Innostage протестировала PT NGFW 1.10.3 в восьми нагрузочных сценариях

Выбор межсетевого экрана нового поколения (NGFW) — задача, в которой недостаточно ориентироваться только на маркетинговые характеристики вендора. Заявленные цифры производительности могут быть получены при разных условиях: разной нагрузке, разном количестве правил, разном профиле трафика и разном наборе включённых функций защиты. Без понимания методики такие показатели плохо сопоставимы между собой и не дают реальной картины. Именно поэтому лаборатория Innostage провела собственное тестирование PT NGFW версии 1.10.3, чтобы проверить, как устройство ведёт себя в контролируемых и воспроизводимых условиях.

Подробности

Испытания охватили восемь нагрузочных сценариев. На первом этапе специалисты измерили скорость установления TCP-соединений и максимальное количество одновременных сессий — эти метрики критичны для отказоустойчивости периметра при пиковых нагрузках и большом числе активных пользователей. Затем инженеры перешли к измерению пропускной способности на профиле трафика EMIX, последовательно включая различные функции продукта и оценивая их влияние на итоговую производительность. Такой подход позволяет увидеть разницу между «сухой» пропускной способностью и реальной работой устройства, когда активны механизмы глубокой инспекции пакетов, фильтрации и другие защитные модули. Автор материала отдельно отмечает: часть полученных результатов нельзя напрямую сравнивать с показателями производителя без учёта методики испытаний, поскольку условия стенда, профиль трафика и конфигурация правил существенно влияют на цифры. Публикация является первой частью цикла о тестировании PT NGFW 1.10.3. В ней подробно разбирается архитектура тестового стенда, характеристики подаваемого на устройство трафика и результаты каждого из сценариев. Конкретные значения CVE, уязвимостей или инцидентов в материале не приводятся — речь идёт именно о нагрузочном тестировании, а не об анализе защищённости.

Что делать

Для специалистов, занимающихся выбором и внедрением NGFW, материал даёт несколько практических ориентиров. Во-первых, при сравнении решений разных вендоров важно требовать раскрытия методики испытаний: при каком профиле трафика, с каким числом правил и с какими включёнными функциями получены заявленные цифры. Во-вторых, стоит проводить собственные нагрузочные тесты на стенде, максимально приближенном к реальной инфраструктуре, — только так можно понять, как устройство поведёт себя под вашей нагрузкой. В-третьих, полезно оценивать не только пиковую пропускную способность, но и скорость установления соединений и лимит одновременных сессий: эти параметры напрямую влияют на доступность сервисов при пиковых нагрузках. И наконец, при включении дополнительных защитных функций следует заранее закладывать запас производительности, поскольку глубокая инспекция трафика заметно снижает итоговую пропускную способность по сравнению с базовым режимом маршрутизации. Итог: тестирование PT NGFW 1.10.3 в лаборатории Innostage показывает, что корректная оценка NGFW невозможна без прозрачной методики — только сопоставимые условия испытаний позволяют принимать взвешенные решения о выборе решения для защиты периметра.

Источник: Хабр — Информационная безопасность