一、 下一代防火墻的定位
下一代防火墻的背景
全球權(quán)威的IT研究與顧問咨詢公司——Gartner在2009年發(fā)布了一篇名為《Defining the Next-Generation Firewall》的文章，給出了真正能夠滿足用戶當(dāng)前安全需求的下一代防火墻定義：下一代防火墻是一種深度包檢測(cè)防火墻，超越了基于端口、協(xié)議的檢測(cè)和阻斷，增加了應(yīng)用層的檢測(cè)和入侵防護(hù),下一代防火墻不應(yīng)該與獨(dú)立的網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)混為一談，后者只包含了日常的或是非企業(yè)級(jí)的防火墻，或者把防火墻和IPS簡(jiǎn)單放到一個(gè)設(shè)備里，整合得并不緊密。
適用于國內(nèi)環(huán)境的下一代防火墻
結(jié)合目前國內(nèi)的互聯(lián)網(wǎng)安全環(huán)境來看，越來越多的安全事件是由于Web層面的設(shè)計(jì)漏洞被黑客利用所引發(fā)的。據(jù)統(tǒng)計(jì)，國內(nèi)用戶上網(wǎng)流量與對(duì)外發(fā)布業(yè)務(wù)流量混合在一起的比例超過50%。以政府為例，60%以上的政府單位門戶網(wǎng)站和用戶上網(wǎng)是共用電子政務(wù)外網(wǎng)的線路。在這種場(chǎng)景下，如果作為出口安全網(wǎng)關(guān)的防火墻不具備Web應(yīng)用防護(hù)能力，那么在新出現(xiàn)的APT攻擊的大環(huán)境下，現(xiàn)有的安全設(shè)備很容易被繞過，形同虛設(shè)。下一代防火墻作為一款融合型安全產(chǎn)品，不能存在針對(duì)基于Web應(yīng)用的安全短板。
下一代防火墻（Next-Generation Application Firewall）NGAF面向應(yīng)用層設(shè)計(jì)，能夠精確識(shí)別用戶、應(yīng)用和內(nèi)容，具備完整的L2-L7層安全防護(hù)體系，強(qiáng)化了在Web層面的應(yīng)用防護(hù)能力，不僅能夠全面替代傳統(tǒng)防火墻，而且在開啟安全功能的情況下還保持著強(qiáng)勁的應(yīng)用層處理性能。
二、 為什么需要下一代防火墻
近年來，越來越多的網(wǎng)絡(luò)安全事件告訴我們，安全風(fēng)險(xiǎn)比以往更加難以察覺。隨著網(wǎng)絡(luò)安全形勢(shì)逐漸惡化，網(wǎng)絡(luò)攻擊愈加頻繁，客戶對(duì)自己的網(wǎng)絡(luò)安全建設(shè)變得越來越不自信。如何加強(qiáng)安全建設(shè)？安全建設(shè)的核心問題是什么？采用何種安全防護(hù)手段更為合適？這些問題已成為困擾客戶安全建設(shè)的關(guān)鍵問題。
問題一：看不看得到真正的風(fēng)險(xiǎn)？
一方面，只有看到L2-L7層的攻擊才能了解網(wǎng)絡(luò)的整體安全狀況，基于多產(chǎn)品的組合方案使大多數(shù)用戶沒有辦法進(jìn)行統(tǒng)一分析，也就無法快速定位安全問題，同時(shí)也加大了安全運(yùn)維的工作量。另一方面，沒有攻擊并不意味著業(yè)務(wù)不存在漏洞，一旦漏洞被利用就為時(shí)已晚。好的解決方案應(yīng)能及時(shí)發(fā)現(xiàn)業(yè)務(wù)漏洞，防患于未然。最后，即使有大量的攻擊也不意味著業(yè)務(wù)安全威脅很大，只有針對(duì)真實(shí)存在的業(yè)務(wù)漏洞進(jìn)行的攻擊才是有效攻擊。看不到有效攻擊的方案，就無法讓客戶看到網(wǎng)絡(luò)和業(yè)務(wù)的真實(shí)安全情況。
問題二：防不防得住潛藏的攻擊？
