Мы тут играемся с межсетевым экраном, который работает в пользовательском режиме. Очень перспективно, но крайне трудоемко. Иметь стэк обработки траффика в ядре ОС чуть менее быстро, но сильно проще в разработке.
Не суть. Там простая ситуация: ИБшнику дают миллион в год на его ненужную ИБ и все, пусть что хочет, то и делает. Говорит, что только на лицензию для антивируса хватает.