Построение отказоустойчивой системы сетевой безопасности на базе UserGate NGFW в облачной инфраструктуре страховой компании

Задача

Перед специалистами CBS стояла задача развернуть современную систему сетевой безопасности для обеспечения защищённого доступа в интернет для сотрудников компании. Решение должно было размещаться в облачной инфраструктуре Яндекс.

Ключевые требования проекта:

• Обеспечение высокой доступности (High Availability) решения с защитой от сбоев на уровне отдельных зон доступности (Availability Zones) облачного провайдера.
• Централизованное управление политиками безопасности сетевых шлюзов.
• Перенос и актуализация политик доступа со старого МСЭ на новое решение.

Выполнение

В ходе реализации проекта инженеры CBS выполнили комплекс пусконаладочных работ, миграции и приемо-сдаточных испытаний:

1. Развертывание кластера сетевой безопасности:
   • Выполнена инициализация и базовая конфигурация трех виртуальных инстансов UserGate NGFW — по одному шлюзу в каждой независимой зоне доступности облака.
   • Развернут и настроен UserGate Management Center (MC) для единого администрирования и сквозного мониторинга.
   • Шлюзы объединены под управлением MC, активированы и привязаны соответствующие лицензионные пакеты.
2. Сетевая маршрутизация и миграция правил:
   • Настроены сетевые интерфейсы, зоны безопасности и правила трансляции сетевых адресов (NAT/PAT).
   • Выполнен аудит и перенос базовых правил доступа в интернет со старого МСЭ с адаптацией под актуальную архитектуру.
   • Настроен и подключен профиль системы обнаружения и предотвращения вторжений (СОВ/IPS) для углубленного анализа подозрительной активности.
3. Настройка безопасного веб-доступа и проксирования:
   • Сконфигурирована и оптимизирована служба Proxy для обработки веб-трафика.
   • Сформированы, согласованы и отлажены белые списки URL/доменов для гранулярного контроля интернет-доступа корпоративных ресурсов.
4. Тестирование отказоустойчивости и ввод в эксплуатацию:
   • Проведено комплексное функциональное тестирование связки прокси-сервиса с балансировщиком сетевой нагрузки Яндекс (Network Load Balancer).
   • Смоделированы аварийные сценарии с полным отключением одной из зон доступности: подтверждено автоматическое переключение трафика без деградации сервисов и потери связности.

Результат

• Высокая доступность решения: геораспределенная схема размещения шлюзов в трех зонах доступности гарантирует непрерывность сетевых сервисов и бизнес-процессов даже при масштабном сбое в облачном ЦОД.
• Централизованное управление: внедрение UserGate Management Center позволило упростить администрирование решения.
• Контроль и защита периметра: реализована строгая модель доступа с веб-фильтрацией и инспекцией трафика через СОВ, защищающая инфраструктуру от современных угроз и несанкционированного доступа.
• Бесшовная интеграция: архитектура решения полностью интегрирована с нативными сетевыми сервисами Яндекс Облака, обеспечивая масштабируемость под будущий рост нагрузки.