Обзорная статья по UserGate UTM 6.1.9

Введение

Приветствую! В наше время очень важно обеспечить качественную информационную безопасность как для критически важных предприятий, так и для небольших организаций. Данную задачу можно решить с помощью межсетевого экрана следующего поколения(NGFW) российского вендора UserGate, UserGate UTM. В данной статье будет рассмотрена релизная на данный момент версия UGOS 6.1.9.

Описание продукта

UserGate UTM представляет из себя как аппаратное решение, так и виртуальное. Так как разные модели имеют разные технические характеристики, они классифицируются по количеству пользователей. В целом все модели отвечают заявленной производительности и благодаря этому облегчается правильный сайзинг оборудования для организаций.

Особенности

UserGate UTM как любое другое NGFW решение имеет очень широкий спектр функций. Его можно использовать как оборудования маршрутизации, так и устройство безопасности, либо совместить весь функционал в одном устройстве. UserGate разрабатывался по общепринятым стандартам RFC, поэтому весь функционал отвечает этим требованиям. Также стоит отметить, что все сетевые термины, используемые в рамках устройства, русифицированы, и сделано это вполне корректно, тем самым администраторам гораздо проще разобраться в том или ином функционале.

Личный опыт

В связи с событиями происходящими в мире, на данный момент UserGate находится в топ-3 NGFW решений которые сейчас активно внедряются в разного рода структуры и организации. Из личного опыта в качестве инженера-внедренца хочу сказать, что UserGate может решить практически любую задачу, как по части маршрутизации, так и по части информационной безопасности, но есть некоторые моменты, которые еще не реализованы в полной мере, об этом далее.

1. Интеграция с Active Directory. Как таковой функционал работает, пользователей и группы можно использовать в правилах межсетевого экрана и фильтрации контента, но когда дело доходит до динамического обновления состава групп используемых в правилах, это к сожалению работает некорректно. Вендор, с выходом новый версии 7.1 обещает выпустить своего рода коллектор для AD, что позволит UserGate вести постоянный опрос домена для обновления групп пользователей, и что в целом должно решить эту проблему.
2. VPN. Он есть, он работает, но тоже есть моменты которые стоит улучшить. Что касается Site-to-Site VPN, многим не хватает поддержки протокола ikev2, что отталкивает от внедрения UserGate в свою инфраструктуру. Подключение же удаленных пользователей в целом устраивает большинство клиентов, но многие, на примерах зарубежных вендоров, с которых переходят заказчики, привыкли подключаться посредством некоего “толстого” клиента, который в будущем также планируют выпустить.
3. Application Control. Данный функционал работает скажем так, странно. Лучше всего он работает на запрещение тех или иных приложений. Если же использовать application control в правилах разрешающих, в таком случае по такому правилу может пройти абсолютно любой трафик, так как для того чтобы приложение определилось необходимо несколько пакетов прошедших через UG. Что касается списка самих приложений, для некоторых задач его недостаточно, но он активно пополняется. Думаю что обе эти проблемы можно решить за счет предоставления для комьюнити принципов написания сигнатур приложений и добавления кастомных на сам NGFW.
4. IPDS. Что касается системы обнаружения вторжений, она отрабатывает так как и должна, из того что хотелось бы добавить, это добавление кастомных сигнатур.
5. Логи и дебаг. Что касается логов трафик, их вполне достаточно для мониторинга и определения проблем с доступом, правда хотелось бы, чтобы они обновлялись в “Real-time” и были на одной обновляемой странице. Что касается системных логов и в принципе дебага каких-либо проблем, здесь есть проблемы. Логи могут быть не всегда информативны, а запуск логирования уровня “дебаг” очень сильно загружает систему, что приводит к невозможности использования этого метода поиска проблем на уже внедренном в инфраструктуру UserGate. Инженеры технической поддержки вендора могут использовать данные возможности, но только посредством удаленного подключения через так называемого “удаленного помощника” что не всегда происходит оперативно и производится только посредством заведения тикета.
6. Производительность. Хоть я писал ранее, что каждая модель UserGate отвечает заявленной производительности, и что можно опираться на сайзинг по количеству пользователей, но любой реальный трафик неоднороден, в таких ситуациях возникают неприятные для бизнеса задержки. Для решения же этой задачи, возможно, помогло бы расширения модельного ряда, чтобы цены и производительность соотносилась с требованиями заказчиков.
7. CLI. Командная консоль имеет очень урезанный перечень возможностей настройки устройства. В основном её используют для указание IP адреса на интерфейсе и маршрутов, что предоставляет доступ к Web-консоли, откуда и производятся все настройки. Но это изменится с обновлением на UGOS 7, что даст полноценный набор настроек UserGate из CLI.

Заключение

Как уже было сказано, в целом UserGate можно рассматривать как полноценный NGFW от российского производителя. Да, пока с зарубежными вендорами ему тяжело соревноваться, есть проблемы над которыми вендору необходимо работать, исправлять и дополнять функционал, но я надеюсь что в ближайшем будущем многое поменяется.

Спасибо!