Применение межсетевых экранов - Форум по вопросам информационной безопасности

" а где тут сказано про сертификацию железа тоже? :)) "

Ээ... Вообще-то фраза "могут иметь только программно-техническое исполнение" как раз и означает, что сертификацию проходит совместно железо плюс софт. Сам по себе софт не может иметь программно-техническое исполнение, Вы согласны?
Поэтому и продукт называется "ПАК Dionis NX".

Во всяком случае, об этом я не раз слышал от А. Кубарева, который во ФСТЭК рулит этими вопросами.

Написал письмо производителю. Попросил разъяснений. Посмотрим, что они скажут.

to WORM
Извиняюсь, конечно, но не означает. Означает она лишь, на мой взгляд, что всяческие TrafficInspector (чистый софт), натянутые на обычную ОС и железо типового системного блока - нихрена не МЭ типа А...
Проведите аналогию с СДЗ. АПМДЗ имеют исключительно программно-техническое исполнение. Но ни в одном документе (как там у сертификаторов не знаю, отталкиваюсь от того, что читал сам) так и не нашел фразы про сертификацию платы как таковой. Прошивка - да. Электросхемы и элементы - нет...

Разбиение профилей на А, Б, В и Г - грамотный шаг, чтобы снизить спекуляцию на рынке СЗИ со стороны тех лиц, кто подтягивал свои продукты под ранее существовавшие требования (и, особенно, ТУ). В нашей ситуации, под РД МЭ, в котором такого разделения не было. Потому как и ежу понятно, что грамотно собранная "железка" на границе сетей даст фору производительности и эффективности любому серверу с программным МЭ. Особенно в ситуации "из коробки", которой в большинстве своем занимаются и эксплуатанты (потому что не хотят заморачиваться), и лицензиаты-интеграторы (потому что сроки, бабки и проч. тысяча причин)...

to oko
По-моему, Вы сами себе противоречите. А на какое же железо должен быть натянут чистый софт, чтобы он стал МЭ типа "А" ?? Или этот чистый софт уже сам по себе есть МЭ типа "А"?

А что можно считать программно-техническим исполнением?

Насчет аналогии с СДЗ. Там есть три типа, в том числе тип "ПР" (плата расширения). СДЗ типа ПР тоже получает сертификат в составе "софт+железо". Если этот же софт поставить на другое железо, такой продукт не будет считаться сертифицированным.

А вот СДЗ типа "ЗЗ" как раз и есть "чистый софт".

to WORM
Никаких противоречий. С моей точки зрения, ФСТЭК той фразой дал понять, что под типом А надо понимать железо+софт в готовом варианте исполнения от производителя. А не самостоятельные поделки эксплуатантов/лицензиатов по натягиванию сертифицированного софта на какое-то подвернувшееся под руку железо...

Про СДЗ. В курсе, какой из вариантов какое исполнение имеет - у меня сейчас СДЗ в разработке как раз находится (ай-ай, палюсь). Но там, кстати, ни в профилях, ни в других документах ничего конкретного про ПТС тоже не сказано. Более того, порядок разработки описание технической среды (кроме той самой условной схемы) не предполагает...
И да, софт из СДЗ ПР поставить на другое железо не выйдет - там прошивка, заточенная под конкретную плату. Но это вовсе не означает, что производитель теперь не имеет права выбрать другую (полностью аналогичную) платформу для своей прошивки СДЗ и тем самым автоматически потеряет сертификат. Яркий пример: ПАК "Соболь". Сертифицирована была первично плата PCI. Потом добавили форм-фактор PCI-E, miniPCI-E и т.д. Но сертификат никто не обновлял (по линии ФСТЭК, во всяком случае), никаких известных широкой общественности инспекционных контролей не было. И тут два варианта: либо я не прав в первичном суждении и все дело в "договоренности" между изготовителем и сертификатором (лабораторией, органом). Либо железо может меняться производителем, если не нарушается принципиальная схема его работы и сертифицируемый софт на этом железе не теряет эффективности...