NGFW – co to jest
i dlaczego warstwa 7
chroni lepiej?
Next-Generation Firewall (NGFW) to nie tylko filtr portów i adresów IP – to platforma bezpieczeństwa analizująca ruch na poziomie aplikacji. Wyjaśniamy czym różni się od klasycznego firewalla, jak działa inspekcja L7 i co zapewnia Cisco Secure Firewall.
Czym jest NGFW i jak różni się od klasycznego firewalla?
Klasyczny firewall stateful działa na poziomie warstwy 3 i 4 modelu OSI – analizuje adresy IP, porty i protokoły (TCP/UDP), śledzi stan sesji i decyduje, czy pakiet może przejść. To fundament bezpieczeństwa sieciowego, ale niewystarczający wobec dzisiejszych zagrożeń.
NGFW (Next-Generation Firewall) rozszerza tę inspekcję do warstwy 7 aplikacji. Zamiast pytać „z którego portu pochodzi pakiet?", pyta „jakiej aplikacji ten ruch dotyczy? co przenosi? czy zawiera złośliwy kod?". Niezależnie od tego, czy atakujący używa portu 80, 443 czy 8080 – NGFW widzi treść sesji i podejmuje decyzję na podstawie kontekstu.
To różnica fundamentalna: ransomware przesyłany przez HTTPS (port 443) jest dla stateful firewalla niewidoczny. NGFW z inspekcją TLS i silnikiem AMP wykryje i zablokuje go zanim dotrze do stacji roboczej.
| Możliwość | Klasyczny firewall stateful (L3/L4) | ✓ NGFW – Cisco Secure Firewall (L7) |
|---|---|---|
| Inspekcja ruchu | ~IP, port, protokół – brak analizy treści | ✓Deep Packet Inspection – treść do warstwy 7 aplikacji |
| Identyfikacja aplikacji | ✗Brak – tylko porty (port 443 = "HTTPS", nic więcej) | ✓4 000+ aplikacji rozpoznawanych niezależnie od portu |
| Ochrona przed atakami | ✗Brak silnika IPS – nie wykrywa exploitów i ataków | ✓Snort 3 IPS z 35 000+ sygnaturami Cisco Talos |
| Ochrona przed malware | ✗Nie analizuje plików przesyłanych w sieci | ✓AMP – analiza plików + sandboxing + reputacja SHA256 |
| Filtrowanie URL | ✗Brak lub tylko prymitywna lista domen | ✓280M+ URL w 80 kategoriach – phishing, C&C, ryzykowne |
| Inspekcja TLS/HTTPS | ✗Zaszyfrowany ruch "przezroczysty" – ataki niewidoczne | ✓Deszyfrowanie, inspekcja i ponowne szyfrowanie ruchu |
| Tożsamość użytkownika | ✗Brak – polityki tylko per IP, nie per user | ✓Integracja z Active Directory – polityki per użytkownik/dział |
| Aktualizacje zagrożeń | ~Rzadkie lub manualne – baza statyczna | ✓Automatyczne kilkukrotnie dziennie – Cisco Talos |
7 filarów Next-Generation Firewall
Cisco Secure Firewall (Firepower Threat Defense) łączy wszystkie funkcje NGFW w jednym urządzeniu zarządzanym centralnie.
Analiza treści pakietów do warstwy 7 OSI – nie tylko nagłówki, ale zawartość payloadu. DPI pozwala wykryć tunelowanie protokołów, ukryte kanały komunikacji i ataki opakowane w legalne protokoły jak HTTP, DNS czy HTTPS.
Warstwa 7 OSIRozpoznawanie ponad 4 000 aplikacji niezależnie od portu i protokołu. Możliwość tworzenia polityk per aplikacja: zezwól na Skype, blokuj BitTorrent, ogranicz przepustowość dla YouTube w godzinach pracy.
4 000+ aplikacjiSilnik Snort 3 analizuje ruch w poszukiwaniu wzorców znanych ataków. Baza sygnatur Cisco Talos obejmuje exploity, ataki na protokoły, skanowanie sieci i inne zagrożenia – aktualizowana kilkukrotnie dziennie.
Snort 3 + TalosAnaliza plików przesyłanych przez sieć – w oparciu o hash SHA256, reputację w chmurze Cisco i sandboxing dynamiczny. AMP blokuje ransomware, trojany i złośliwe oprogramowanie zanim dotrą do stacji roboczych.
Zero-Day ProtectionBaza ponad 280 milionów adresów URL w ponad 80 kategoriach. Blokuje phishing, drive-by downloads, strony malware i komunikację Command & Control botnetów. Polityki URL definiowane per użytkownik, per dział lub per sieć.
