Ограничивает, кто и к каким сервисам может обращаться по сети. Закрывает прямой доступ из интернета и из других сегментов к серверам и базам с ПДн, отсекает сканирование портов и подключения к лишним службам. Это основной инструмент сегментации: серверы с ПДн отделяют от рабочих мест, гостевых сетей и интернета.

Каждый пакет или соединение сверяется с набором правил: адреса отправителя и получателя, порты, протоколы. Экран с контролем состояния соединений помнит разрешенные сеансы и пропускает только ответный трафик. Экраны нового поколения (NGFW) дополнительно определяют приложение независимо от порта, привязывают правила к пользователям, проверяют содержимое встроенными системами предотвращения вторжений и антивирусом, а при настройке расшифровывают TLS. Принцип работы: запрещено все, что не разрешено явно.

• Действующий сертификат ФСТЭК России нужного типа и класса (проверить в реестре, версия продукта должна совпадать с установленной).
• Режим применения: периметровый экран, внутренний экран между сегментами, экран узла.
• Производительность при включенных проверках (системы предотвращения вторжений, расшифровка TLS), а не только в режиме простой фильтрации.
• Отказоустойчивость (кластер) и центральное управление при нескольких площадках.
• Привязка правил к пользователям и приложениям, журналирование и выгрузка событий в SIEM.
• Поддержка производителя в России и срок действия сертификата.

UserGate, «Континент 4» (Код Безопасности), PT NGFW (Positive Technologies). Это не рекомендация. Наличие, тип, класс и срок действия сертификата каждого продукта проверять в реестре на дату закупки.