Ideco Center: как масштабировать NGFW-инфраструктуру без роста операционных рисков

Вебинар

05.03.2026 в 11:00 (Мск)

Список изменений

2026 год

2025 год

Безопасность

исправлена возможность скачивания бэкапа администратором с ролью "только просмотр";
добавлен разрыв установленных SSH-сессий при отключении доступа по SSH или "удаленного помощника".

Исправления и изменения

повышена производительность модулей обработки трафика;
исправлена работа модуля контроля приложений под нагрузкой;
исправлена выгрузка отчетов журнала трафика в CSV при включенных фильтрах;
исправлена работа OSPF при переключении провайдеров;
добавлена возможность использования "белых" IP-адресов в сети для VPN-подключений;
исправлена работа кластера при наличии loopback-интерфейса;
исправлена передача цепочки SSL-сертификатов при подключении по SSTP;
исправлено действие профиля применяемое к новым протоколам "контроля приложений" при обновлении с 18-ой версии (будет выбрано тоже действие, что было назначено протоколу "Unknown");
исправлено формирование отчета "Список посещенных адресов" в конструкторе отчетов;
исправлена авторизация пользователей доверенных доменов Active Directory;
улучшена работа с большим количеством (десятки тысяч) групп безопасности Active Directory;
исправлены ошибки в логах после авторизации администратора через radius;
исправлено формирование больших отчетов по трафику в CSV;
из системного журнала убраны логи контроля приложений (в 19-ой версии они есть в "журнале трафика");
ускорено обновление кластера;
косметические исправления веб-интерфейса.

Примечания к 19-му релизу
С 19-ой версии профили контроля приложений и предотвращения вторжений проверяют и локальный сетевой трафик между сегментами (могут его блокировать в зависимости от настроек правил файрвола). Проверьте настройки фильтрации трафика после обновления.
В версии содержатся важные исправления безопасности компонентов.

Безопасность

обновлен модуль системы предотвращения вторжений (исправлены уязвимости CVE-2025-29915, CVE-2025-29917, CVE-2025-29918, CVE-2025-29916);
обновлен модуль OpenSSH (исправлена уязвимость CVE-2025-26466);
исправлены потенциальные уязвимости найденные с помощью фаззинга в модулях BGP и DNS-сервере;

Исправления и изменения

исправлено сообщение при блокировке по словарю морфологического анализа;
исправлены проблемы аутентификации пользователей ALD/Samba по VPN;
добавлен порт 8090 для прямых подключений к прокси-серверу;
исправлено накопление временных файлов обновлений контент-фильтра (при появлении нового обновления во время скачивания "старого");
исправлена 2FA для пользователей из RADIUS;
исправлена работа правила DNAT с использованием зоны источника;
исправлены падения службы контроля приложений при некоторых условиях.
исправлено скачивания баз контент-фильтра при выключенном модуле контентной фильтрации;
исправлено создание кластера при наличии loopback-интерфейсов;
добавлена возможность позволяющая интегрировать Ideco UTM в домен Microsoft Windows 2025 (при возникновении ошибки входа в домен необходимо выполнить в терминале NGFW команду "touch /run/ideco-ad-backend/ldap-passwd");
повышена надежность БД отчетности;
косметические исправления веб-интерфейса.

Примечания к 19-му релизу
С 19-ой версии профили контроля приложений и предотвращения вторжений проверяют и локальный сетевой трафик между сегментами (могут его блокировать в зависимости от настроек правил файрвола). Проверьте настройки фильтрации трафика после обновления.
В версии содержатся важные исправления безопасности компонентов.

Новая функциональность

структурированный журнал трафика (файрвол (включая DNAT и SNAT), IPS, контроль приложений);
netflow-сенсор для передачи информации netflow коллектору;
отправка журналов на Ideco Center;
Обработка трафика файрволом на основе ACL (настраивается по API): до 100 000 записей суммарно во всех ACL, максимальное количество записей в одном ACL 10 000.

Сеть

возможность использования пула IP-адресов для SNAT;
loopback-интерфейс для GRE, GRE/IPsec-туннелей;
возможность фильтрации трафика между локальными интерфейсами с помощью профилей контроля приложений и IPS.

