Посмотрите, что ваши файрволы разрешают на самом деле.
Policy Analyzer в SAMURAI — анализатор политик межсетевых экранов, который вы разворачиваете у себя. Он вычисляет, что ваша база правил пропускает на самом деле, когда объекты, группы и NAT раскрыты, а это часто больше, чем следует из текста правил. Он находит затенённые, избыточные и слишком широкие правила и ранжирует каждое правило по степени открытости, по одной и той же логике для Palo Alto, Cisco FTD, FortiGate, Juniper SRX и Cisco ACI.
Обновлено в июле 2026
Что он вычисляет
Эффективный доступ
Трафик, который ваш набор правил пропускает из конца в конец, с раскрытыми адресными и сервисными объектами и применённым NAT. Вы видите, что на самом деле достижимо.
Затенённые правила
Правила, которые никогда не сработают, потому что их трафик уже ловит правило выше. Они прячут замысел, и аудиторы их отмечают.
Избыточные правила
Правила, чей эффект уже даёт другое правило. Их можно удалить, и то, что разрешает файрвол, не изменится.
Слишком широкие правила
Источники any-to-any, широкие диапазоны CIDR и сервис «any» отмечены раньше, чем их найдёт аудитор.
Ранжирование по риску
Каждое правило ранжировано по степени открытости, поэтому чистка 2000 правил начинается с десяти важных, а не с первой строки.
Одна логика для всех вендоров
Palo Alto, Cisco FTD, FortiGate, Juniper SRX и контракты ACI приводятся к одной модели политик и анализируются одинаково.
Анализ политик и управление политиками
AlgoSec, Tufin и FireMon — системы управления политиками, созданные для кампаний ресертификации, процессов согласования и оркестрации изменений. Policy Analyzer делает аналитическую часть, и живёт он в платформе, которая видит ещё и маршрутизаторы, коммутаторы, фабрики и гипервизоры вокруг ваших файрволов.
Анализ
SAMURAI Policy Analyzer
Эффективный доступ, затенённые, избыточные и слишком широкие правила, риск по каждому правилу
Системы управления политиками
Сопоставимый анализ плюс чистка по счётчикам срабатываний из трафика
Процессы
SAMURAI Policy Analyzer
Это не наше: ни кампаний ресертификации, ни маршрутизации согласований
Системы управления политиками
Их сильная сторона: жизненный цикл правил, согласования, provisioning
Охват
SAMURAI Policy Analyzer
Файрволы плюс маршрутизаторы, коммутаторы, фабрики ACI, ISE и vCenter
Системы управления политиками
Политики файрволов
Развёртывание
SAMURAI Policy Analyzer
Один Docker-контейнер на вашем сервере, работает в изолированной сети, данные примерно через пять минут
Системы управления политиками
Appliance или внедрение SaaS
Если вы проводите кампании ресертификации и ведёте процессы согласования, покупайте систему управления политиками. Если вам нужно знать, что ваши файрволы разрешают на самом деле, какие правила лежат мёртвым грузом, а какие опасно широки, по всем вендорам и на вашем собственном железе, это делает Policy Analyzer.
Частые вопросы
SAMURAI — это анализатор правил файрвола?
Да. Policy Analyzer проверяет каждое правило в базе. Он отмечает затенённые, избыточные и слишком широкие правила, вычисляет эффективный доступ, который даёт каждое правило, с раскрытыми объектами и NAT, и ранжирует правила по риску. Поддерживаются Palo Alto, FortiGate, Cisco FTD, Juniper SRX и ACI.
Что такое анализатор политик межсетевого экрана?
Инструмент, который читает конфигурацию файрвола (правила, объекты, NAT), вычисляет, что база правил разрешает на самом деле, и указывает на проблемы: правила, которые никогда не сработают, правила, которые дублируют другие, и правила, открывающие больше задуманного. Он работает с конфигурацией. Анализаторы логов работают с записями о трафике.
Что такое затенённое правило файрвола?
Правило, которое никогда не сработает, потому что правило выше уже ловит весь трафик, который оно поймало бы. Такие правила тихо накапливаются по мере роста базы, прячут чей-то замысел и затягивают аудиты. SAMURAI находит их по всему набору правил.
Что такое избыточное правило файрвола?
Правило, чей эффект уже даёт другое правило. Если его удалить, то, что файрвол разрешает или запрещает, не изменится. SAMURAI отмечает такие правила, чтобы чистка превратилась в ревью, а не в археологические раскопки.
Что значит «эффективный доступ»?
Это трафик, который база правил на самом деле пропускает из конца в конец, с раскрытыми адресными и сервисными объектами и применённым NAT. Правило «web-servers к db-group» мало что говорит, пока объекты не раскрыты. Эффективный доступ даёт реальные IP, протоколы и порты.
Какие файрволы поддерживает Policy Analyzer?
Palo Alto (PAN-OS), Cisco Secure Firewall (FTD), Fortinet FortiGate (FortiOS), Juniper SRX (Junos OS) и контракты Cisco ACI. Они приводятся к одной модели политик и анализируются по одной логике.
Использует ли он логи трафика или счётчики срабатываний?
Нет. Он работает только с конфигурацией, прочитанной через API вендоров и SSH, поэтому находит структурные проблемы (затенение, избыточность, слишком широкие правила, риск) без хранения логов. Чего он сказать не может, так это того, что у правила ноль срабатываний за 90 дней, для этого нужны счётчики. Это закрывают системы управления политиками.
Делает ли SAMURAI ресертификацию правил файрвола?
Нет. Кампании ресертификации, подтверждение владельцами правил и процессы согласования относятся к системам управления политиками вроде AlgoSec, Tufin и FireMon. SAMURAI даёт анализ, на который эти процессы опираются: эффективный доступ, находки по гигиене, ранжирование по риску и ленту изменений с авторами.
Можно ли бесплатно попробовать его на своих файрволах?
Да. Бесплатная тестовая лицензия идёт вместе с Docker-образом на Docker Hub, почта не нужна. Запустите один контейнер на ВМ с доступом к вашим файрволам, и Policy Analyzer отработает на вашей реальной базе правил.