Узнайте, что ваши файрволы разрешают на самом деле.
Policy Analyzer в SAMURAI — это self-hosted инструмент анализа политик файрвола, который вычисляет эффективное разрешённое пространство по всей базе правил: не то, что правило говорит, а какой трафик действительно проходит после раскрытия объектов, групп и NAT. Он помечает затенённые, избыточные и слишком широкие правила, оценивает риск каждого правила и делает это в единой канонической модели для Palo Alto, Cisco FTD, FortiGate, Juniper SRX и Cisco ACI. Анализ конфигурации на реальных данных устройств, а не на логах трафика.
Обновлено в июле 2026
Что вычисляет Policy Analyzer
Эффективный доступ
Сквозное разрешённое пространство, вычисленное по всему набору правил, с рекурсивно раскрытыми объектами адресов и сервисов и разрешённым NAT — вы видите, что действительно достижимо.
Обнаружение затенённых правил
Правила, которые никогда не сработают, потому что более раннее правило уже покрывает их трафик. Мёртвый груз, который скрывает замысел и проваливает аудиты, выявляется автоматически.
Обнаружение избыточных правил
Правила, эффект которых уже обеспечен другим правилом. Их удаление сокращает базу правил, не меняя того, что файрвол разрешает.
Обнаружение слишком широких правил
Источники any-any, широкие диапазоны CIDR и сервисы "any" помечаются, чтобы самые открытые правила были видны раньше, чем их найдёт аудитор.
Оценка риска каждого правила
Каждое правило ранжируется по степени экспозиции — чистка базы из 2000 правил начинается с десяти важных, а не с первой строки.
Одна модель для всех вендоров
Palo Alto, Cisco FTD, FortiGate, Juniper SRX и контракты ACI нормализуются в каноническое представление политик и анализируются одной логикой.
Анализ политик vs управление политиками
AlgoSec, Tufin и FireMon — пакеты управления политиками: кампании ресертификации, workflow согласований, оркестрация изменений. Policy Analyzer в SAMURAI не уступает им в самом анализе и живёт внутри платформы, которая также охватывает маршрутизаторы, коммутаторы, фабрики и гипервизоры вокруг ваших файрволов.
Анализ
SAMURAI Policy Analyzer
Эффективный доступ, обнаружение затенённых/избыточных/слишком широких правил, оценка риска каждого правила
Пакеты управления политиками
Сопоставимый анализ, плюс чистка на основе счётчиков срабатываний из трафика
Workflow
SAMURAI Policy Analyzer
Не наш фокус: без кампаний ресертификации и оркестрации согласований
Пакеты управления политиками
Их основная сила: жизненный цикл правил, согласования, provisioning
Охват
SAMURAI Policy Analyzer
Файрволы плюс маршрутизаторы, коммутаторы, фабрики ACI, ISE и vCenter в одном представлении
Пакеты управления политиками
Файрвол-центричность
Развёртывание
SAMURAI Policy Analyzer
Один self-hosted Docker-контейнер, дружелюбный к air-gap, данные примерно через пять минут
Пакеты управления политиками
Корпоративный appliance или SaaS-развёртывание
Предпочитаем честность: если вам нужны кампании ресертификации и workflow согласований, пакеты управления политиками оправдывают свою цену. Если нужно знать, что ваши файрволы разрешают на самом деле, какие правила — мёртвый груз, а какие опасно широки, self-hosted и по всем вендорам — Policy Analyzer построен именно для этого.
Частые вопросы
Что такое анализатор политик файрвола?
Анализатор политик файрвола читает конфигурацию файрвола (правила, объекты, NAT) и вычисляет, что база правил действительно разрешает, а затем помечает проблемы: затенённые правила, которые никогда не сработают, избыточные правила, дублирующие другие, и слишком широкие правила, открывающие больше задуманного. Он работает от состояния конфигурации — в отличие от лог-анализаторов, работающих от записей трафика.
Что такое затенённое правило файрвола?
Затенённое правило — то, которое никогда не сможет сработать, потому что более раннее правило в порядке вычисления уже покрывает весь трафик, который оно бы поймало. Затенённые правила — мёртвая конфигурация: они скрывают замысел, путают аудиты и тихо накапливаются по мере роста базы правил. SAMURAI обнаруживает их автоматически по всему набору правил.
Что такое избыточное правило файрвола?
Избыточное правило дублирует эффект другого правила: его удаление не изменило бы, что файрвол разрешает или запрещает. Избыточные правила раздувают базу и замедляют каждый аудит. SAMURAI помечает их, чтобы чистка была задачей на ревью, а не археологическим проектом.
Что значит «эффективный доступ»?
Эффективный доступ — это набор трафика, который база правил действительно разрешает сквозным образом, вычисленный с рекурсивно раскрытыми объектами адресов и сервисов и разрешённым NAT. Правило «web-servers к db-group» ничего не говорит, пока объекты не раскрыты; эффективный доступ показывает реальные IP, протоколы и порты, которые проходят.
Какие файрволы поддерживает Policy Analyzer?
Palo Alto Networks (PAN-OS), Cisco Secure Firewall (FTD), Fortinet FortiGate (FortiOS), Juniper SRX (Junos OS) и контракты Cisco ACI — все нормализуются в единую каноническую модель политик и анализируются одной логикой.
Использует ли он логи трафика или счётчики срабатываний?
Нет. Policy Analyzer работает полностью от состояния конфигурации, читаемого через нативные API и SSH. Это значит, что он находит структурные проблемы (затенение, избыточность, чрезмерную широту, риск) без необходимости хранить логи. Чего он не делает — чистка на основе использования («у этого правила ноль срабатываний за 90 дней»), для которой нужны счётчики из трафика; это покрывают специализированные пакеты.
Делает ли SAMURAI ресертификацию правил файрвола?
Нет. Кампании ресертификации, аттестация владельцев правил и workflow согласований — область пакетов управления политиками вроде AlgoSec, Tufin и FireMon. SAMURAI даёт анализ, который эти workflow потребляют: эффективный доступ, находки по гигиене, ранжирование по риску и таймлайн изменений с атрибуцией администраторов.
Можно ли попробовать бесплатно на своих файрволах?
Да. Бесплатная тестовая лицензия идёт с Docker-образом SAMURAI на Docker Hub, e-mail не требуется. Один docker run на VM с доступом к вашим файрволам — и Policy Analyzer работает на вашей реальной базе правил.