企业级防火墙应做到的十件事.docVIP

企业级防火墙应做到的十件事 　　在企业的IT系统中,传统的防火墙重在抵御简单的威胁和入侵攻击。企业级防火墙增加了统一威胁管理(UTM)服务,如防病毒、防间谍软件、入侵防御、内容过滤,甚至一些防垃圾邮件服务,以增强威胁防御功能。穿越防火墙的大多数流量都不具威胁性,而是些应用和数据。而这就是应用防火墙的原因,应用防火墙可管理和控制穿越防火墙的数据和应用。应用防火墙提供了带宽管理和控制、应用层访问控制、数据泄露控制功能、对特定文件和文档传输进行限制及其它功能。 　　应用防火墙可根据用户、应用、进程或IP子网层允许自定义访问控制。这样,管理员可以创建各种应用策略,使应用可供访问并首次真正实现对应用的管理。应用防火墙可以帮助企业做十件事。 　　 　　第一件事:管理流视频 　　 　　访问流视频网站如有时对我们非常有用,但通常会被滥用。拦截网站本身可能有效,但最好是限制分配给流视频网站的带宽。 　　创建策略来限制流视频: 　　使用深度包检测(DPI)引擎在HTTP报头中搜索HTTP网址=; 　　将带宽限制应用于带此报头的流量。 　　 　　第二件事:分组带宽管理 　　 　　在第一件事中,我们对等流视频网站运用了带宽限制。如今,公司首席执行官和首席财务官总在抱怨每天访问的“商业新闻视频”速度太慢。您可以通过放松对每个人的带宽限制来改善这种情况,但还有一个更好的方法,那就是进行分组带宽管理。 　　创建不限制管理层浏览流视频的策略: 　　将此策略应用于LDAP服务器导入的“管理”组; 　　使用深度包检测(DPI)引擎在HTTP报头中搜索HTTP网址=; 　　确保包含此报头的流量具有足够的带宽。 　　 　　第三件事:邮件和数据丢失 　　 　　假设公司现有的防垃圾邮件防护系统可以检测和阻止包含“公司机密”信息的外发电子邮件。但是,如果员工使用Yahoo或Gmail邮件服务来发送“公司机密”信息呢? 　　创建策略来拦截“公司机密”电子邮件: 　　使用深度包检测(DPI)引擎搜索电子邮件内容=“公司机密”; 　　阻止邮件发送,并通知发件人此邮件为“公司机密”。 　　 　　第四件事:应用使用强制 　　 　　您的老板希望使用Internet Explore(IE)7.0版本作为标准浏览器,那么您的任务是确保公司所有系统都使用IE7.0版本,而不使用其它任何版本! 　　您可能采用的解决方案如下: 　　1.每天检查每个人的系统,查找“外来”浏览器。 　　2.安装一种脚本来检查每个人的系统,以查找出“外来”浏览器,同时确保脚本每天都会检查每个人的系统。 　　3.在应用防火墙中设置一种策略,从此便不再担心。 　　创建“我找到了更好的解决方案”策略: 　　使用深度包检测(DPI)引擎在HTTP报头中搜索用户代理=MSIE7.0; 　　允许IE7.0流量,阻止其它浏览器。 　　 　　第五件事:拒绝FTP上传 　　 　　您可以建立一个FTP网站,以便与业务合作伙伴交换大型文件,同时,您希望确保合作伙伴方面只有项目经理可以上传文件,其他任何人都不允许这样做。 　　创建策略来允许FTP上传,但上传只限于少数人,方法如下: 　　使用深度包检测(DPI)引擎搜索FTP命令=放置; 　　使用DPI引擎搜索验证的用户名=“pm_partner”; 　　如果两者均符合,就允许放置。 　　 　　第六件事:控制P2P应用 　　 　　问题1:对等网(P2P)应用如BitTorrent可盗用宽带,同时会带来各种各样的恶意文件;问题2:创建新的P2P应用或简单修改现有的P2P应用(如修改版本号)是常有的事。 　　创建策略来检测P2P应用,使用深度包检测(DPI)引擎搜索IPS签名表中的P2P应用签名。 　　 　　第七件事:管理流音乐 　　 　　流音频网站和流广播网站占用了非常宝贵的带宽,但是,公司又不得不访问这类网站。目前,只有两种办法可以应对这一挑战。 　　1.通过网站进行控制。 　　创建一份您希望管理的流音频网站名单; 　　创建策略来检测流音频网站; 　　使用深度包检测(DPI)引擎在HTTP报头中搜索HTTP网址=流音频网站拦截列表。 　　2.通过文件扩展名进行控制。 　　创建一份您希望管理的音频文件扩展名列表; 　　创建策略来检测流音频内容; 　　使用深度包检测(DPI)引擎在HTTP报头中搜索文件扩展名=流音频扩展名拦截列表。 　　 　　第八件事:对应用带宽进行优先排序 　　 　　如今,许多关键业务应用如SAP、S和SharePoint都是基于云计算的应用,或者,它们的运行需要跨越不同地理位置的网络。确保这些应用可以优先获得运行所需的带宽,从而改善业务效率。