Ideco NGFW (до версии 16.0 — Ideco UTM, первоначально Ideco ICS) — российский программный межсетевой экран нового поколения (NGFW), предназначенный для защиты сетевого периметра, контроля и фильтрации интернет-трафика в корпоративных и частных сетях. Разрабатывается компанией «Айдеко» с 2005 года. По позиционированию разработчика продукт ориентирован на инфраструктуру крупных организаций и применяется как периметровый межсетевой экран, ядро корпоративной сети, средство защиты центров обработки данных (ЦОД) и демилитаризованных зон (DMZ), а также как VPN-концентратор для организации удалённого доступа.
Продукт поставляется в двух форм-факторах — как программно-аппаратный комплекс и как виртуальный образ — с идентичным набором функций. В составе платформы разработчик выделяет четыре компонента: ZTNA и SD-WAN (входят в базовую поставку), а также модуль DNS Security и систему централизованного управления Ideco Center. Продукт сертифицирован ФСТЭК и ОАЦ Республики Беларусь, включён в реестр российского программного обеспечения.
Компанию-разработчик «Айдеко» основала в 2005 году в Екатеринбурге команда студентов и выпускников Уральского федерального университета. По данным компании, к 2026 году в ней работало более 270 сотрудников.
История В 2005 году команда студентов и выпускников Уральского федерального университета создала биллинговую систему для университета под управлением Linux, а затем коммерческий продукт на её основе — Ideco ICS (Internet Control Server) 2.5; одновременно был выпущен и первый аппаратный вариант — сервер с предустановленной системой.
В 2011 году Ideco ICS версии 3 первым в России получил сертификат ФСТЭК как программный межсетевой экран, включающий собственную операционную систему на базе Linux. В том же году вышел Ideco ICS 4.0 — многофункциональный интернет-шлюз с функциями защиты от утечек данных, почтовым и Jabber-сервером.
В 2015 году вышла система высокоскоростной контентной фильтрации Ideco Selecta, а Ideco ICS 6 прошёл сертификацию ФСТЭК. В 2017 году появилась бесплатная редакция для малого и среднего бизнеса (позднее — редакция Free).
В 2018 году продукт получил название Ideco UTM: в нём появились переработанный контент-фильтр и модуль контроля приложений на основе глубокого анализа пакетов (DPI), что вывело решение в класс NGFW. В декабре 2023 года с выходом версии 16.0 (поддержка зонального межсетевого экрана, туннелей GRE и IPsec VTI, защиты от DoS-атак) продукт был официально переведён в статус NGFW и переименован в Ideco NGFW.
В сентябре 2025 года представлена линейка Ideco NGFW Novum с новым сетевым стеком на технологиях DPDK и VPP, рассчитанная на высокие нагрузки и работу с крупными каталогами Active Directory.
История версий Обновления Ideco NGFW выходят регулярно; полный перечень изменений публикуется в официальном журнале версий. Актуальная версия на июль 2026 года — 22.5.43. Ниже приведены основные вехи по годам.
+ Ключевые версии и нововведения Год Версии Основные изменения 2005 Ideco ICS 2.5 Первый выпуск, программный и аппаратный варианты 2011 Ideco ICS 3, 4.0 Первый сертификат ФСТЭК; функции DLP, почтовый сервер 2015 Ideco Selecta, ICS 6 Высокоскоростная контентная фильтрация; сертификация ФСТЭК 2017 Ideco SMB Бесплатная редакция для малого и среднего бизнеса 2018 Ideco UTM Модуль контроля приложений (DPI), выход в класс NGFW 2020—2022 UTM 8.0—14.0 Маршрутизация по пользователям; отказоустойчивый кластер; BGP, двухфакторная аутентификация, центральная консоль; LACP, фильтрация по GeoIP, WAF 2023 UTM 15.0, 16.0 Сигнатуры IPS «Лаборатории Касперского», интеграция с Samba DC и ALD Pro; зональный межсетевой экран, GRE, IPsec VTI; переименование в Ideco NGFW 2024 NGFW 17.0, 18.0 WPAD, ZTNA, RADIUS-аутентификация VPN; профили безопасности IPS/DPI/WAF, морфологический анализ, SPAN 2025 NGFW 19.0, 20.0, Novum 21 loopback-интерфейсы, netflow, VPN с шифрованием по ГОСТ Р 34.12-2015; логирование DNS-запросов, GeoIP от Минцифры; новая архитектура VPP/DPDK, модуль DNS Security 2026 Novum 22 SD-WAN, EIGRP, интеграция с базой индикаторов ФинЦЕРТ, машинные сертификаты как третий фактор аутентификации
Архитектура Ideco NGFW построен на микросервисной архитектуре с собственной операционной системой на базе ядра Linux. Продукт устанавливается на физический сервер, виртуальную машину (поддерживаются VMware, Hyper-V, KVM, VirtualBox, Citrix XenServer и отечественные гипервизоры) либо поставляется как программно-аппаратный комплекс.
