus subscription მიდგომა. ამ შემთხვევაში თავად appliance ერთჯერადად იძენება, ხოლო უსაფრთხოების სერვისები და მხარდაჭერა წლიურად ან მრავალწლიანი ვადით ახლდება. ეს მოდელი მოსახერხებელია მაშინ, როცა კაპიტალური და ოპერაციული ბიუჯეტი ცალ-ცალკეა დაგეგმილი.

მეორე არის term-based ლიცენზირება, სადაც მოწყობილობის გამოყენების უფლებაც და სერვისებიც ერთ ვადაში ერთიანდება. ეს ვარიანტი ბევრ ორგანიზაციას უყვარს პროგნოზირებადი ხარჯის გამო, თუმცა ვადის გასვლის შემდეგ დამოკიდებულება განახლებაზე მაღალია.

მესამე არის feature-based ან add-on ლიცენზირება. აქ ძირითადი პლატფორმა ცალკეა, ხოლო IPS, advanced malware protection, centralized management ან SD-WAN ფუნქციები დამატებითი ლიცენზიებით ერთვება. ეს მოქნილია, მაგრამ შეფასება უფრო რთულდება, რადგან საბოლოო ფასი სტარტში დაბალი ჩანს და შემდეგ იზრდება.

რა განსაზღვრავს ფასს რეალურად

ფასი მხოლოდ მოწყობილობის კლასზე არ არის დამოკიდებული. პირველ რიგში გავლენას ახდენს throughput – არა მხოლოდ firewall throughput, არამედ threat inspection performance. ბევრ შემთხვევაში მონაცემთა ფურცელზე მითითებული მაღალი სიჩქარე აქტიური უსაფრთხოების სერვისების ჩართვის შემდეგ მნიშვნელოვნად მცირდება. თუ კომპანიას 1 Gbps ინტერნეტი აქვს, არ ნიშნავს, რომ 1 Gbps კლასის firewall საკმარისია.

მეორე ფაქტორია მომხმარებლების და სესიების რაოდენობა. რაც უფრო ინტენსიურია east-west და north-south ტრაფიკი, მით უფრო მაღალია მოთხოვნა რესურსებზე. ამას ემატება SSL inspection, რომელიც პროცესორს ძლიერ ტვირთავს და შესაბამის ლიცენზიასაც შეიძლება მოითხოვდეს.

მესამე ფაქტორია HA არქიტექტურა. თუ ორი მოწყობილობა active-passive ან active-active რეჟიმში მუშაობს, უნდა გადაამოწმოთ – ლიცენზია ერთ node-ზე ვრცელდება თუ კლასტერზე. ზოგი მწარმოებელი მეორად მოწყობილობაზე შეღავათიან რეჟიმს იძლევა, ზოგი – სრულ ცალკე ლიცენზიას ითხოვს.

მეოთხე ფაქტორია მხარდაჭერის დონე. 8×5 მხარდაჭერა და next business day ჩანაცვლება ერთი ფასია, 24×7 და სწრაფი hardware replacement – სხვა. კრიტიკული ინფრასტრუქტურისთვის ეს ხარჯი ხშირად გამართლებულია, მცირე ოფისისთვის – ყოველთვის არა.

სად უშვებენ კომპანიები ყველაზე ხშირ შეცდომას

ყველაზე გავრცელებული შეცდომაა ლიცენზიის ვადის და ფუნქციების სათანადოდ დაუგეგმაობა. procurement გუნდმა შეიძლება დაბალი საწყისი ფასი აირჩიოს, მაგრამ ერთი წლის შემდეგ განახლების ღირებულებამ პროექტი მნიშვნელოვნად გააძვიროს. ეს განსაკუთრებით ხშირია მაშინ, როცა პირველი შეთავაზება აქციურ bundle-ს ეფუძნება, renewal კი უკვე სტანდარტული ფასით ხდება.

მეორე შეცდომაა ფუნქციების ზედმეტი ყიდვა. თუ კომპანიას არ სჭირდება sandboxing ან advanced web filtering, ასეთი პაკეტის არჩევა რესურსის არაეფექტური გამოყენებაა. firewall უნდა ემთხვეოდეს რეალურ რისკს, შესაბამისობის მოთხოვნებს და ოპერაციულ პროცესს.

მესამე შეცდომაა მომავლის იგნორირება. დღეს 100 მომხმარებელზე გათვლილი მოდელი შეიძლება საკმარისი ჩანდეს, მაგრამ თუ უახლოეს 12-18 თვეში ფილიალები, VPN მომხმარებლები ან cloud workload-ები იზრდება, ახლანდელი ეკონომია სწრაფად გადაიქცევა ჩანაცვლების ხარჯად.

როგორ შეარჩიოთ სწორი enterprise firewall ლიცენზია

პრაქტიკაში სწორი არჩევანი იწყება არა ბრენდით, არამედ გამოყენების სცენარით. უნდა გაირკვეს, რა როლს შეასრულებს firewall – ინტერნეტ პერიმეტრი, data center segmentation, branch security, remote access VPN, თუ რამდენიმე ამოცანის კომბინაცია. ამის შემდეგ უკვე სწორი ხდება მოდელისა და bundle-ის შერჩევა.

