Что делает NGFW, когда IPS достигает предела по CPU?

IPS не бывает бесплатным. Поверх базовой обработки трафика, которую выполняет любой межсетевой экран, система предотвращения вторжений добавляет глубокий разбор пакетов и сопоставление содержимого с сигнатурами атак. Нагрузка на процессор зависит не только от объема трафика: значение имеют его структура и глубина анализа.

💱 Поэтому мы заявляем производительность PT NGFW отдельно для каждого режима работы: например, для PT NGFW 2050 это до 140 Гбит/с в режиме L4 + AppControl, до 32 Гбит/с с IPS + AppControl и до 25 Гбит/с с IPS + AV + URL. Стоимость глубокой проверки сразу заложена в отдельные показатели производительности.

Но производительность IPS — это не только вопрос, сколько трафика он успевает проверить. Не менее важно, что происходит с проверкой после того, как предел достигнут. Здесь возникает принципиальный архитектурный выбор: чем жертвовать при исчерпании ресурсов, глубиной защиты или возможностью принимать новые соединения?

Часть производителей допускает отключение проверки IPS при достижении предела по CPU: доступность сервисов сохраняется. У такого поведения есть риск: атакующий может целенаправленно довести устройство до предельной нагрузки, и защита пропадает именно в тот момент, когда она нужнее всего.

📌 Мы выбрали второе. Как мы рассказывали в блоге на Хабре, PT NGFW при достижении предельного потребления CPU не отключает IPS-проверку на действующих соединениях, а перестает открывать новые. Установленные соединения продолжают проверяться. Этот выбор мы считаем принципиальным: перестать принимать новые соединения безопаснее, чем перестать защищать существующие.

Поведение устройства при предельной нагрузке — такая же характеристика продукта, как цифры производительности. И это сценарий, который стоит отдельно проверить на пилоте: довести устройство до предела и посмотреть не только на пропускную способность, но и на то, что в этот момент происходит с новыми и уже установленными соединениями. Организовать такую проверку можно на тест-драйве — оставьте заявку по ссылке ниже ⬇️

💬 Чат для общения | Попробовать тест-драйв