В процессе трансформации ИТ-инфраструктуры и перехода на отечественные средства защиты информации предприятия всё чаще сталкиваются с необходимостью замены зарубежных комплексных решений российскими межсетевыми экранами. Процесс смены платформы межсетевого экранирования сопряжен с высоким риском ошибок и существенными временными затратами, так как правила безопасности в крупных организациях формируются годами и включают тысячи объектов. Ручной перенос правил фильтрации и базы объектов при смене межсетевого экрана является длительным и рискованным процессом, где одиночные ошибки способны вызвать сбои в работе бизнес-сервисов или создать бреши в защите.
Для решения этой задачи Код Безопасности разработал набор специализированных инструментов, работающих через API Континент 4. Среди них библиотека c4_lib для поддержки связи МК-ЦУС, инструменты для установки политик, экспорта конфигураций, генерации правил и VLAN, а также утилиты для импорта объектов IoC от вендоров Kaspersky и Security Vision. Особое внимание уделено конвертации данных: инструменты aserv_c4_importer позволяют переносить данные с СД Континент 3.9.4 на 4.1.9, а convert_cisco_to_c4 и convert_forti_to_c4 обрабатывают конфигурации Cisco ASA и FortiGate. Для миграции с Check Point R81.20 используется инструмент convert_cp_json_to_c4, который конвертирует конфигурации из контейнеров .json в формат, готовый к импорту в Континент 4.1.7 и выше.
Все инструменты представлены как скрипты на языке Python с интерфейсом CLI и встроенной справкой. Для работы с API Континент 4 требуются интерпретатор Python версии не ниже 3.9 (желательно 3.11 и выше), компонент openssl версии 3.0 или выше, а также физический и логический доступ рабочей станции к ЦУС. Инструменты для API Континент 4 рекомендуется устанавливать в виртуальном окружении на АРМ под управлением ОС Linux, например Ubuntu 24.04/26.04 LTS или Debian 12/13, так как работа на Windows или ОС с Wine не гарантируется из-за сложности настройки криптографии. Установка библиотеки c4_lib включает создание виртуального окружения, установку зависимостей через pip3 и требует наличия учетной записи администратора с ролью Главный администратор.
Практический опыт автоматизированного переноса политики безопасности с Check Point R81.20 на NGFW Континент версии 4.2.1.653 демонстрирует эффективность использования утилиты convert_cp_json_to_c4. Для получения конфигурации в формате *.json на стороне Check Point используется инструмент "Show Package Tool", который выгружает файлы с правилами фильтрации, трансляции, сетевыми объектами и сервисами. При большом количестве правил архив разбивается на несколько файлов с суффиксами -fw и -nat, а вложенные правила типа Inline Layer сохраняются отдельно. Полученные JSON-файлы затем конвертируются в универсальный формат для последующего импорта в приложение «Менеджер Конфигурации» Континента, что позволяет избежать ручного ввода и минимизировать ошибки при миграции.
