За последние годы рынок сетевой безопасности заметно изменился. Межсетевой экран никуда не исчез и не утратил своей значимости, но его роль уже не та, что десять или пятнадцать лет назад.
Раньше NGFW (Next Generation Firewall) часто воспринимался как центр архитектуры безопасности: через него проходил основной трафик, в нём концентрировались правила, а защита строилась вокруг сетевого периметра. Сегодня такая модель всё хуже отражает реальность. Инфраструктура распределена между облаками, контейнерами, API, удалёнными пользователями и машинными идентичностями. Значительная часть взаимодействий больше не проходит через классический периметр.
Из-за этого меняется и роль NGFW. Он остаётся важной точкой контроля, но всё реже выступает главным местом, где формируется логика безопасности.
Теперь важнее не только способность межсетевого экрана фильтровать трафик, но и источник контекста для принятия решений, какие домены влияют на политику безопасности и где находится центр тяжести в современной архитектуре.
Ниже — разбор причин, по которым рынок движется в этом направлении, и ключевых технологических факторов, формирующих новые реалии.
Почему классическая модель утратила устойчивость
Традиционная модель безопасности основывалась на трёх допущениях:
- Пользователи находились внутри корпоративной сети или подключались через контролируемую точку.
- Приложения размещались в дата-центре или локальной сети.
- Сегментация и контроль строились вокруг стабильного сетевого периметра.
В такой модели NGFW был естественным центром принятия решений.
Сегодня эти предпосылки размыты:
Приложения и данные распределены между облаками, контейнерами, платформами и внешними API. Они динамически изменяются, и их сложно привязать к фиксированной инфраструктуре.
Пользователи работают из разных мест и на разных устройствах. Доступ строится не на основе нахождения «внутри сети», а на контекстном доступе к конкретным ресурсам.
Безопасность всё чаще опирается не на IP-адреса, а на идентичность, поведение, уровень риска, тип сущности и историю активности.
Появился AI — как новая инфраструктура и новая поверхность атаки. Теперь нужно защищать не только трафик, но и модели, агентов, пайплайны и интеграции.
В результате центр принятия решений смещается от статических сетевых правил к аналитике, данным и контексту.
Что показывает рынок
На рынке безопасности прослеживаются две стратегии:
Платформенная. Крупные вендоры создают сквозные решения, объединяющие сеть, облако, устройства, идентичности, аналитику и автоматизацию. Цель — охватить как можно больше точек контроля.
Специализированная. Малые и средние компании делают ставку на глубокую экспертизу в узких областях: CNAPP, API Security, Identity Security, AI Security, runtime-защита, observability и другие. Их преимущество — скорость, гибкость и открытые интерфейсы для интеграции.
Обе стратегии жизнеспособны. Выбор зависит от бизнес-задач и архитектурных приоритетов.
Пять факторов, меняющих роль NGFW
На архитектуру сетевой безопасности сильнее всего влияют:
- AI
- SASE / SSE / ZTNA
- Identity Security
- Cloud Security
- Data Security Analytics
Именно они объясняют, почему NGFW всё чаще становится не центром архитектуры, а одним из механизмов применения политики.
AI: новый слой инфраструктуры и новая поверхность атаки
AI перестал быть маркетинговым трендом. Он превратился в самостоятельное направление с уникальными рисками и объектами защиты: модели, агенты, inference-сервисы, пайплайны, интеграции.
Это меняет требования к сетевой безопасности. NGFW должен распознавать AI-трафик, но ещё важнее — учитывать контекст: какие данные обрабатываются, насколько критичен сценарий, не выходит ли поведение за рамки ожидаемого.
В такой среде межсетевой экран не может быть единственным арбитром. Он становится точкой исполнения решений, сформированных на основе внешних аналитических сигналов.
SASE / SSE / ZTNA: периметр стал распределённым
Рост SASE, SSE и ZTNA — не просто смена аббревиатур. Это признак того, что классический периметр больше не совпадает с реальной архитектурой доступа.
Пользователи работают из любой точки, приложения — в нескольких облаках. Доступ строится не на подключении к сети, а на контекстном доступе к ресурсу.
