Применение межсетевых экранов - Форум по вопросам информационной безопасности

Добрый день!
Прошу помочь разобраться в вопросе применения межсетевых экранов. Существует такой продукт как ПАК Dionis NX, который сертифицирован ФСТЭК по новым требованиям к МЭ и есть в реестре сертифицированных СЗИ. Все хорошо. И есть ПАК Dionis-DPS, который производится той же самой фирмой. На своем сайте они указывают, что данный продукт тоже сертифицирован ФСТЭК, но в реестре его нет. В формуляре на данный продукт производитель пишет, что он изготовлен на базе Dionis NX с применением ПО Dionis NX и прикладывает сертификат на ПАК Dionis NX.
Правомерно ли такое распространения сертификации?

Что-то не чисто. ПАК Dionis NX сертифицирован по профилю А2 (т.е. МЭ уровня сети). Такой экран может быть сертифицирован только в составе ПО+железо (т.е. ПАК, как и есть по факту). Утверждать, что другое железо (Dionis-DPS) тоже сертифицировано, неправомерно, поскольку нет информации, что оно проходило сертификацию, а сертификат, выданный на Dionis NX, на него не распространяется.

Сертификации всегда подвергается ПО/прошивка, а не мет.оболочка. В противном случае, всякие КБ, Эшелоны, АльтЭли и проч. разорятся на сертификации всего модельного ряда своей продукции...
Про DPS не знаю, но подозреваю, что это сборка того же NX, но с доп.модулем предотвращения вторжений (поправьте, если ошибаюсь), который оная контора решила через сертификацию не проводить, а выдают как платный довесок тем, кому на сертификаты плевать...

*в сторону*
Здесь должна быть шутка про фиксацию нарушений ПДД в сетевом пространстве (превышение скорости передачи сетевого трафика и иже с ним), но нет настроения...

to oko
В случае МЭ типа А сертификации подвергается железо+ПО совместно. Профили Б, В, Г и Д содержат требования только к ПО.

to WORM
Перечитаю, спасибо за наводку. Но либо это не так, либо означееная мною выше проблема модельного ряда имеет место быть. И тогда кто-то (не будем тыкать пальцем в Рубикон) явно нарушает требования сертификации...

Перечитал. Профиль (до 4 класса) аппаратку рассматривает весьма условно. Должна быть принципиальная схема описания аппаратной части. Но она не накладывает ограничений (в общем случае) на модельный ряд и иные подобные модификации. Т.е. юридически вполне допустимо лепить сертиф.ПО + доп.ПО на одну платформу, не выходящую за рамки ранее 'сертиф.' схемы по профилю...

Впрочем, я не специалист по сертификации. imho = тому, что вычитал и понял из Профиля

" Межсетевой экран уровня сети (тип «А») – межсетевой экран, применяемый на физической границе (периметре) информационной системы или между физическими границами сегментов информационной системы. Межсетевые экраны типа «А» могут иметь только программно-техническое исполнение"

(инф. сообщение ФСТЭК 240/24/1986)

З.Ы. А в профилях мутно, да (как и все в них)

to WORM
Перефразируя тов. sekira: а где тут сказано про сертификацию железа тоже? :))
Мое мнение, железо сертифицировать не просто не нужно, но и бесполезно. Прошивку, обвязку функциональной ОС, прикладные сервисы/демоны - да. А вот количество eth-портов, дорожки на текстолите и проч. - это уже попахивает идиотией. Нно в наше время, увы, удивляться таким поворотом уже как-то не хочется (это камешек в огород тематики соседней ветки форума, ага)...