一方面，防護(hù)技術(shù)不能存在短板，存在短板必然會(huì)被繞過，原有設(shè)備就形同虛設(shè)；另一方面，單純防護(hù)外部黑客對(duì)內(nèi)網(wǎng)終端和服務(wù)器的攻擊是不夠的，終端和服務(wù)器主動(dòng)向外發(fā)起的流量中是否存在攻擊行為和泄密也需要檢測(cè)，進(jìn)而才能找到黑客針對(duì)內(nèi)網(wǎng)的控制通道，同時(shí)發(fā)現(xiàn)泄密的風(fēng)險(xiǎn)，最后通過針對(duì)性的安全防護(hù)技術(shù)加以防御。
綜上所述，真正能看到攻擊與業(yè)務(wù)漏洞，及時(shí)查漏補(bǔ)缺，并能及時(shí)防住攻擊才是有效的解決方案。那么基于攻擊特征防護(hù)的傳統(tǒng)解決方案是否真的能夠達(dá)到要求呢？
傳統(tǒng)組合方案（FW+IPS+WAF）能否滿足？
組合方案不足點(diǎn)一：有幾款設(shè)備就可以看到幾種攻擊，但由于信息是割裂的難以對(duì)安全日志進(jìn)行統(tǒng)一分析；有攻擊才能發(fā)現(xiàn)問題，在沒有攻擊的情況下，就無法看到業(yè)務(wù)漏洞，但這并不代表業(yè)務(wù)漏洞不存在；即使發(fā)現(xiàn)了攻擊，也無法判斷業(yè)務(wù)系統(tǒng)是否真正存在安全漏洞，還是無法指導(dǎo)用戶進(jìn)行安全建設(shè)。
組合方案不足點(diǎn)二：有幾種設(shè)備就可以防護(hù)幾種攻擊，但大部分客戶無法全部部署，所以存在短板；即使全部部署，這些設(shè)備也不對(duì)服務(wù)器和終端向外主動(dòng)發(fā)起的業(yè)務(wù)流進(jìn)行防護(hù)，在面臨新的未知攻擊的情況下缺乏有效的防御措施，還是存在被繞過的風(fēng)險(xiǎn)。
三、下一代防火墻介紹
結(jié)合安全發(fā)展趨勢(shì)和國內(nèi)用戶的安全建設(shè)現(xiàn)狀，適合中國用戶本土需求的下一代防火墻需要滿足以下幾個(gè)方面的特點(diǎn)：
1.安全可視
下一代防火墻可以理解網(wǎng)絡(luò)中的應(yīng)用、應(yīng)用中的威脅和攻擊、威脅帶走的數(shù)據(jù)內(nèi)容，并能簡(jiǎn)單易懂地呈現(xiàn)，實(shí)現(xiàn)真正的L2-L7層統(tǒng)一的安全可視化；能通過主動(dòng)或者被動(dòng)流量檢測(cè)及時(shí)發(fā)現(xiàn)業(yè)務(wù)漏洞，即使沒有攻擊也能找到業(yè)務(wù)中潛在的風(fēng)險(xiǎn)。
通過攻擊與業(yè)務(wù)漏洞的關(guān)聯(lián)分析，可以幫助用戶準(zhǔn)確地找到有效攻擊，使用戶看到網(wǎng)絡(luò)和業(yè)務(wù)的真實(shí)安全情況。
2.雙向防御
下一代防火墻具備L2-L7層的攻擊防護(hù)技術(shù)，使防護(hù)技術(shù)不存在短板。NGAF不僅能夠防護(hù)外部攻擊，還能檢查服務(wù)器/終端外發(fā)流量是否有風(fēng)險(xiǎn)，彌補(bǔ)了傳統(tǒng)安全設(shè)備只防外不防內(nèi)的不足之處。NGAF可檢測(cè)服務(wù)器外發(fā)數(shù)據(jù)是否存在泄密或篡改行為，也可檢測(cè)內(nèi)網(wǎng)終端電腦是否被黑客控制。
3.智能聯(lián)動(dòng)
正所謂道高一尺，魔高一丈，各種應(yīng)用層攻擊、變種、逃逸攻擊行為層出不窮，能夠智能地針對(duì)攻擊行為或者防護(hù)對(duì)象進(jìn)行學(xué)習(xí)，動(dòng)態(tài)形成智能防護(hù)規(guī)則也是下一代防火墻必備的特征之一，讓安全檢測(cè)模塊與防護(hù)策略聯(lián)動(dòng)生效，能夠提高黑客的攻擊成本，降低客戶的運(yùn)維管理成本。
4.高效穩(wěn)定
雖然多功能網(wǎng)關(guān)具備部分應(yīng)用安全防護(hù)能力，但其傳統(tǒng)安全設(shè)備的集成、串行部署的方式，使其在多種功能開啟之后性能急劇下降，最終只能當(dāng)傳統(tǒng)防火墻使用。下一代防火墻從軟件構(gòu)架、硬件構(gòu)架兩方面徹底改變了多功能網(wǎng)關(guān)由于多功能堆疊、串行部署導(dǎo)致的性能瓶頸問題，具備高效的應(yīng)用層處理能力，實(shí)現(xiàn)萬兆吞吐。