Поэтому связка Secure Web Gateway, ZTNA и SD-WAN становится новой базовой моделью для многих сценариев.
Для NGFW это означает: он остаётся важным, но перестаёт быть единственной точкой входа. Часть функций уходит в облако, клиентские агенты и edge-инфраструктуру.
Теперь NGFW — один из элементов контроля, а не центр удалённого доступа.
Identity Security: политика зависит от сущности, а не от адреса
Происходит переход от сетевой модели к модели на основе сущностей. Вопрос «с какого IP пришёл запрос» уступает вопросу «кто обращается, с каким уровнем доверия и в каком контексте».
Речь идёт не только о пользователях. Растёт число машинных идентичностей: сервисных аккаунтов, токенов, ключей, workload identities, API identities.
Для NGFW это вызов. Сетевые параметры больше не описывают ситуацию полностью. Решения должны учитывать роль, тип устройства, уровень риска, историю поведения и происхождение сессии — данные, выходящие за рамки сетевой логики.
Это один из главных факторов, из-за которого NGFW смещается из центра архитектуры в сторону исполняющего элемента.
Cloud Security: трафик обходит классический NGFW
Облако изменило не только размещение сервисов, но и природу взаимодействий. Большая часть трафика проходит внутри облачной среды: между микросервисами, контейнерами, API, serverless-функциями и компонентами service mesh. Классический периметр видит лишь часть картины.
Отсюда три последствия:
Во-первых, точки контроля перемещаются ближе к нагрузке: внутри кластеров, на уровне runtime, в API-шлюзах, mesh-компонентах и облачных сервисах.
Во-вторых, значение IP-адреса снижается. Важнее становятся контекстные атрибуты: namespace, service identity, облачные теги, тип workload.
В-третьих, NGFW не может быть единственным центром контроля в cloud-native архитектуре. Он нужен, но только как часть более широкой системы.
Data Security Analytics: решение рождается вне firewall
Самый глубокий сдвиг — в аналитическом контуре. Раньше логика безопасности была в правилах firewall, IPS, proxy. Позже добавился SIEM. В современных средах этого недостаточно.
Сложные сценарии требуют комбинации сигналов: сетевой телеметрии, данных об идентичности, поведении, конфигурациях, threat intelligence, чувствительности данных и критичности сервисов.
Ценность смещается туда, где можно собрать, обогатить и связать эти сигналы, оценить риск и принять решение.
В такой модели NGFW важен не только как фильтр, но и как источник качественной телеметрии, участник аналитической экосистемы и исполнитель внешних решений.
Вопрос «насколько хорош firewall сам по себе» уступает вопросу «насколько хорошо он встроен в контур сбора данных, аналитики и динамического управления».
Как меняется архитектура
Современная архитектура безопасности всё меньше напоминает модель с центральным NGFW. Формируется распределённый контур:
- Сигналы поступают из разных источников.
- Аналитические и контекстные сервисы обогащают данные.
- Решение принимается на основе совокупности факторов.
- Политика применяется одновременно в нескольких точках: NGFW, ZTNA, SWG, API security, endpoint, runtime-системах.
Что это значит для вендоров и заказчиков
Для вендоров: удерживать центральную роль только за счёт NGFW невозможно. Нужно либо строить широкую платформу, охватывающую несколько доменов, либо предлагать глубокую специализацию и качественную интеграцию.
Для заказчиков: выбор NGFW остаётся важным, но не единственным архитектурным решением. Критично понимать:
- Где формируется решение о доступе и реакции.
- Какие домены дают контекст.
- Какие сигналы считаются значимыми.
- Где применяется политика.
Именно это определяет зрелость современной архитектуры безопасности.
NGFW не исчезает и не теряет значения. Но он перестаёт быть единственным центром. Решение всё чаще формируется на уровне данных, идентичности, поведения, облачного контекста и аналитики. Межсетевой экран остаётся важным элементом — одной из точек контроля, — но уже не главным арбитром.
Обсуждать будущее сетевой безопасности теперь нужно в терминах identity, cloud, распределённого доступа, AI и аналитических контуров, которые объединяют всё это в единую систему.