В линейке Novum применяется собственный сетевой стек на основе VPP и DPDK с обработкой пакетов в пространстве пользователя в обход сетевого стека ядра. По данным разработчика, модули глубокого анализа пакетов и предотвращения вторжений встроены в конвейер обработки VPP в виде граф-узлов. Схожий подход с использованием VPP/DPDK применяют и зарубежные производители NGFW, включая Fortinet и Palo Alto Networks.
Управляющий (:en:Management plane) и пользовательский (:en:Data plane) трафик разделены архитектурно, что позволяет сохранять управляемость при высокой нагрузке. Продукт поддерживает виртуальные контексты (VCE, Virtual Context Engine) — запуск нескольких изолированных экземпляров с собственными сетями, политиками и выделенными вычислительными ресурсами на одной инсталляции (аналог технологии VDOM в решениях Fortinet); в версии 22 обработка пользовательского трафика полностью перенесена в VPP-контексты.
Отказоустойчивость обеспечивается кластером в режиме Active-Passive с синхронизацией сессий между узлами, агрегированием каналов (LACP), резервированием IPsec-подключений и безразрывным обновлением узлов без разрыва активных соединений; заявленное время восстановления из резервной копии — около 30 секунд.
Производительность Производительность Ideco NGFW зависит от аппаратной платформы, набора включённых модулей, структуры сетевого трафика и числа правил. По заявлению разработчика, в режиме межсетевого экранирования без активации модулей глубокой инспекции (DPI, IPS, SSL-инспекция) архитектура Novum обеспечивает пропускную способность до 200 Гбит/с на одном сервере, до 1 млн TCP-соединений в секунду и поддержку до 100 000 правил; производительность реализуется без специализированных аппаратных ускорителей.
Независимое нагрузочное тестирование российских NGFW, включая Ideco, проводит Инфосистемы Джет по методике на основе смешанного трафика EMIX. В линейке Novum (высокопроизводительный контекст VCE) измеренная пропускная способность достигала около 7,5 Гбит/с и практически не снижалась при 10 000 правил.
Возможности Ideco NGFW объединяет функции интернет-шлюза и средства сетевой безопасности: Межсетевой экран с зональной моделью (Zone Based Firewall) и правилами в разрезе сетей, пользователей, групп и устройств; режим L2-моста и фильтрация по GeoIP; система предотвращения вторжений (IDS/IPS): по данным разработчика, база содержит более 64 тысяч сигнатур и входит в базовую поставку; списки блокировки НКЦКИ и IP Reputation; контроль приложений на основе DPI: по данным разработчика, свыше 440 категорий приложений с возможностью создавать собственные сигнатуры; контент-фильтр: более 500 млн URL, базы категоризации Минцифры и SkyDNS; инспекция HTTPS (SSL/TLS, включая TLS 1.3) с подменой сертификата или по SNI; антивирус и антиспам для веб- и почтового трафика (технологии «Лаборатории Касперского», Dr.Web; в редакции Free — ClamAV); Файрвол веб-приложений (WAF) для защиты публикуемых веб-сервисов и API от SQL-инъекций, XSS, CSRF и других атак; статическая и динамическая маршрутизация (OSPF, BGP, EIGRP) и маршрутизация на основе политик; агрегирование каналов (LACP), балансировка и резервирование каналов; прокси-сервер с поддержкой WCCP; сетевые службы DNS, DHCP, NTP и почтовый сервер; управление полосой пропускания; отчёты (PDF, CSV, HTML) и мониторинг трафика в разрезе пользователей (User Identity).
