Андрей Ларшин, 29/01/25
NGFW и SOC – это передовые инструменты для обеспечения безопасности корпоративных сетей. RED Security предлагает услуги собственного SOC в формате MSS-сервиса, а также ведет разработку собственных решений в области сетевой безопасности. Рассмотрим, основываясь на накопленном опыте, как эти технологии связаны между собой, как дополняют друг друга и какие сложности в связи с этим возникают.
Автор: Андрей Ларшин, руководитель направления NGFW, RED Security
NGFW – логи – SOC
Работа SOC основывается на данных логов, которые, по сути, служат главным источником информации о происходящем в инфраструктуре. Без них система теряет возможность отслеживать активность. В этом контексте NGFW – один из основных генераторов логов, фиксирующий подавляющее большинство событий, включая попытки атак и проявления вредоносной активности.
Основываясь на настроенных правилах, NGFW самостоятельно блокирует известные угрозы и создает подробные записи о своих действиях. Логи об этом поступают в SOC, где тщательно исследуются аналитиками и проходят корреляцию с событиями, зафиксированными другими системами. Результатом становится выявление новых, ранее неизвестных атак.
После обнаружения новой угрозы SOC анализирует ее характеристики и формулирует артефакты, которые затем используются для обучения NGFW: они превращаются в сигнатуры, позволяя NGFW в дальнейшем распознавать и блокировать аналогичные угрозы автоматически.
Такое взаимодействие SOC и NGFW – это замкнутый цикл, где каждое событие и каждая угроза становятся частью адаптивной системы, способной учиться на происходящем и постоянно совершенствовать методы защиты. Такая синергия создает не просто "огненную стену" безопасности, но интеллектуальный барьер, который с каждым новым вызовом становится только прочнее.
Эффективная работа SOC и NGFW напрямую зависит от качества логов. Мы в RED Security руководствуемся принципом "нет логов – нет NGFW", который подразумевает оптимизацию логирования для предоставления в SOC необходимых данных без излишней перегрузки системы. Дело вот в чем.
Оптимизация логирования
На первый взгляд может показаться, что чем больше логов собирается, тем эффективнее работает система анализа. Однако реальность куда сложнее. Избыточное логирование порождает огромные массивы данных, которые создают повышенную нагрузку на NGFW и серверы, замедляя их работу и снижая общую производительность. К тому же перенасыщенные каналы передачи данных могут стать узким местом в инфраструктуре, особенно если логи отправляются в текстовом формате Syslog, известном своим внушительным объемом.
Решение этой проблемы – оптимизация логирования.
Один из эффективных подходов – использование компактного формата передачи данных, например Netflow, который существенно уменьшает объемы трафика. Другой метод – агрегирование однотипных событий: вместо тысячи отдельных записей система создает одно обобщенное сообщение "зарегистрировано событие типа X, количество случаев – 1000". Этот подход похож на работу файлового архиватора, он позволяет существенно снизить нагрузку на инфраструктуру, сохраняя при этом всю необходимую информацию для анализа и принятия решений.
Но оптимизация логов – лишь часть большого пазла, который нужно собрать для эффективной работы SOC.
Проблема унификации
Несмотря на то, что большинство систем передают логи в текстовом формате, их структура сильно различается у разных производителей. Например, поля вроде "исходящий адрес" или "входящий порт" могут называться по-своему в разных решениях и иметь разные типы. Чтобы SOC мог анализировать и сопоставлять эти данные, приходится приводить их к единому формату. Сложность возрастает, если используются SIEM от разных производителей: у каждой системы свои форматы и подходы к написанию правил корреляции.
Тем не менее, в этой области заметен прогресс: внедрение стандартов вроде Stix для машиночитаемых фидов и Taxi для их доставки упрощает интеграцию данных, делая ее более автоматизированной.
Свой вклад в стандартизацию вносят системы IPS и IDS, совместимые с популярными форматами, такими как Snort и Suricata. Для них предоставляются огромные готовые библиотеки для работы с угрозами, что упрощает настройку и автоматизацию защиты.
Однако и здесь необходимо найти баланс между объемом и детализацией логов. Чем больше информации фиксируется в событии, тем больше возможностей для анализа и выявления угроз. Но избыточная детализация перегружает систему, снижая ее производительность. Недостаток же данных, напротив, ограничивает глубину анализа, оставляя некоторые угрозы незамеченными.
