Главная мысль
Оценивайте путь трафика, контроль идентификации, фактическую производительность и границы ответственности при инциденте.
UTM: несколько функций в одном контуре управления
Под UTM обычно понимают объединение функций межсетевого экрана, VPN, IPS, веб-фильтрации, а иногда и защиты почты в одном устройстве или сервисе. Отдельно проверяйте, какие модули есть в конкретной платформе, включены ли они по умолчанию, как лицензируются, какова производительность с активным анализом и можно ли экспортировать журналы. Централизация может упростить управление, но отказ устройства, слишком широкое общее правило или узкое место обработки способны повлиять на многие функции сразу. Проверяйте реальные нагрузки с включёнными функциями анализа, а также подготовьте обновление, резервирование и откат.
Политики и видимость
Уточните, где находятся правила, оповещения и журналы аудита.
Ограничение ресурсов
Измерьте влияние анализа шифрованного трафика и IPS на CPU, память и пропускную способность.
Резервирование
Проверьте обновление, восстановление конфигурации и сценарии отказа.
SASE: сочетание сетевых и защитных сервисов
SASE объединяет сетевые функции и облачную безопасность в одной архитектуре. Сетевая часть может включать SD-WAN и выбор транспорта, а защитная — SWG, FWaaS, ZTNA, CASB и DLP. Определите состав предложения и способы применения каждой защитной меры. Облачные точки присутствия могут проверять трафик ближе к пользователю; в пилоте измерьте реальные маршруты, задержку, доступность журналов и регионы обработки данных. Совместно проверьте политики для пользователя, состояния устройства, приложения и ресурса, включая MFA и исключения.
SD-WAN
Может управлять выбором и маршрутизацией трафика по нескольким WAN-каналам.
ZTNA
Предоставляет доступ к конкретному приложению по пользователю и контексту, а не ко всей сети.
Облачный узел
Может находиться ближе к пользователю; проверьте задержку и регион обработки собственными тестами.
Критерии выбора UTM и SASE
Нанесите на схему текущие потоки и расположение пользователей: филиал–облако, удалённый сотрудник–внутреннее приложение, устройство–сеть управления. Затем письменно уточните, где применяются проверки, какой источник идентификации используется, как устроены исключения и журналы, кто отвечает за инцидент, что происходит при отказе и где обрабатываются данные. В независимом тесте измеряйте скорость при включённом анализе TLS-трафика, IPS и DLP; максимальная пропускная способность межсетевого экрана в спецификации может быть измерена в других условиях. В пилоте проверьте действующие приложения, MFA, исключения для принтеров/VoIP/IoT, переключение на резерв и экспорт конфигурации.
Потоки и задержка
Измеряйте в реальных местах пользователей, в пиковое время и на ключевых приложениях.
Политика доступа
Определите, кто, с какого устройства, к какому приложению и при каком контексте подключается.
Восстановление работы
Проверьте порядок обращения в поддержку, переключение на резерв, экспорт журналов и план перехода к другому провайдеру.
DoS и DDoS: цель — нарушить доступность
DoS стремится сделать сервис недоступным для легитимных пользователей: могут исчерпаться пропускная способность, таблица соединений, CPU/память или ресурсы приложения; эксплуатация ошибки в ПО также может привести к аварийной остановке сервиса. DDoS — распределённый вариант DoS, в котором участвует множество источников; одно лишь число IP-адресов не позволяет отличить атаку от законного трафика. Объёмный UDP/ICMP-поток, TCP SYN flood и HTTP flood на уровне приложения создают разную нагрузку; медленные соединения, например Slowloris, могут занимать подключения при небольшом объёме трафика. DoS не доказывает кражу данных, но может отвлекать команду защиты от другого вторжения.
Объёмная
Пытается заполнить канал трафиком; может потребоваться фильтрация у оператора или DDoS-провайдера.
Протокольная
SYN flood и подобные методы расходуют таблицу соединений и ресурсы протокола.
Уровень приложения
HTTP/API-запросы могут выглядеть легитимно; сравнивайте нагрузку на отдельные адреса API и поведение пользователей.
Снижайте последствия DDoS и восстанавливайте сервис
Знайте нормальный профиль трафика, зависимости сервисов и критичные адреса API. CDN и anycast могут распределять нагрузку, WAF — фильтровать запросы по правилам приложения, а ограничение частоты запросов — сокращать повторные обращения; ни одна мера не останавливает все атаки, а неверный лимит может блокировать легитимных пользователей. Заранее согласуйте с ISP и DDoS-провайдером перенаправление трафика и эскалацию. Во время атаки фиксируйте затронутый сервис, время, объёмы, распределение источников и изменения; проверяйте журналы приложений и аутентификации, поскольку за всплеском трафика может скрываться другое нарушение. Тестируйте план восстановления и связи с пользователями.
Наблюдение и классификация
Сравните нагрузку с обычным уровнем, определите целевой ресурс и тип трафика.
Снижение воздействия
Применяйте согласованные с провайдером фильтрацию и очистку трафика до вашей сети, CDN/WAF и ограничения частоты запросов.
Восстановление и расследование
Проверьте сервис, сохраните журналы и выясните, не маскирует ли атака другую активность.