შემდეგ უნდა შეფასდეს, რომელი სერვისებია კრიტიკული. თუ ორგანიზაცია მკაცრად აკონტროლებს ვებ წვდომას, URL filtering და application control პრიორიტეტული იქნება. თუ მთავარი რისკი არის ცნობადი შეტევები და ექსპლოიტები, IPS და threat intelligence უფრო მნიშვნელოვანი გახდება. თუ დისტანციური თანამშრომლები ბევრია, ყურადღება უნდა გამახვილდეს VPN capacity-ზე, MFA ინტეგრაციაზე და identity-based policy-ზე.

ამის შემდეგ აუცილებელია licensing lifecycle-ის დათვლა მინიმუმ სამწლიან ჭრილში. ერთწლიანი ლიცენზია ზოგჯერ საწყისად იაფია, მაგრამ სამწლიანი ან ხუთწლიანი კონტრაქტი მთლიან ღირებულებაში უფრო მომგებიანი გამოდის. ამას ემატება მიწოდების, განახლების და მხარდაჭერის უწყვეტობის ფაქტორი, რაც ბიზნესისთვის ხშირად უფრო მნიშვნელოვანია, ვიდრე ნომინალურად დაბალი ფასი.

ბრენდებს შორის განსხვავება რატომ აქვს მნიშვნელობა

Cisco, Fortinet, Juniper, Huawei და სხვა მწარმოებლები ერთი და იმავე ტერმინებს ხშირად განსხვავებული შინაარსით იყენებენ. მაგალითად, ერთ vendor-თან threat protection bundle შეიძლება მოიცავდეს IPS, antivirus და application control-ს, ხოლო სხვასთან web filtering ან sandboxing უკვე ცალკე იყოს. ამიტომ მხოლოდ სახელწოდებების შედარება არასაკმარისია.

ასევე გასათვალისწინებელია მართვის პლატფორმა. ცენტრალიზებული ადმინისტრირება, მრავალმოწყობილობიანი deployment, ლოგების შენახვა და ანგარიშგება შეიძლება cloud-ით, virtual appliance-ით ან ცალკე management license-ით მუშაობდეს. თუ კომპანიას რამდენიმე ფილიალი აქვს, ეს საკითხი განსაკუთრებით მნიშვნელოვანია.

ადგილობრივ ბაზარზე კიდევ ერთი პრაქტიკული ფაქტორია ხელმისაწვდომობა. როცა პროექტი სწრაფ ვადებში სრულდება, მნიშვნელოვანია არა მხოლოდ სასურველი მოდელის არსებობა, არამედ შესაბამისი enterprise firewall ლიცენზიის დროული მოწოდებაც. სწორედ აქ არის ღირებული მომწოდებელი, რომელსაც ერთდროულად შეუძლია მოწყობილობის, ლიცენზიის და ბიზნეს-შესყიდვის პროცესის მართვა. GreenCode Tech-ის ტიპის ტექნოლოგიური მომწოდებელი ასეთ სცენარში procurement-ს ამარტივებს, რადგან მყიდველს ცალ-ცალკე არხებთან მუშაობა აღარ უწევს.

როდის ღირს სრული პაკეტი და როდის – მხოლოდ აუცილებელი

სრული უსაფრთხოების პაკეტი გამართლებულია მაშინ, როცა ორგანიზაცია მუშაობს ინტენსიურ ინტერნეტ ტრაფიკთან, აქვს ჰიბრიდული ინფრასტრუქტურა, ამუშავებს სენსიტიურ მონაცემებს ან ექვემდებარება შესაბამისობის მოთხოვნებს. ასეთ პირობებში განახლებადი signatures, advanced inspection და vendor support პირდაპირ ამცირებს ინციდენტის რისკს.

მხოლოდ აუცილებელ ფუნქციებზე დაფუძნებული ლიცენზია უფრო გონივრულია მცირე ან მკაფიოდ განსაზღვრულ გარემოში – მაგალითად ფილიალში, სადაც მთავარი ამოცანაა VPN კავშირი, საბაზისო სეგმენტაცია და ცენტრალური პოლიტიკის მიღება. აქ სრული security stack შეიძლება ზედმეტი იყოს, განსაკუთრებით თუ დამატებითი ანალიზი სხვა პლატფორმაზე კეთდება.

არჩევანი დამოკიდებულია არა მხოლოდ უსაფრთხოებაზე, არამედ ოპერაციულ სიმარტივეზეც. მეტი ფუნქცია ნიშნავს მეტ პოლიტიკას, მეტ ლოგს და მეტ ადმინისტრირებას. თუ გუნდს ამის მართვის რესურსი არ აქვს, ზედმეტად კომპლექსური ლიცენზია პრობლემას კი არ აგვარებს, არამედ ზრდის.

საბოლოო გადაწყვეტილება როგორ მიიღოთ

საუკეთესო მიდგომაა სამი მონაცემის ერთად შეფასება – ტექნიკური მოთხოვნა, სამი ან ხუთი წლის სრული ღირებულება და მიწოდების რეალისტური ვადა. მხოლოდ ამ სამეულის შემდეგ ჩანს, ნამდვილად გამართლებულია თუ არა კონკრეტული ბრენდი, appliance და subscription პაკეტი.

enterprise firewall ლიცენზია არ არის ფორმალური დამატება. ის არის ის ნაწილი, რომელიც განსაზღვრავს რამდენად ეფექტურად იმუშავებს შეძენილი უსაფრთხოების პლატფორმა მეორე, მესამე და მეოთხე წელსაც. თუ გადაწყვეტილებას იღებთ ახლავე, შეაფასეთ არა მხოლოდ ის, რას ყიდულობთ დღეს, არამედ რა დაგრჩებათ მოქმედი, მხარდაჭერილი და მართვადი ხვალ.