突破安全瓶頸 NGFW下一代防火墻演進(jìn)正當時(shí)

為了保護某一區域，人們往往在區域的四周建起圍墻，以阻隔危險的靠近，現實(shí)世界如此，虛擬的網(wǎng)絡(luò )世界也不例外，無(wú)論是以公司為單位的企業(yè)用戶(hù)還是個(gè)人用戶(hù)，作為互聯(lián)網(wǎng)上的一分子，都有可能受到來(lái)自外部的安全威脅，于是，防火墻產(chǎn)品便應運而生了。

有了它，就相當于在計算機與網(wǎng)絡(luò )之間建起了一道屏障，它對流經(jīng)它的網(wǎng)絡(luò )通信數據進(jìn)行掃描，從而過(guò)濾掉一些攻擊。當然，與現實(shí)世界的實(shí)體墻易攻難守相比，網(wǎng)絡(luò )世界里的防火墻功能更加多樣而豐富，除了網(wǎng)羅不安全因素之外，它還能夠做到關(guān)閉不使用的端口，以及禁止特定端口的流出通信，封鎖特洛伊木馬。而且通過(guò)禁止來(lái)自特殊站點(diǎn)的訪(fǎng)問(wèn)，從而防止來(lái)自不明入侵者的所有通信。

傳統防火墻已經(jīng)無(wú)法滿(mǎn)足新的安全需求

道高一尺，魔高一丈

但是隨著(zhù)安全形勢的變化，傳統的安全防護正在失效，如今最流行的安全產(chǎn)品是狀態(tài)檢測防火墻、入侵檢測系統和基于主機的防病毒軟件。但是它們面對新一代安全威脅的作用越來(lái)越小。狀態(tài)檢測防火墻是通過(guò)跟蹤會(huì )話(huà)的發(fā)起和狀態(tài)來(lái)工作的。狀態(tài)檢測防火墻通過(guò)檢查數據包頭，分析和監視網(wǎng)絡(luò )層(L3)和協(xié)議層(L4)，基于一套用戶(hù)自定義的防火墻策略來(lái)允許、拒絕或轉發(fā)網(wǎng)絡(luò )流量。傳統防火墻的問(wèn)題在于黑客已經(jīng)研究出大量的方法來(lái)繞過(guò)防火墻策略。

網(wǎng)絡(luò )防火墻在安全防護中起到重要作用，但是也應該看到它的不足之處。如今，知識淵博的黑客，均能利用網(wǎng)絡(luò )防火墻開(kāi)放的端口，巧妙躲過(guò)網(wǎng)絡(luò )防火墻的監測，直接針對目標應用程序。他們想出復雜的攻擊方法，能夠繞過(guò)傳統網(wǎng)絡(luò )防火墻。傳統的網(wǎng)絡(luò )防火墻，存在著(zhù)以下不足之處：1、無(wú)法檢測加密的Web流量;2、普通應用程序加密后，也能輕易躲過(guò)防火墻的檢測;3、對于Web應用程序，防范能力不足;4、應用防護特性，只適用于簡(jiǎn)單情況;5、無(wú)法擴展帶深度檢測功能。

應用層受到攻擊的概率越來(lái)越大，而傳統網(wǎng)絡(luò )防火墻在這方面有存在著(zhù)不足之處。對此，少數防火墻供應商也開(kāi)始意識到應用層的威脅，在防火墻產(chǎn)品上增加了一些彈性概念的特征，試圖防范這些威脅。傳統的網(wǎng)絡(luò )防火墻對于應用安全的防范上效果不佳。

邪不壓正

黑客很?chē)虖?，但安全?zhuān)家也不是用來(lái)做擺設的，面對網(wǎng)絡(luò )的高速發(fā)展、應用的不斷增多，防火墻的概念也被重新演義，下一代防火墻(Next-Generation Firewall，以下簡(jiǎn)稱(chēng)NGFW)應運而生。如同這個(gè)速食社會(huì )任何新出現的名詞一樣，雖然NGFW的概念已經(jīng)熱火朝天，但卻很難確定一個(gè)統一的標準，而業(yè)內普遍認同的關(guān)于NGFW的定義，則來(lái)自Gartner于2009年發(fā)布的一份名為《Defining the Next-Generation Firewall》的文檔。

在文中，Gartner將網(wǎng)絡(luò )防火墻定義為在不同信任級別的網(wǎng)絡(luò )之間實(shí)時(shí)執行網(wǎng)絡(luò )安全政策的聯(lián)機控制。Gartner使用“下一代防火墻”這個(gè)術(shù)語(yǔ)來(lái)說(shuō)明防火墻在應對業(yè)務(wù)流程使用IT的方式和威脅試圖入侵業(yè)務(wù)系統的方式發(fā)生變化時(shí)應采取的必要的演進(jìn)。

那么，如何界定是否屬于下一代防火墻呢?它應該具備下列最低屬性：支持在線(xiàn)BITW(線(xiàn)纜中的塊)配置，同時(shí)不會(huì )干擾網(wǎng)絡(luò )運行;可作為網(wǎng)絡(luò )流量檢測與網(wǎng)絡(luò )安全策略執行的平臺，并具有下列最低特性：

1)標準的第一代防火墻功能;

2)集成式而非托管式網(wǎng)絡(luò )入侵防御;

3)業(yè)務(wù)識別與全?？梢曅?

4)超級智能的防火墻。

隨著(zhù)帶寬需求的增加以及成功的攻擊使企業(yè)有了更新防火墻的需求，下一代防火墻的概念也從虛無(wú)飄渺落到了具體產(chǎn)品上面，雖然在剛開(kāi)始的時(shí)候，存在著(zhù)概念先行，產(chǎn)品滯后的問(wèn)題，但經(jīng)過(guò)一段時(shí)間的發(fā)展，現在已經(jīng)有眾多廠(chǎng)商涉足這一領(lǐng)域，像SonicWALL、Check Point、Palo Alto、梭子魚(yú)與深信服科技等廠(chǎng)商都先后發(fā)布了各自的NGFW產(chǎn)品，據估計，到2014年底下一個(gè)防火墻更新周期，60%新購買(mǎi)的防火墻將是NGFW。