--- title: "Облачный NGFW: 0% у AWS и Azure, 99,95% у Check Point. Как устроен тест, который это показал" description: "Тест 9 облачных NGFW (2026): файрволы AWS и Azure — 0% защиты, лидеры — 99,7%+. Разбираем методику на Keysight CyPerf и как повторить её под свой трафик." --- [Блог TEST4NET — тестирование сетей и безопасности](https://test4net.com/ru/blog) # [Облачный NGFW: 0% у AWS и Azure, 99,95% у Check Point. Как устроен тест, который это показал](https://test4net.com/ru/blog/cloud-ngfw-test-2026-aws-azure-check-point) Written by [Alexander Zemskov](https://test4net.com/ru/blog/author/az) | 20 окт. 2026 г., 06:00:00 ## Главное 29 сентября 2026 года CyberRatings.org и NSS Labs опубликовали результаты теста девяти облачных сетевых файрволов. Четыре продукта получили «Recommended» с security effectiveness 99,7% и выше. Нативные файрволы AWS и Azure — 0%. В раунде весны 2025 года гиперскейлеры также получили ноль. Не менее важно другое: методика открыта, и такой тест можно воспроизвести на стенде заказчика или в независимой лаборатории под свой трафик и свои политики. ## Цифры теста - Девять продуктов: Fortinet FortiGate, HPE Juniper vSRX, Palo Alto VM-Series, Versa — «Recommended», все не ниже 99,7%. Check Point CloudGuard — 99,95%, лучший результат по защите, но «Neutral» из-за высокой цены за защищённый Мбит/с. «Caution»: Google Cloud NGFW Enterprise — 77,45%, Cisco Secure Firewall Threat Defense Virtual — 66,10%, AWS Network Firewall и Azure Firewall — 0%. - Техники обхода: 5 004 атаки с эвазиями по 43 техникам на уровнях L3, L4 и L7. В раунде 2025 года было 2 500 атак и 27 техник — объём проверок на обход вырос вдвое. - Методика: NSS Labs Cloud Network Firewall v4.1, опубликована 4 февраля 2026 года. Проверяет маршрутизацию, контроль доступа, расшифровку TLS/SSL, предотвращение угроз, производительность под нагрузкой, стабильность и надёжность. - Инструменты: собственные наработки NSS Labs и Keysight CyPerf — им генерировали трафик, атаки, TLS-сессии и нагрузку для проверки стабильности. - Главный вывод организаторов: при выборе файрвола устойчивость к эвазиям и инспекция TLS весят столько же, сколько сам процент заблокированных эксплойтов. ## Почему 0% не означает «пропущено всё» Ноль у AWS и Azure не означает, что файрвол не блокирует ни одной атаки. В раунде 2025 года AWS Network Firewall заблокировал 0,59% эксплойтов, Azure Firewall — 55,28% эксплойтов и 78% попыток обхода. Итоговый ноль — результат схемы штрафов: пропуск эвазии на L3 снижает оценку категории на 50%, на L4 — на 20%, на L7 — на 1%. Логика методики понятна: если атаку можно скрыть фрагментацией IP или манипуляцией TCP-сегментами, сигнатурный анализ на L7 уже не сработает. У Azure есть и архитектурная причина: файрвол сам не расшифровывает TLS, а около 80% интернет-трафика зашифровано. Для методики это полностью слепая зона. ## Как защита и производительность измеряются на одном стенде Ключевой принцип методики: защита и производительность измеряются вместе, на одном стенде и одном DUT. Сначала подаётся «чистый» фоновый трафик — HTTP/HTTPS, DNS, SaaS-приложения, TLS 1.2/1.3 с реальным хендшейком. Затем в этот поток добавляют эксплойты и те же эксплойты с эвазиями. Параллельно фиксируют, как меняются пропускная способность, число соединений в секунду и задержка при включённых IPS, расшифровке TLS и идентификации приложений. Это тот же подход, что в RFC 9411 (IETF, март 2023): KPI измеряются только с активными функциями безопасности, а каждая отключённая функция фиксируется в отчёте. CyPerf спроектирован именно для такого сценария. Агенты устанавливаются в VM, Kubernetes и напрямую в AWS, Azure и GCP, поэтому облачный файрвол тестируется в своём рабочем окружении, а не на лабораторной копии. Каждая атака получает статус blocked или allowed, дампы пакетов можно экспортировать и передать вендору. ## Что это значит для бизнеса Нативный файрвол облака удобен и часто уже входит в стоимость подписки. Но тест показывает: как средство защиты периметра он не заменяет сторонний NGFW. При этом сторонний NGFW в облаке требует затрат — на лицензию и на каждый Мбит/с, который он реально инспектирует. Продукт с лучшим показателем защиты