浅议下一代防火墙及其应用.docxVIP

浅议下一代防火墙及其应用 【摘要】随着信息安全技术的不断发展，全球最具权威 的IT研究与咨询公司Gartner认为传统防火墙必须要升级 为“下一代防火墙”。本文首先介绍了下一代防火墙的定义 和特点，并将其与传统防火墙和UTM进行了比较，还提出了 下一代防火墙的几种应用场景。 【关键词】NGFW； UTM；应用识别 1引言 防火墙是一类防范措施的总称，它监控可信任网络（相 当于内部网络）和不可信任网络（相当于外部网络）之间的 访问通道，以防止外部网络的危险蔓延到内部网络上。防火 墙简单的可以只用路由器实现，复杂的可以用主机甚至一个 子网来实现。 Gartner的报告显示，从2005年开始，全球防火墙市场 已开始呈逐年递减趋势。市场的增长源自用户的需求，而衰 落，正恰好说明用户的需求在发生改变。防火墙产品从上世 纪90年代至今，虽然历经系统架构和软件形态的多次革新, 但在技术发展和用户、带宽不断增长的今天，却愈发难以满 足多方面的挑战。尤其是在当前最热门的数据中心和云计算 环境下，以太网标准由万兆开始向40G/100G迈进，我国各 类数据中心和机房总量已接近60万个。业务低延迟、高可 靠保证和智能化安全管理，都对网关安全产品的性能和功能 提出了新的要求，因而催生出革命性的防火墙产品一一下一 代防火墙（Next Generation Firewall,以下简称 NGFW）o NGFW的定义及特点 2009 年，Gartner 首次在《Defining the Next- Generation Firewall》一文中定义了 NGFW这个术语，用 来形容应对攻击行为、业务流程和使用IT方式不断变化的 防火墙产品发展所要经历的必然阶段。Gartner认为，NGFW 是一种能够真正满足用户当前需求的集成式线速网络平台， 可执行深度流量检测，阻止攻击。 下一代防火墙具有的最低属性。 1） 支持联机“bump-in-the-wire配置，同时不会 干扰网络运行。 2） 发挥网络传输流检查和网络安全政策执行平台的 作用具有的特性。 *标准的第一代防火墙功能：具有数据包过滤、网络 地址转换（NAT）、协议状态检查以及VPN功能等。 *集成的而非仅仅共处一个位置的网络入侵检测：支 持面向安全漏洞的特征码和面向威胁的特征码。IPS与防火 墙的互动效果应当大于这两部分效果的总和。例如提供防火 墙规则来阻止某个地址不断向IPS加载恶意传输流。这个例 子说明，在NGFW中，应该由防火墙建立关联，而不是操作 人员去跨控制台部署解决方案。集成具有髙质量的IPS引擎 和特征码，是NGFW的一个主要特征。 *应用识别与全栈可视性：识别应用和在应用层上执 行独立于端口和协议，而不是根据纯端口、纯协议和纯服务 的网络安全政策。 *超级智能的防火墙：防火墙收集外来信息来做出更 好的阻止决定或建立优化的阻止规则库。 支持新信息流与新技术的集成路径升级，以应对 未来出现的各种威胁。 NGFW与传统防火墙和UTM的区别 传统防火墙只能提供一般意义上的数据包转发和拦截 功能，以及一些简单的包检测机制，重点的防护还仅仅是停 留在OSI模型的四层以内。如果用包裹来做比喻，也就是只 检查了纸箱而没有检查里面的物品，因此对应用层的攻击无 能为力。 UTM和传统防火墙相比，确实增加了很多过滤功能，包 括应用层的识别和过滤。但是UTM是将防火墙、IPS、AV等 功能简单地叠加在了一起，采用串行扫描方式，这种做法会 使数据流在每个安全引擎分别执行解码、状态复原等操作， 导致大量的资源消耗。尤其在激活了多种扫描过滤功能之 后，整体的性能会使企业的网络受到极大的影响。 NGFW之所以能够达到比UTM更高的性能和实现更多的功 能，是因为其产品架构之间的根本区别。NGFW产品自设计之 初，就采用了一体化的引擎。它会一次性地对数据流完成识 别、扫描，因而可以达到更髙的性能。此外，由于NGFW支 持虚拟化，使其拥有更为灵活的架构与扩充性。 NGFW的应用场景(见右表) 5结束语 今天的网络安全市场已经发生了巨大变化，越来越多的 厂商也开始加入到下一代防火墙的队伍中来。Gartner预计 到2014年底，用户采购防火墙的比例将增加到占安装量的 35%, 60%新购买的防火墙将是NGFWo而对于用户端，越来越 复杂的应用需求和迫切希望整合管理变得更加普遍，“下一 代防火墙”早晚会变成未来人眼中的“这一代防火墙”。 参考文献 王梦龙，毕雨，沈健?网络信息安全原理与技术. 北京：中国铁道出版社，2009年. 吕颖轩.构筑新一代网络安全屏障[J].电信网技 术，2011 (03). [3] 采劲松，蕾奥.防御在入侵那一刻[J].中国计算机 用户， 2005 (48)? [4] 段红.SSG：延展UTM理念[J]