280M+ URLDeszyfrowanie ruchu HTTPS, inspekcja treści (IPS, AMP, URL) i ponowne szyfrowanie – bez przerywania sesji użytkownika. Kluczowe, bo ponad 90% ruchu interneto- wego jest zaszyfrowane i atakujący to wiedzą.
HTTPS VisibilityIntegracja z Active Directory i LDAP – polityki bezpieczeństwa przypisane nie do adresu IP, lecz do konkretnego użytkownika lub grupy. Pracownik z działu HR i deweloper mają inne reguły dostępu, nawet jeśli korzystają z tego samego komputera.
Active DirectoryJak zbudowana jest platforma Cisco NGFW?
Cisco Secure Firewall to zintegrowany ekosystem: system operacyjny FTD, silnik Snort 3, baza Talos i narzędzia zarządzania FMC lub CDO.
Firepower Threat Defense (FTD)
FTD to ujednolicony system operacyjny Cisco Secure Firewall, łączący w jednym oprogramowaniu zarówno klasyczne funkcje firewalla (ASA) jak i silnik NGFW (Firepower). Zarządzanie przez jeden interfejs eliminuje potrzebę konfigurowania dwóch oddzielnych warstw.
Snort 3 – silnik IPS
Cisco Secure Firewall korzysta z Snort 3 – następcy jednego z najpopularniejszych silników IPS open-source. Obsługuje wielowątkową inspekcję pakietów i umożliwia tworzenie własnych reguł wykrywania. Sygnatury aktualizowane są automatycznie kilkukrotnie dziennie.
Cisco Talos – wywiad o zagrożeniach
Talos to dział badań nad zagrożeniami Cisco, monitorujący ponad 600 miliardów zdarzeń sieciowych każdego dnia. Talos dostarcza sygnatury IPS, reputację adresów IP i URL, a także analizuje nowe rodzaje malware – w tym zagrożenia zero-day. Cisco Secure Firewall jest automatycznie aktualizowany o każdą nową wiedzę Talos.
Lokalny interfejs webowy wbudowany w urządzenie. Przeznaczony dla prostszych wdrożeń, gdzie zarządzamy jednym urządzeniem bez potrzeby centralnego serwera. Intuicyjny kreator polityk.
Dedykowany serwer zarządzania (fizyczny lub wirtualny) do zarządzania wieloma urządzeniami. Pełne raportowanie, korelacja zdarzeń, zaawansowane polityki i inspekcja TLS dla wdrożeń enterprise.
Chmurowe zarządzanie przez przeglądarkę – bez instalowania FMC on-premise. Idealne dla MŚP i rozproszonych organizacji. Cisco Security Cloud Control (dawniej Cisco Defence Orchestrator) obsługuje FTD, ASA i Meraki.
Licencjonowanie przez Cisco Smart Software Manager. Subskrypcje Threat Defense (T, TM, TC, TMC) aktywują odpowiednie funkcje NGFW. Wymagane konto Cisco CCO i rejestracja urządzenia w SSM.
Kiedy klasyczny firewall przestaje wystarczać?
Cztery typowe sytuacje, w których firewall stateful nie ochroni firmy – i dlaczego NGFW robi różnicę.
Atakujący wie, że port 443 jest zawsze otwarty. Klasyczny firewall widzi tylko „zaszyfrowane połączenie HTTPS" i przepuszcza ruch. Cisco NGFW z inspekcją TLS i silnikiem AMP deszyfruje połączenie, skanuje payload i blokuje złośliwy plik zanim dotrze do sieci wewnętrznej.
Pracownik łączący się przez VPN omija firewall brzegowy i trafia bezpośrednio do sieci firmowej. Zainfekowane urządzenie staje się bramą dla atakującego. NGFW z politykami per użytkownik i inspekcją ruchu VPN wykrywa anomalie i izoluje zagrożone hosty.
Branże medyczna, finansowa i instytucje publiczne muszą wykazać wdrożenie zaawansowanej ochrony sieci. Cisco Secure Firewall generuje logi zdarzeń bezpieczeństwa (IPS alerts, URL blocked, malware detected) wymagane przez audytorów ISO 27001 i organy regulacyjne.
Zaawansowane malware komunikuje się z serwerami C&C przez legalne protokoły: DNS, HTTPS, a nawet zapytania do serwisów CDN. Klasyczny firewall nie widzi w tym nic podejrzanego. NGFW z Talos intelligence blokuje znane adresy C&C i wykrywa anomalne wzorce w ruchu DNS.
Cisco Secure Firewall – modele NGFW dla MŚP
Wszystkie modele pracują pod kontrolą FTD z pełnymi funkcjami NGFW. Wybór modelu zależy od liczby użytkowników i wymaganej przepustowości.
