После Cisco мир сетей изменился. Почему современному инженеру уже недостаточно знать маршрутизацию и VPN

Эксперт учебного центра «Специалист» Александр Давышин — о том, как изменились корпоративные сети, почему NGFW и SD-WAN стали обязательными технологиями и какие навыки сегодня действительно ценятся работодателями.

Еще несколько лет назад для успешной работы сетевому инженеру было достаточно уверенно владеть маршрутизацией, коммутацией, VPN и классическими межсетевыми экранами. Эти знания оставались фундаментом профессии, а большинство корпоративных сетей строилось по понятным и хорошо изученным принципам.

Сегодня ситуация изменилась.

Современная корпоративная сеть — это уже не несколько офисов, соединенных выделенными каналами. Это распределенная инфраструктура с облачными сервисами, удаленными сотрудниками, десятками филиалов, мобильными пользователями и постоянно растущим объемом зашифрованного трафика.

Одновременно меняется и характер киберугроз. Атаки становятся сложнее, злоумышленники используют легитимные инструменты администрирования, активно эксплуатируют уязвимости приложений и все чаще пытаются закрепиться внутри корпоративной сети. В таких условиях задача инженера — не просто обеспечить связность инфраструктуры, а построить сеть, которая одновременно будет производительной, отказоустойчивой и защищенной.

Именно поэтому сегодня в центре внимания оказываются две технологии — NGFW (Next-Generation Firewall) и SD-WAN (Software-Defined Wide Area Network).

Во многих компаниях до сих пор можно встретить архитектуру, в которой маршрутизатор отвечает за маршрутизацию, отдельный VPN-шлюз — за удаленный доступ, а межсетевой экран — лишь за фильтрацию трафика.

Такой подход был эффективен, когда инфраструктура была относительно простой. Но сегодня он все чаще становится источником проблем.

Во-первых, увеличивается количество устройств и точек администрирования. Во-вторых, усложняется управление политиками безопасности. В-третьих, появляется множество «слепых зон», которые злоумышленники могут использовать для проникновения и дальнейшего перемещения внутри сети.

Кроме того, более 90% интернет-трафика сегодня передается в зашифрованном виде. Если средства защиты не способны анализировать такой трафик, значительная часть угроз остается незамеченной.

Современная сеть требует другого подхода — когда безопасность становится частью архитектуры, а не отдельным элементом инфраструктуры.

Одна из самых распространенных ошибок — воспринимать NGFW как обычный firewall с дополнительными функциями.

На практике современный NGFW объединяет в себе сразу несколько механизмов защиты. Он способен анализировать трафик на уровне приложений, выполнять глубокую инспекцию пакетов (DPI), обнаруживать сетевые атаки с помощью IDS/IPS, контролировать доступ пользователей, проверять содержимое зашифрованного трафика, применять политики безопасности в зависимости от приложений и интегрироваться с другими средствами защиты.

Другими словами, NGFW становится центральным элементом корпоративной системы информационной безопасности.

Но здесь возникает еще одна ошибка.

Многие организации приобретают современное решение, однако продолжают использовать его как классический межсетевой экран — ограничиваясь настройкой правил «разрешить» и «запретить». В результате значительная часть возможностей остается невостребованной, а уровень защищенности практически не меняется.

Технологии сами по себе не обеспечивают безопасность. Ее обеспечивает грамотная архитектура и специалисты, которые понимают, как использовать возможности платформы в реальной инфраструктуре.

Не меньше заблуждений связано и с SD-WAN.

Иногда эту технологию воспринимают исключительно как способ объединить филиалы через Интернет или заменить дорогостоящие MPLS-каналы. На самом деле ее задача значительно шире.

Современный SD-WAN позволяет централизованно управлять всей распределенной сетью, автоматически выбирать оптимальный маршрут передачи данных, учитывать задержки, потери пакетов и загрузку каналов, обеспечивать отказоустойчивость и гарантировать качество работы критически важных приложений.

Но максимальный эффект достигается тогда, когда SD-WAN работает совместно с NGFW.

В этом случае компания получает не только интеллектуальную маршрутизацию, но и единые политики безопасности для всех филиалов, централизованное управление и прозрачный контроль сетевого трафика.

Именно такая архитектура сегодня становится стандартом для современных корпоративных сетей.

Если посмотреть на требования к вакансиям сетевых инженеров и специалистов по информационной безопасности, становится очевидно, что ожидания работодателей существенно изменились.

Сегодня недостаточно знать только маршрутизацию или уметь настраивать VPN.

Все чаще востребованы специалисты, которые понимают:

• как проектировать безопасную сетевую архитектуру;
• как применять политики безопасности на уровне приложений;
• как использовать IDS/IPS и механизмы предотвращения атак;
• как организовать инспекцию TLS-трафика;
• как обеспечить безопасную связь между филиалами;
• как строить отказоустойчивые WAN-инфраструктуры;
• как интегрировать сетевые решения с другими средствами защиты.

Именно сочетание сетевых компетенций и знаний в области информационной безопасности становится конкурентным преимуществом специалиста.

За годы работы мне неоднократно приходилось видеть ситуации, когда организация инвестировала значительные средства в современное оборудование, но не получала ожидаемого результата.

Причина почти всегда одна и та же — внимание уделялось покупке продукта, а не подготовке специалистов.

Самые распространенные ошибки выглядят так:

• использование NGFW как обычного межсетевого экрана;
• отсутствие анализа приложений и пользователей;
• слишком широкие политики доступа;
• отсутствие сегментации сети;
• игнорирование проверки зашифрованного трафика;
• неправильный расчет производительности при включении дополнительных функций безопасности;
• отсутствие единых политик для распределенной инфраструктуры.

Большинство подобных проблем можно предотвратить еще на этапе проектирования и внедрения, если инженер понимает архитектуру решения, а не только последовательность настройки.

Современные сетевые технологии невозможно освоить только по документации или видеороликам.

Чтобы уверенно внедрять NGFW и SD-WAN, необходимо самостоятельно развернуть инфраструктуру, настроить маршрутизацию, создать политики безопасности, организовать защищенные VPN-соединения, протестировать отказоустойчивость и увидеть, как решение ведет себя в различных сценариях эксплуатации.

Именно поэтому практические лабораторные работы становятся ключевой частью подготовки специалистов.

В учебном центре «Специалист» слушатели могут пройти авторизованные курсы KL 007.1 «Kaspersky NGFW. Установка и администрирование» и KL 004.2.4 «Kaspersky SD-WAN», где обучение строится на практической работе с технологиями, максимально приближенной к реальным задачам корпоративной инфраструктуры.

Профессия сетевого инженера стремительно меняется. Сегодня уже недостаточно просто обеспечивать связность сети. Современный специалист должен понимать, как построить инфраструктуру, которая будет одновременно надежной, производительной и защищенной.

Именно поэтому компетенции в области NGFW и SD-WAN становятся не дополнительным преимуществом, а необходимым условием профессионального развития.

Технологии будут продолжать меняться. Но специалисты, которые умеют проектировать безопасные сети и эффективно использовать современные инструменты защиты, останутся востребованными независимо от того, какие решения используются в конкретной организации.