Облачный NGFW: 0% у AWS и Azure, 99,95% у Check Point. Как устроен тест, который это показал

Главное

29 сентября 2026 года CyberRatings.org и NSS Labs опубликовали результаты теста девяти облачных сетевых файрволов. Четыре продукта получили «Recommended» с security effectiveness 99,7% и выше. Нативные файрволы AWS и Azure — 0%. В раунде весны 2025 года гиперскейлеры также получили ноль. Не менее важно другое: методика открыта, и такой тест можно воспроизвести на стенде заказчика или в независимой лаборатории под свой трафик и свои политики.

Цифры теста

• Девять продуктов: Fortinet FortiGate, HPE Juniper vSRX, Palo Alto VM-Series, Versa — «Recommended», все не ниже 99,7%. Check Point CloudGuard — 99,95%, лучший результат по защите, но «Neutral» из-за высокой цены за защищённый Мбит/с. «Caution»: Google Cloud NGFW Enterprise — 77,45%, Cisco Secure Firewall Threat Defense Virtual — 66,10%, AWS Network Firewall и Azure Firewall — 0%.
• Техники обхода: 5 004 атаки с эвазиями по 43 техникам на уровнях L3, L4 и L7. В раунде 2025 года было 2 500 атак и 27 техник — объём проверок на обход вырос вдвое.
• Методика: NSS Labs Cloud Network Firewall v4.1, опубликована 4 февраля 2026 года. Проверяет маршрутизацию, контроль доступа, расшифровку TLS/SSL, предотвращение угроз, производительность под нагрузкой, стабильность и надёжность.
• Инструменты: собственные наработки NSS Labs и Keysight CyPerf — им генерировали трафик, атаки, TLS-сессии и нагрузку для проверки стабильности.
• Главный вывод организаторов: при выборе файрвола устойчивость к эвазиям и инспекция TLS весят столько же, сколько сам процент заблокированных эксплойтов.

Почему 0% не означает «пропущено всё»

Ноль у AWS и Azure не означает, что файрвол не блокирует ни одной атаки. В раунде 2025 года AWS Network Firewall заблокировал 0,59% эксплойтов, Azure Firewall — 55,28% эксплойтов и 78% попыток обхода. Итоговый ноль — результат схемы штрафов: пропуск эвазии на L3 снижает оценку категории на 50%, на L4 — на 20%, на L7 — на 1%. Логика методики понятна: если атаку можно скрыть фрагментацией IP или манипуляцией TCP-сегментами, сигнатурный анализ на L7 уже не сработает. У Azure есть и архитектурная причина: файрвол сам не расшифровывает TLS, а около 80% интернет-трафика зашифровано. Для методики это полностью слепая зона.

Как защита и производительность измеряются на одном стенде

Ключевой принцип методики: защита и производительность измеряются вместе, на одном стенде и одном DUT. Сначала подаётся «чистый» фоновый трафик — HTTP/HTTPS, DNS, SaaS-приложения, TLS 1.2/1.3 с реальным хендшейком. Затем в этот поток добавляют эксплойты и те же эксплойты с эвазиями. Параллельно фиксируют, как меняются пропускная способность, число соединений в секунду и задержка при включённых IPS, расшифровке TLS и идентификации приложений. Это тот же подход, что в RFC 9411 (IETF, март 2023): KPI измеряются только с активными функциями безопасности, а каждая отключённая функция фиксируется в отчёте.

CyPerf спроектирован именно для такого сценария. Агенты устанавливаются в VM, Kubernetes и напрямую в AWS, Azure и GCP, поэтому облачный файрвол тестируется в своём рабочем окружении, а не на лабораторной копии. Каждая атака получает статус blocked или allowed, дампы пакетов можно экспортировать и передать вендору.

Что это значит для бизнеса

Нативный файрвол облака удобен и часто уже входит в стоимость подписки. Но тест показывает: как средство защиты периметра он не заменяет сторонний NGFW. При этом сторонний NGFW в облаке требует затрат — на лицензию и на каждый Мбит/с, который он реально инспектирует. Продукт с лучшим показателем защиты получил «Neutral» именно из-за цены. Поэтому выбор файрвола и его производительности — это расчёт: сколько трафика нужно расшифровывать, какую производительность вы получите с включённой защитой и во что это обойдётся в месяц. Без измерений такой расчёт строится на предположениях, а ошибка в любую сторону оборачивается либо разрывом в защите, либо переплатой.

Что делать

Ждать следующего публичного раунда не обязательно. Методика воспроизводима на стенде заказчика или в независимой лаборатории: эксплойты, техники обхода на L3–L7, ложные срабатывания, TLS-инспекция, производительность под реалистичным микс-трафиком. Отличие — в профиле: ваши приложения, ваш объём TLS, ваши политики и ваши кандидаты, в том числе нативные файрволы облака рядом с vSRX, VM-Series или FortiGate.

Типичные сценарии: сравнить двух-трёх кандидатов до покупки; проверить пиковую нагрузку с включёнными IPS и расшифровкой; убедиться перед миграцией, что облачная конфигурация не слабее on-prem. Результат — измерения на вашем трафике и дампы для аргументированного диалога с вендором.

Если вы выбираете облачный NGFW или готовите миграцию — напишите в TEST4NET: обсудим ваш профиль трафика и предложим программу проверки.

Источники

• CyberRatings.org and NSS Labs Announce 2026 Cloud Network Firewall Test Results — дата 29.09.2026, девять продуктов, рейтинги и проценты, 5 004 атаки / 43 техники, методика v4.1, CyPerf, рекомендации покупателям
• 2026 Q1 Cloud Network Firewall Methodology 4.1 — дата публикации методики 04.02.2026, область проверки (маршрутизация, контроль доступа, TLS/SSL, threat prevention, нагрузка, стабильность)
• 2026 Q3 Cloud Network Firewall Comparative Report — состав сравнения: security effectiveness, false positives, TLS, производительность, стоимость конфигурации
• SDxCentral: Hyperscaler cloud firewalls again fail to meet basic security standards — раунд апреля 2025: 2 500 эвазий / 27 техник, схема штрафов L3 50% / L4 20% / L7 1%, CyPerf v5.0, ~80% трафика в HTTPS, Azure без расшифровки TLS
• CyberScoop: Independent tests show why orgs should use third-party cloud security services — раунд 2025: AWS 0,59% эксплойтов, Azure 55,28% эксплойтов и 78% эвазий
• Keysight CyPerf: product page — агенты в VM/Kubernetes/AWS/GCP/Azure, TLS 1.2/1.3, микс приложений, KPI
• Keysight blog: CyPerf Strikes — статусы blocked/allowed, дампы, DUT inline между агентами
• RFC 9411: Benchmarking Methodology for Network Security Device Performance — март 2023, KPI с включёнными функциями безопасности, фиксация отключённых функций