Вызовы производительности NGFW
NGFW – это словно швейцарский нож для сетевой безопасности: каждый элемент должен быть функциональным, компактным и невероятно точным. Но даже у швейцарских ножей есть слабые места. У NGFW – это наша любимая (и немного своенравная) шина PCI. Она похожа на офисного работника, которого одновременно касается всё: обработка пакетов, передача данных, генерация логов, запись их на диск. В общем, настоящая многозадачность, которая превращает шину в "бутылочное горлышко" всей системы.
Особенно это чувствуется при создании высокопроизводительных ПАК NGFW, где нагрузка просто зашкаливает. Логи в таких условиях становятся не просто данными, а чем-то вроде снежного кома: они растут в реальном времени и сильно тормозят производительность. PCI-шина буквально задыхается под этой лавиной данных, и становится понятно, что одной ей не справиться.
Что же делать? Тут в игру вступает архитектурная магия – разумно вынести систему логирования в отдельный блок. Он становится помощником шины PCI, который берет на себя сбор, сортировку и упаковку логов, чтобы основная система могла сосредоточиться на главной задаче – защите сети. Этот блок в реальном времени собирает данные, агрегирует их, приводит к единому формату и отправляет в SIEM, уже избавив от лишнего мусора.
Такой подход не только снимает нагрузку с PCI-шины, но и ускоряет работу всей системы. Это как убрать пробку на дороге: трафик начинает двигаться быстрее, и все довольны. Грамотное распределение задач и немного технической изобретательности помогают преодолеть даже самые сложные ограничения. И, главное, NGFW остается верен своему предназначению – защищать сеть на самом высоком уровне и по качеству, и по модели OSI.
Баланс правил в NGFW
Настройка правил в NGFW – это не просто галочка в списке тривиальных задач, а настоящее искусство, сродни приготовлению изысканного блюда: слишком много соли – пересолишь (и SIEM-система "захлебнется" в данных), слишком мало – получится пресно (SOC не сможет разглядеть угрозы за отсутствием информации). Найти баланс – задача, требующая точности, опыта и капли профессиональной магии.
Современные SOC – это настоящие монстры Big Data с мощными хранилищами и вычислительными супервозможностями, но даже они пасуют перед некорректной настройкой. Все упирается в человеческий фактор: грамотная конфигурация NGFW требует специалистов, которые знают свое дело. Без них даже самые крутые железки превращаются в красивый, но практически бесполезный аксессуар.
Дополнительные проблемы создают сами NGFW, если их архитектура ограничивает количество правил. Некоторые устройства уже при 5–8 тыс. правил начинают "потеть", а другие без напряжения обрабатывают сотни тысяч. Наши испытания показали, что NGFW может легко переваривать 500 тыс. правил в одном тенанте и оставаться стабильным даже при добавлении второго. Да, современные технологии способны на многое, но все упирается в правильную настройку.
Зоны ответственности
А теперь представьте себе крупную корпорацию с парком NGFW от разных производителей. Настройка тут превращается в квест: одна платформа "думает" так, другая иначе, а администраторы SOC и NGFW часто работают в разных департаментах (или даже в разных организациях). В итоге SOC видит, что атаки происходят, но не может внести изменения в правила NGFW, потому что это не его зона ответственности. Бюрократия и техническая разобщенность – то еще комбо!
Правильная настройка NGFW не происходит одномоментно по взмаху волшебной палочки – это кропотливый процесс. Здесь важно учитывать не только технические аспекты, но и организационные нюансы: кто управляет правилами, как координируются команды и насколько готовы специалисты решать возникающие конфликты. Иногда без консалтинга и сторонней помощи просто не обойтись.
В итоге эффективность NGFW определяется не только его техническими возможностями, но и опытом, знаниями и слаженной работой специалистов. Это как оркестр: даже если рояль идеально настроен, без талантливого пианиста он не зазвучит.
Заключение
NGFW – это страж у ворот корпоративной сети, он первый замечает аномалии и фиксирует их, опираясь на заранее заданные правила. Эти правила – результат работы специалистов, которые решают, какие события достойны попасть в логи. Дальше в игру вступает SOC, словно детектив, который внимательно изучает и анализирует события, чтобы выявить новые, неизвестные атаки.
Идеальные условия для сбора данных возникают там, где крупные провайдеры, SOC и производители NGFW объединяют усилия в рамках единой экосистемы, которая позволяет собирать информацию из множества источников через мощные каналы передачи данных. Провайдеры, с их доступом к огромным объемам трафика, становятся ключевым звеном для анализа. Только так возникает возможность аккумулировать огромные массивы статистики, доступные для исследования. Это рождает оптимальные условия для создания точных и эффективных фидов, а значит, и для построения надежной защиты.
Такой подход превращает NGFW и SOC в мощный дуэт, где данные и аналитика объединяются ради главной цели – безопасности.