Оптимизации

ускорена работа с большим количеством объектов Active Directory;
ускорена работа веб-интерфейса с большим количеством пользователей и правил;
уменьшено потребление ОЗУ модулями;
добавлена поддержка ESN в IPSec (лучше производительность при больших объемах трафика);
ускорена установка;
ускорена обработка трафика файрволом.

Обновления

обновление ядра Linux (до версии 6.11) и ключевых используемых пакетов;
обновлен модуль контроля приложений;
обновлен модуль предотвращения вторжений (в т.ч. исправлены все известные уязвимости).

Разное

убран модуль "Квоты" для работы с квотами трафика;
добавлено поле "Комментарий" в разделе Мониторинг аренды DHCP-сервера;
возможность добавления системных доверенных сертификатов;
в логах авторизации пользователей теперь указывается и логин;
добавлена кнопка "Сбросить блокировки по IP" в меню Управление сервером - Дополнительно;
добавлена колонка "Расположение" в мониторинг сессий администраторов (по GeoIP);
возможность публикации веб-интерфейса как внутреннего сервиса через обратный прокси-сервер;
возможность указания конкретного контроллера домена Active Directory для подключения NGFW;
добавлена возможность восстановления на предыдущую версию из раздела "Обновления";
возможность аутентификации пользователей из Active Directory по RADIUS;
при включении заблокированного пользователя в Active Directory он разблокируется в Ideco NGFW (ранее нужно было разблокировать вручную). Отключена возможность ручной "блокировки" авторизации пользователей Active Directory в Ideco NGFW;
многочисленные исправления и улучшения веб-интерфейса.

Безопасность

профили контроля приложений и предотвращения вторжений в правилах файрвола;
предварительная фильтрация в файрволе с возможностью проверки TCP-флагов (syn, ack, fin, rst, urg, psh) и размера пакетов;
возможность фильтрации по HTTP-методам (get, post, put, delete, head, options, patch, trace) и MIME-типам;
морфологический анализ в контент-фильтре;
интеграция с песочницей по ICAP;
улучшенная устойчивость веб-интерфейса и SSH от DoS-атак;
улучшенная ролевая модель администрирования (добавлены роли Администратор информационной безопасности, Администратор файрвола, Администратор настройки доступов);
возможность указания порта источника в файрволе;
загрузка собственных сигнатур в систему предотвращения вторжений;
обновление ядра Linux (до версии 6.8) и ключевых используемых пакетов, включая обновления безопасности (BDU:2024-11374, BDU:2025-00134, BDU:2025-00135, BDU:2025-00136, BDU:2025-00137 и др.) .

Сетевая функциональность

инструмент проверки прохождения трафика через МЭ;
зеркалирование портов SPAN;
исключение адресов из маршрутов передаваемых VPN-пользователям;
loopback-интерфейс;
оптимизация производительности обработки трафика.

Разное

удалена возможность авторизации пользователей по PPPoE;
для использования кластера требуется отдельная лицензия на модуль;
возможность загрузить оффлайн-лицензию из файла;
загрузка обновлений баз данных фильтрации и UTM оффлайн;
в мониторинг добавлена возможность просмотра текущих сессий администраторов;
в отчеты добавлен отчет по авторизациям администраторов;
компактный веб-интерфейс;
добавлена возможность администрирования серверов по SSH через COM-порт сервера;
исправлена публикация веб-сайтов использующих заголовки большого размера через обратный прокси-сервер;
добавлена возможность выбора порта 9090 для прямых подключений к прокси-серверу;
добавлена возможность просмотра графиков загруженности за 90 дней;
улучшена производительность прокси-сервера при расшифровке трафика;
исправлена проблема получения некоторых SRV-записей в DNS.

