NGFW защищает периметр, но не контролирует все риски в веб-трафике. В статье разберем, какие угрозы остаются без внимания, почему SSL/TLS-инспекция снижает производительность и как SWG дополняет NGFW.
Что NGFW не видит в веб-трафике
NGFW контролирует сетевые соединения — протоколы, порты, IP-адреса. Но когда сотрудник открывает корпоративный Google Drive, загружает файл через веб-форму или использует ChatGPT — NGFW чаще всего фиксирует только факт HTTPS-соединения. Кто загрузил, что загрузил, через какой сервис, по какому URL, какой файл — всего этого в сетевом логе нет.
Именно здесь живут актуальные угрозы:
- утечки через облачные сервисы;
- вредоносные вложения;
- обход политик через SOCKS5 и WebSocket;
- неконтролируемый доступ к ИИ-сервисам.
Без SWG это слепая зона, которую не закроет никакое усиление периметра.
Почему веб-инспекция перегружает NGFW?
Когда NGFW берет на себя SSL/TLS-дешифрование, контентную фильтрацию и логирование веб-трафика, он работает за два класса решений одновременно. Это не абстрактная архитектурная проблема, а измеримая деградация производительности.
Независимое нагрузочное тестирование показывает: при включении веб-модулей и росте числа правил пропускная способность NGFW падает до 91%. У части вендоров — до нуля. При росте HTTPS-трафика компания вынуждена покупать более мощный и дорогой межсетевой экран, хотя узкое место создает именно веб-инспекция, а не периметровые задачи.
Веб-правила «раздувают» общую сетевую политику, усложняют отладку и повышают риск отказа там, где нужна максимальная стабильность.
Как масштабировать веб-контроль отдельно от периметра?
Solar webProxy встает рядом с NGFW и принимает на себя весь веб-трафик пользователей: SSL/TLS-инспекцию, контентную фильтрацию, контроль файлов и загрузок, SaaS и ИИ-сервисов. NGFW освобождается для своих задач — межсетевого экранирования и защиты периметра IPS и VPN.
В результате компания получает:
- стабильную работу периметра;
- детальный контекст по каждому веб-действию пользователя;
- предсказуемые расходы на масштабирование — при росте числа пользователей или открытии филиала достаточно добавить SWG-узел без замены межсетевого экрана;
- базу категоризации из 30 млн сайтов с автоматическим обновлением;
- интеграции с DLP, антивирусами, SIEM и песочницами.
NGFW и SWG — не конкуренты. Это эшелонированная защита, где каждый слой делает свое: один закрывает периметр, второй — веб-канал. Узнайте, есть ли слепые зоны в вашей инфраструктуре →