1.1将CiscoASA5500作为一种卓越的防火墙解决方案.docVIP

将Cisco ASA 5500作为一种卓越的防火墙解决方案 Cisco ASA 5500 系列自适应安全设备提供领先的防火墙功能，并能够通过扩展支持其它安全服务。 在所有机构的网络安全基础设施中，防火墙都提供第一道防线。它采用的具体作法是，将公司制定的用户网络访问权限策略与每次访问操作的连接信息进行比较。如果用户策略与连接信息不匹配，防火墙就不允许建立连接。如果相互匹配，则防火墙允许流量流经网络。 通过这种方式，防火墙形成了各机构网络安全基础设施的基本模块。由于防火墙能够提供卓越的性能，延长关键业务运作的网络正常运行时间，因而物超所值。但是，随着公司网络上语音、视频和协作流量的快速增长，企业不但要求防火墙引擎以超高速度运行，还要求它支持应用级检查。标准的L2和L3防火墙能够防止对内部和外部网络的非法接入，如果增加了应用级检测，防火墙将能够在L7检测、识别和验证应用类型，有效阻止不需要或误操作的应用流量。利用这些功能，防火墙不但能执行端点用户注册和认证，还能有效控制多媒体应用的使用。 对速度的要求 在网络能够不断增强业务生产率、协作和通信的同时，防火墙也得到了同步的发展。例如，Cisco? ASA 5500 系列自适应安全设备就是专门为数百种应用协议的标准策略实施和应用级防火墙检测而开发的。独立的第三方测试表明，这种防火墙的性能远远超过了同类产品。另外，在全球市场调查公司Gartner 于2006年6月进行的防火墙“魔方”调查中，Cisco ASA 5500系列自适应安全设备在概念和技术上都名列榜首。 利用Cisco ASA 5500 系列的高性能应用检测功能，网络对待流量的详细策略依据不但能基于端口、状态和地址信息，还能基于深埋在帧头中的应用信息。通过对这种深包检测信息与公司策略的比较，防火墙能够允许或阻止某些流量通过。例如，如果公司策略禁止企图通过开放端口进入网络的应用流量通过网络，那么，即使这种流量在用户和连接水平上看似合法流量，也会被自动丢弃。 这种不需要的流量可能包含将会消耗大量带宽的与业务无关的对等流量。它可能会建立即时消息传送流量，但不符合公司的即时消息传送标准。另外，它还可能是公司决定从网络中滤除的其它非关键应用流量。 Cisco ASA 5500 系列自适应安全设备能够以业内领先的性能检测和过滤协议。2005年9月，位于新泽西州克林波瑞的独立测试实验室 Miercom 的测试结果表明，中端Cisco ASA 5520 通过TCP/IP连接传输HTTP（Web）流量的性能，比最接近的三家竞争对手高六倍。与此同时，Cisco ASA 5520 还能实现100%的威胁检测成功率，而其它设备只能达到30-40%的准确率。 利用这种性能和安全准确率，各企业可以利用Cisco ASA 5500 系列，快速、安全地扩展网络部署和应用，满足企业用户对响应时间的要求。 企业网络的安全组件 企业网安全架构的主要组件包括： 部署在传统公司广域网边缘周边、分支机构广域网边缘以及企业内部的战略位置，保证合法用户接入的防火墙； 从网络中滤除恶意代码的IPS； 用于加密（支持站点到站点连接的IPsec和支持移动连接的SSL）以防止数据被盗的VPN； 防止远程和移动用户连接遭受病毒侵袭，保证安装了所需软件和安全版本的端点或Anti-X安全性。 增加入侵防御 Gartner 对新一代防火墙的定义是：将防火墙过滤与入侵防御系统（IPS）结合在一起的防火墙。与防火墙相似，IPS 也能实时过滤数据包。但是，IPS 并不依据用户信息和应用策略过滤，而是扫描进入代码中的已知恶意样式，称为签名。这些签名能够证明恶意代码的存在，例如蠕虫、特洛伊木马和间谍软件。 可能会消耗服务器和网络资源，并造成针对内部员工或外部Web用户的拒绝服务（DoS）攻击。由于IPS 能够过滤已知恶意签名，因而能进一步提高防火墙功能的安全性。一旦IPS检测到恶意代码，系统就会阻止它进入网络。 根据Gartner 的调查，由于新一代防火墙能够将防火墙和IPS集成在一起，因而只需检测一次流量。相反，如果需要检测一次连接层信息并检查一次恶意代码，将显著降低系统吞吐量。 利用Cisco ASA 5500 系列，企业能够灵活地增加IPS 服务，阻止其它恶意代码的攻击。Cisco ASA 5500 系列防火墙版作为独立的防火墙设备，其中包含用于处理加密会话的VPN 集中器。要添加入侵防御，除防火墙以外，各机构还可以在系统机箱中安装自适应检测和防御安全服务模块（AIP-SSM），建立一次通过防火墙/IPS数据包检测。 Cisco ASA 5500 系列自适应安全设备不但能通过扩展支持IPS，还能支持企业需要的其它主要安全保护机制：安全套