2024 год

Новые возможности

режим кластера с синхронизацией сессий;
аутентификация VPN-пользователей через RADIUS-сервер;
GRE over IPSec, GRE-туннели;
время окончания действий правил файрвола;
время действия правил контент-фильтра;
добавлен формат CEF и выбор TCP/UDP для интеграции с внешними сервисами (SIEM и др.) по syslog;
восстановление бекапа конфигурации возможно без перезагрузки сервера;
возможность выдавать IP-адреса из разных подсетей разным группам VPN-пользователей;
в DHCP-сервер добавлена возможность автоматической раздачи настроек прокси-сервера клиентам (WPAD);
в отчеты добавлен журнал работы веб-антивируса;
имя сервера добавлено в названия бэкапов, передается по syslog и SNMP;
возможность управления доступом группам пользователей в личный кабинет;
возможность выбора OU при интеграции с Active Directory из которых будут выбраны пользователи и группы (рекомендуется использовать при очень большом количестве объектов в Active Directory);
экономичный режим работы процессора (настраивается в Управление сервером - Дополнительно).

Обновления

платформа на ядре Linux 6.7.9;
обновленная версия системы предотвращения вторжений;
обновлен модуль контроля приложений, улучшено определение приложений (добавлены новые приложения: ELECTRONICARTS, HL7, IEEE_C37118, MONERO, CEPH, DOTA2, RADMIN, TENCENTGAMES, OPENFLOW);
все исправления включенные в версии Ideco NGFW до 17.5.

Исправления и изменения

информация о IPSec-туннелях на дашборде и в мониторинге (загрузка канала, потеря пакетов, джиттер);
добавлена разавторизация администраторов из веб-интерфейса через 8 часов не активности;
тонкие настройки WCCP;
изменены настройки публикации внутренних сервисов UTM (личный кабинет) в обратном прокси-сервере;
добавлена поддержка встроенных графических контроллеров процессоров Intel 13-го поколения;
добавлена информация о времени синхронизации нод в кластере;
добавлена возможность работы интеграции с ALD Pro версии 2.3;
многочисленные улучшения веб-интерфейса.

Примечание к релизу
Централизованное управление версией возможно только через Ideco Center ФСТЭК 17-ой версии. Если вы используете Ideco CC ФСТЭК 16, обновление политик фильтрации с нее будет невозможно (возможен только доступ в веб-интерфейс). Дождитесь релиза Ideco CC ФСТЭК 17 перед обновлением.

Новые возможности

новая платформа на основе ядра Linux 6.3;
Zone Based Firewall (зоны в правилах файрвола, включая IPSec и клиентские VPN-подключения);
авторизация пользователей терминальных серверов на прокси-сервере;
интеграция с Astra ALD Pro (включая авторизацию пользователей);
защита от DoS для опубликованных веб-ресурсов (в обратном прокси-сервере);
журнал веб-доступа в отчетах по трафику;
улучшенная настройка VPN-авторизации пользователей (включая 2FA);
возможность выдавать произвольный шлюз по DHCP и любые опции;
возможность создания маршрутов для IPSec-подключений;
возможность настройки BGP соседства в IPSec-подключениях;
использование всего дискового пространства;
авторизация пользователей доверенных доменов Active Directory;
возможность включить/выключить модуль подсчета квот трафика;
существенно увеличена производительность модулей глубокого анализа трафика;
добавлена поддержка протоколов АСУ ТП модулем "Контроль приложений" (EtherSIO, FINS, HART-IP, Modbus, OPC-UA, UMAS).

Безопасность

обновлен модуль системы предотвращения вторжений с исправлением критических уязвимостей (CVE-2024-23839, CVE-2024-23836, CVE-2024-23837);
усилены правила защиты от брутфорса VPN-сервера (блокировка при 5 попытках подбора паролей в течении 10 минут на 40 минут, ранее было при 8 неуспешных попытках);
устранена уязвимость типа «межсайтовый скриптинг» (XSS) на веб-странице двухфакторной аутентификации.

Исправления и изменения

удалена возможность создания IPSec-подключений между “филиалом и главным офисом” (все подключения осуществляются через “устройства”, настройки из старых версий будут перенесены автоматически при обновлении);
убран раздел “Мониторинг - VPN пользователи” (информацию о VPN-пользователях можно посмотреть в разделе “Мониторинг - Авторизованные пользователи”, в т.ч. с использованием быстрого фильтра);
существенно ускорено обновление системы;
добавлена возможность использования объекта "Список ip-адресов" в исключениях и маршрутах внешних сетей;
в категорию "файлы" контент-фильтра добавлены расширения файлов ПО "Мой офис" (xodt,xods,xodp,xott,xots).

2023 год

2022 год

2021 год