Qué es un NGFW y en qué se diferencia de un UTM

Los cortafuegos clásicos deciden por puerto: si algo va al puerto 443, es web. Durante años eso funcionó, pero hoy casi todas las aplicaciones (correo en la nube, videollamadas, programas de compartir archivos, también el malware) viajan por los mismos puertos que la web. Palo Alto Networks lo resume así: los cortafuegos clásicos daban por hecho que un puerto equivale a una aplicación, y las aplicaciones modernas ya no cumplen esa regla. El NGFW nace para resolver eso.

Qué es un NGFW

Un NGFW (next-generation firewall, cortafuegos de nueva generación) es un cortafuegos que identifica y controla las aplicaciones, los usuarios y el contenido del tráfico, mirando hasta la capa 7, la de aplicación. En vez de «permitir el puerto 443», sus reglas dicen cosas como «el departamento de ventas puede usar esta aplicación de videollamadas, pero no subir archivos a servicios de almacenamiento personales».

De dónde viene el término

Lo definió la consultora Gartner en una nota de investigación del 12 de octubre de 2009, «Defining the Next-Generation Firewall». Según esa nota, un NGFW debe tener como mínimo:

• Todo lo de un cortafuegos de primera generación: filtrado, inspección de estado, NAT y VPN.
• Un sistema de prevención de intrusiones (IPS) integrado en el mismo motor, no un aparato aparte colocado al lado.
• Reconocimiento de aplicaciones sea cual sea el puerto o el protocolo que usen.
• Información de fuera del cortafuegos, como el directorio de usuarios de la empresa para aplicar reglas por persona o grupo, o listas de direcciones permitidas y bloqueadas.
• Poder instalarse en línea sin cortar la red.

Palo Alto Networks afirma que lanzó el primer NGFW en 2008. Es lo que dice el propio fabricante; la definición formal llegó con la nota de Gartner al año siguiente.

Lo que suele traer hoy un NGFW

Fortinet, en su definición, enumera las funciones que se esperan hoy de un NGFW:

• Reconocimiento y control de aplicaciones.
• Prevención de intrusiones (IPS).
• Inspección profunda de paquetes.
• Descifrado del tráfico cifrado (inspección TLS o SSL) para poder analizarlo.
• Antimalware y análisis de archivos sospechosos en un entorno aislado (sandbox).
• Inteligencia de amenazas actualizada desde la nube del fabricante.
• Reglas por usuario, aplicación y contenido.

Qué es un UTM

Un UTM (unified threat management, gestión unificada de amenazas) reúne en un solo aparato varias defensas: cortafuegos, antivirus, filtrado de contenidos web y de correo, antispam, prevención de intrusiones y VPN, con una sola consola para gestionarlo todo. Así lo definen tanto Fortinet como Check Point. La guía del NIST añade su contrapartida: el equipo tiene que tener recursos para hacer todo a la vez.

No hay que confundirlo con los parámetros UTM de las direcciones web que se usan en marketing: aquí UTM es siempre un tipo de cortafuegos.

Diferencias entre NGFW y UTM

En 2009, Gartner dejó a los UTM fuera de la definición de NGFW: los describía como aparatos multifunción para sucursales y pymes, con cortafuegos e IPS, pero sin reconocimiento de aplicaciones y, normalmente, sin un único motor que integre todo. Desde entonces los dos se han acercado mucho. Cómo lo ven hoy las fuentes:

• Fortinet: el NGFW se centra en la inspección profunda y el control de aplicaciones; el UTM cubre más funciones de protección, como antivirus y antispam. La diferencia más elemental, dice, es cuánto se puede personalizar: el UTM viene completo y listo para usar.
• Check Point: el NGFW analiza el tráfico hasta la capa 7, y el UTM es habitual en organizaciones con equipos de seguridad pequeños, que agradecen gestionar todo desde un solo sitio.
• INCIBE: hoy los dos comparten funciones (IPS, VPN, registros, control de aplicaciones, filtrado de correo, prevención de fuga de datos, antivirus). Según INCIBE, el UTM concentra todo en un aparato, cuesta menos y tiene menos capacidad de proceso, y va dirigido a pymes y empresas medianas; el NGFW ofrece más rendimiento y tolerancia a fallos, cuesta más y apunta a centros de datos y proveedores de nube.

En la práctica: el mismo aparato y distintas licencias

Hoy la frontera la marca sobre todo la licencia. Muchos fabricantes venden un mismo equipo que funciona como NGFW y que se convierte en UTM al contratar el paquete de protección (antivirus, filtrado web, antispam, sandbox). Por eso, al comparar modelos, conviene mirar dos cosas en la ficha técnica:

• Las cifras de rendimiento con cada función activada. El rendimiento de cortafuegos puro es siempre el más alto; el de NGFW, el de protección frente a amenazas y el de inspección SSL son mucho menores y son los que cuentan si se van a usar esas funciones.
• Qué incluye cada paquete de licencias y qué deja de funcionar cuando caduca.

Si quieres ver dónde encajan el NGFW y el UTM entre el resto de cortafuegos, están todos en tipos de firewall.