- Throughput FW+AVC1,5 Gbps
- IPS throughput1,5 Gbps
- Porty4x 1G + 1x SFP
- Dlado ~20 użytkowników
- Throughput FW+AVC6,0 Gbps
- IPS throughput6,0 Gbps
- Porty8x 1G
- Dla20–50 użytkowników
- Throughput FW+AVC9,0 Gbps
- IPS throughput9,0 Gbps
- Porty8x 1G + 2x SFP+ 10G
- Dla30–150 użytkowników
- Throughput FW+AVC13 Gbps
- IPS throughput11 Gbps
- Porty8x 1G + 4x SFP+
- Dla100–300 użytkowników
- Throughput FW+AVC18 Gbps
- IPS throughput15 Gbps
- Porty8x 1G + 4x SFP+
- Dla200–500 użytkowników
- Throughput FW+AVC24 Gbps
- IPS throughput22 Gbps
- Porty8x 2.5G + 4x SFP+
- Dla500+ użytkowników
Najczęstsze pytania o NGFW
Co to jest NGFW?
Integruje w jednym urządzeniu: IPS (system zapobiegania włamaniom), ochronę przed malware (AMP), filtrowanie URL, inspekcję TLS i kontrolę aplikacji (AVC). Cisco Secure Firewall to platforma NGFW działająca na systemie FTD z silnikiem Snort 3 i bazą zagrożeń Cisco Talos.
Czym NGFW różni się od UTM i kiedy wystarczy jedno albo drugie? Tłumaczymy to w osobnym porównaniu NGFW vs UTM.
Czym różni się NGFW od klasycznego firewalla stateful?
NGFW rozszerza inspekcję do warstwy 7: identyfikuje aplikacje (nawet jeśli zmieniają porty), deszyfruje HTTPS, wykrywa exploity przez silnik IPS, blokuje malware przez AMP i filtruje URL. Ataki ukryte w zaszyfrowanym ruchu – niewidoczne dla stateful firewalla – są dla NGFW przezroczyste.
Czy zwykły firewall wystarczy dla firmy?
– Ransomware przesyłany przez HTTPS (port 443) jest dla stateful firewalla niewidoczny
– Ataki na aplikacje webowe wymagają inspekcji L7, której stateful nie ma
– Regulacje (RODO, ISO 27001, KRI, PCI DSS) często wymagają logów IPS i filtrowania URL
NGFW jest rekomendowany dla każdej firmy, której dane mają realną wartość lub która podlega regulacjom bezpieczeństwa. Napisz do nas – doradzimy, który model jest odpowiedni.
Co to jest Cisco Talos?
Talos utrzymuje bazę ponad 35 000 sygnatur IPS używanych przez Cisco Secure Firewall i aktualizuje ją kilkukrotnie dziennie. Odkrywa i publikuje informacje o nowych exploitach i malware (w tym zero-day) oraz współpracuje z CERT/CC i rządowymi agencjami bezpieczeństwa.
Czy Cisco NGFW obsługuje inspekcję TLS/HTTPS?
1. Firewall terminuje zaszyfrowane połączenie TLS od klienta (deszyfruje ruch)
2. Analizuje treść – IPS, AMP, URL filtering, Application Control
3. Nawiązuje nowe połączenie TLS z serwerem docelowym i ponownie szyfruje ruch
Użytkownik nie odczuwa przerwy. Inspekcja TLS wymaga instalacji certyfikatu CA firmy na urządzeniach (via GPO/MDM). Do konfiguracji TLS zalecane jest zarządzanie przez FMC lub CDO.
Jak zarządzać Cisco Secure Firewall NGFW?
FDM (Firepower Device Manager) – lokalny interfejs webowy wbudowany w urządzenie, bez potrzeby dodatkowego serwera. Idealny dla jednego urządzenia.
FMC (Firepower Management Center) – dedykowany serwer zarządzania (fizyczny VM lub appliance) dla środowisk z wieloma urządzeniami. Pełne raportowanie i centralne polityki.
CDO (Cisco Security Cloud Control) – zarządzanie chmurowe przez przeglądarkę, bez instalowania FMC on-premise. Polecane dla MŚP i rozproszonych biur.
Wycena NGFW
Dobierz Cisco NGFW do swojej sieci
Powiedz nam, ilu masz użytkowników i jakich funkcji NGFW potrzebujesz. Pomożemy sprawdzić model, dobrać licencje i ustalić zakres potrzebny do przygotowania wyceny.
- Bezpłatna konsultacja – dobór modelu i pakietu licencji
- Rabat 40% od cennika Cisco (do 60% dla zarejestrowanych projektów)
- Konfiguracja i wdrożenie firewalla w ramach oferty
- Odpowiadamy w ciągu 24 godzin w dni robocze
Dziękujemy!
Skontaktujemy się, aby doprecyzować potrzeby i ustalić następny krok.