получил «Neutral» именно из-за цены. Поэтому выбор файрвола и его производительности — это расчёт: сколько трафика нужно расшифровывать, какую производительность вы получите с включённой защитой и во что это обойдётся в месяц. Без измерений такой расчёт строится на предположениях, а ошибка в любую сторону оборачивается либо разрывом в защите, либо переплатой. ## Что делать Ждать следующего публичного раунда не обязательно. Методика воспроизводима на стенде заказчика или в независимой лаборатории: эксплойты, техники обхода на L3–L7, ложные срабатывания, TLS-инспекция, производительность под реалистичным микс-трафиком. Отличие — в профиле: ваши приложения, ваш объём TLS, ваши политики и ваши кандидаты, в том числе нативные файрволы облака рядом с vSRX, VM-Series или FortiGate. Типичные сценарии: сравнить двух-трёх кандидатов до покупки; проверить пиковую нагрузку с включёнными IPS и расшифровкой; убедиться перед миграцией, что облачная конфигурация не слабее on-prem. Результат — измерения на вашем трафике и дампы для аргументированного диалога с вендором. Если вы выбираете облачный NGFW или готовите миграцию — напишите в TEST4NET: обсудим ваш профиль трафика и предложим программу проверки. ## Источники - [CyberRatings.org and NSS Labs Announce 2026 Cloud Network Firewall Test Results](https://cyberratings.org/cyberratings-org-and-nss-labs-announce-2026-cloud-network-firewall-test-results/) — дата 29.09.2026, девять продуктов, рейтинги и проценты, 5 004 атаки / 43 техники, методика v4.1, CyPerf, рекомендации покупателям - [2026 Q1 Cloud Network Firewall Methodology 4.1](https://cyberratings.org/resources/2026-q1-cloud-network-firewall-methodology-4-1/) — дата публикации методики 04.02.2026, область проверки (маршрутизация, контроль доступа, TLS/SSL, threat prevention, нагрузка, стабильность) - [2026 Q3 Cloud Network Firewall Comparative Report](https://cyberratings.org/resources/2026-q3-cloud-network-firewall-comparative-report/) — состав сравнения: security effectiveness, false positives, TLS, производительность, стоимость конфигурации - [SDxCentral: Hyperscaler cloud firewalls again fail to meet basic security standards](https://www.sdxcentral.com/analysis/hyperscaler-cloud-firewalls-again-fail-to-meet-basic-security-standards/) — раунд апреля 2025: 2 500 эвазий / 27 техник, схема штрафов L3 50% / L4 20% / L7 1%, CyPerf v5.0, ~80% трафика в HTTPS, Azure без расшифровки TLS - [CyberScoop: Independent tests show why orgs should use third-party cloud security services](https://cyberscoop.com/independent-tests-show-why-orgs-should-use-third-party-cloud-security-services/) — раунд 2025: AWS 0,59% эксплойтов, Azure 55,28% эксплойтов и 78% эвазий - [Keysight CyPerf: product page](https://www.keysight.com/us/en/products/network-test/cloud-test/cyperf.html) — агенты в VM/Kubernetes/AWS/GCP/Azure, TLS 1.2/1.3, микс приложений, KPI - [Keysight blog: CyPerf Strikes](https://www.keysight.com/blogs/en/tech/nwvs/2025/11/11/cyperf-strikes) — статусы blocked/allowed, дампы, DUT inline между агентами - [RFC 9411: Benchmarking Methodology for Network Security Device Performance](https://www.rfc-editor.org/rfc/rfc9411.html) — март 2023, KPI с включёнными функциями безопасности, фиксация отключённых функций [View full post](https://test4net.com/ru/blog/cloud-ngfw-test-2026-aws-azure-check-point) ```json { "@context" : "http://schema.org", "@type" : "BlogPosting", "author" : { "@type" : "Person", "name" : "Alexander Zemskov" }, "dateModified" : "2026-10-20T06:00:02.763Z", "datePublished" : "2026-10-20T06:00:00Z", "headline" : "Облачный NGFW: 0% у AWS и Azure, 99,95% у Check Point. Как устроен тест, который это показал", "image" : { "@type" : "ImageObject", "height" : 840, "url" : "https://test4net.com/hubfs/blog-covers/test4net-news-07.png", "width" : 1600 }, "mainEntityOfPage" : "https://test4net.com/ru/blog/cloud-ngfw-test-2026-aws-azure-check-point", "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "height" : 60.0, "url" : "https://148823364.fs1.hubspotusercontent-eu1.net/hubfs/148823364/test4net-logo-fixed-2.svg", "width" : 195.45763 }, "name" : "Тестирование сетей и безопасности: экспертный блог" } } ```