ZTNA и удалённый доступ ZTNA (Zero Trust Network Access) встроен в продукт. При подключении и далее в течение сессии агент Ideco Client (для Windows, macOS и Linux, включая Astra Linux и ALT Linux) передаёт на шлюз профиль соответствия устройства (HIP-профиль): тип и версию ОС, наличие и актуальность антивируса, состояние межсетевого экрана, обновления и другие параметры. В зависимости от уровня соответствия пользователю выдаётся полный доступ, ограниченный доступ или карантинная зона; при этом доступ предоставляется к конкретным приложениям, а не к сети целиком. Поддерживаются протоколы VPN WireGuard, SSL/TLS VPN, IPsec IKEv2, L2TP/IPsec и SSTP, а также туннели (GRE, GRE over IPsec). Двухфакторная аутентификация выполняется по TOTP, SMS или RADIUS; в версии 22 добавлен машинный сертификат как третий фактор.
DNS Security DNS Security — отдельно лицензируемый модуль защиты на уровне DNS. DNS-запросы перенаправляются по каналу DNS-over-TLS в облачную аналитическую платформу, которая в реальном времени выявляет и блокирует угрозы, формально не нарушающие сетевые политики: домены, генерируемые алгоритмами (DGA), DNS-туннелирование, фишинговые и недавно зарегистрированные домены, инфраструктуру управления вредоносным ПО (C&C) и другие. Модуль работает для внешних DNS-зон и дополняет контент-фильтр.
SD-WAN SD-WAN входит в базовую поставку и управляет несколькими WAN-каналами как единой системой: балансировка нагрузки, автоматическое переключение при деградации канала и маршрутизация по параметрам SLA (задержка, джиттер, потери пакетов). Поддерживается построение overlay-сетей на IPsec и GRE over IPsec в связке с BGP, а также мониторинг каналов по BFD.
Ideco Center Ideco Center — отдельно лицензируемая платформа централизованного управления, предназначенная для распределённых инсталляций (по рекомендации разработчика — от пяти узлов). Обеспечивает единое управление политиками, агрегацию журналов со всех узлов с выгрузкой в SIEM и, по данным разработчика, поддержку до 10 000 управляемых узлов; возможен геораспределённый кластер консоли из двух экземпляров. Ideco Center не участвует в обработке трафика: при потере связи с консолью применённые политики продолжают действовать.
Редакции и лицензирование Ideco NGFW распространяется в нескольких редакциях. Бесплатная редакция Free с неограниченным сроком действия рассчитана на использование до 20 пользователей и не включает контроль приложений, IPS и интеграцию с Active Directory. Платные редакции поставляются в обычном и сертифицированном ФСТЭК вариантах; работа функциональных модулей (IPS, контент-фильтр, контроль приложений) требует активной подписки Security Update. Продукт выпускается в двух форм-факторах — виртуальный образ и программно-аппаратный комплекс на российских аппаратных платформах из реестра Минпромторга; сертифицированная версия поставляется исключительно в виде ПАК. Модули DNS Security и Ideco Center лицензируются отдельно.
Интеграции Продукт использует открытые интерфейсы и стандартные протоколы, обеспечивающие совместимость с внешними системами без привязки к конкретному вендору: службы каталогов: Active Directory/LDAP, ALD Pro, АльтДомен, «Ред АДМ», Samba DC, FreeIPA; двухфакторная аутентификация: TOTP, «Мультифактор», SMS, RADIUS; передача событий и мониторинг: syslog (включая CEF), SNMP, Zabbix, NetFlow, REST API; взаимодействие с DLP, антивирусами и «песочницами» по протоколу ICAP; внешние базы: списки блокировки НКЦКИ, база GeoIP от Минцифры России, базы SkyDNS и база индикаторов компрометации ФинЦЕРТ.
Безопасная разработка По данным разработчика, при создании продукта применяются формализованные процессы разработки безопасного программного обеспечения (РБПО) в соответствии с требованиями ГОСТ, охватывающие весь жизненный цикл — от моделирования угроз до реагирования на уязвимости. Используются статический анализ кода (Svace) и фаззинг-тестирование (Crusher) разработки ИСП РАН: подтверждённые уязвимости категорий Critical и Major блокируют выпуск релиза. Ведётся автоматизированный мониторинг уязвимостей (CVE) всех компонентов, включая ядро