Инженерный подход к безопасности в Ideco. Архитектура, процессы, интерфейс

Инженерный подход к безопасности в Ideco. Архитектура, процессы, интерфейс

Создание корпоративного NGFW требует не только абстрактного подхода, но и конкретных инженерных решений, учитывающих реалии эксплуатации. В Ideco архитектура проекта строится на кейсах заказчиков, внутренних ценностей и опыте эксплуатации в сложных инфраструктурах. Ниже — обзор принципов, которыми мы руководствуемся в разработке.

Исходная точка — пользовательские сценарии

Технические решения не принимаются вслепую. Помимо собственных компетенций и изучения конкурентных решений, мы регулярно проводим интервью с заказчиками: собираем обратную связь с пилотов, из поддержки, от пресейлов. Анализируем не только «что нужно», но и «как это используется». Это позволяет понять ограничения, с которыми живёт инфраструктура заказчика, и то, как наша архитектура должна адаптироваться к потребностям. Интерфейс, модули, структура, способ реализации — всё строится от задачи, а не от абстрактного идеала. Иногда это означает усложнение архитектуры ради простоты в эксплуатации — но это разумный обмен.

Изоляция Control Plane и Data Plane — не опция, а требование

В корпоративной архитектуре сети управления и сети передачи данных жёстко разделены — они имеют разную адресацию и разные политики доступа. Управляющий трафик считается доверенным, а пользовательский — потенциально враждебным. Поэтому изоляция Control Plane и Data Plane — это не вопрос удобства, а требование безопасности.

В Ideco NGFW это реализовано через изолированные контейнеры VCE: управляющая и трафиковая части работают раздельно, с разными ресурсами и изоляцией на уровне сети и процессов. В других решениях это достигается через отдельные ВМ или даже разные платы (как у Check Point).

Control Plane и Data Plane имеют разные архитектурные требования: к языкам, отказоустойчивости, производительности и логике взаимодействия. Такое разделение позволяет сохранить управляемость NGFW даже при атаке на Data Plane — и наоборот. Это критично при восстановлении, отладке или экстренной смене конфигурации.

Контейнерная модель с VCE: это про масштабируемость

Каждый VCE (Virtual Context Engine) — это логически сетевая изолированная среда, фактически это копия NGFW (отдельно запущенные копии всех программ для обработки сети со своей копией сетевого стека). Она используется для разделения политик доступа, зон безопасности. Это не просто удобство, а механизм управления сложной инфраструктурой. VCE позволяет оптимизировать потребление ресурсов: у каждого контекста своя адресация, маршруты, сессии и журналирование. Ранее отчётность хранилась внутри каждого VCE, но это привело к росту потребления памяти. С сентября 2025 года мы централизуем хранение данных в корневом контексте, чтобы уменьшить нагрузку и упростить поддержку. Этот переход стал логичным продолжением пути оптимизации, и мы не исключаем, что в будущем подобная консолидация затронет и другие тяжёлые сервисы.

Атомарность конфигураций как средство отказоустойчивости

Состояние системы не должно зависеть от того, прервалась ли сессия администратора во время внесения изменений, отключилось ли питание. В Ideco NGFW изменение конфигурации либо полностью применяется, либо откатывается. Это принцип архитектуры, а не «удобная фича». Цель — исключить рассогласованность между подсистемами. Атомарность конфигураций позволяет выполнять обновление в автоматическом режиме в течение 5–10 минут. В перспективе рассматриваем переход к транзакционному применению настроек — по аналогии с подходами западных вендоров, когда изменения группируются и применяются только по подтверждению администратора.

Open source — с адаптацией и контролем

Использование внешнего кода — нормальная практика. Но мы не переносим чужие проекты в чистом виде. Библиотеки анализируются, интегрируются как модули, подвергаются фаззингу, покрываются тестами. Некоторые подсистемы (например, Suricata) доработаны вручную. Всё, что попадает в сборку, проходит через наш CI, и мы исключаем неконтролируемые зависимости. Также в разработке применяются внутренние политики: мы не используем .tar.gz из интернета, не доверяем сторонним бинарным репозиториям, не допускаем автоматических зависимостей без ручной ревизии. Такой подход может показаться избыточным, но он позволяет избежать классических проблем supplychain-инцидентов, которые в последние годы затронули десятки вендоров.

CI/CD-процесс: строгая регламентация вместо «быстрого релиза»

Релизы каждый месяц возможны только при стабильной инфраструктуре. Каждая фича живёт в своей ветке до полной готовности. DroneCI, шаблоны jsonnet, автоматические сборки, автотесты в VK и Yandex Cloud, ручные проверки, статус-контроль версий — всё это выстроено в пайплайн. Мы не делаем «релиз по флагу», а стабилизируем каждый образ перед публикацией. Важной особенностью является то, что вся сборочная инфраструктура — собственная. Мы не полагаемся на SaaS-инструменты и разворачиваем весь процесс внутри облаков, которыми управляем самостоятельно. Это позволяет не только быстрее реагировать на ошибки, но и гарантировать предсказуемость среды сборки.

Интерфейс как инструмент уменьшения ошибок

Понятный интерфейс снижает порог ошибок. Дашборды по пользователям, контекстное создание объектов, фильтры, drag & drop — это не декоративные элементы. Это способ быстрее диагностировать, кто генерирует аномальный трафик и как на него реагировать. Мы постепенно выносим в UI те настройки, которые раньше были доступны только через терминал. Это не упрощение, а повышение управляемости. Интерфейс становится частью инженерной дисциплины: он не заменяет документацию, но позволяет ускорить принятие решений в условиях инцидента.

Заключение

Ideco NGFW — это набор архитектурных решений, принятых для того, чтобы продукт был предсказуемым в эксплуатации, масштабируемым в инфраструктуре и устойчивым к сбоям. Мы не делаем «коробочное решение с галочками». Мы делаем систему, которая не теряет управляемость тогда, когда это критично. И именно поэтому в наших приоритетах — не только функциональность, но и прозрачность, отказоустойчивость и операционная предсказуемость. Это не лозунги, а результат конкретных инженерных решений, о которых мы честно рассказываем.

Реклама. «АйДЕКО», ИНН: 6670208848, Erid: 2VfnxxHTi3S