USG6000系列 V1R1C10 智能策略介绍.ppt

2009年，以PaloAlto推出第一款NGFW产品为标志，我们正式进入了下一代防火墙时代。 下一代墙的基石之一是应用感知，各NGFW厂商的应用感知能力数据。 下一代墙思路：应用识别+基于应用管控 对比：伴随着管控的精细化，NGFW的安全策略数量更为庞大。 防火墙的两大用途：1.访问控制（即谁能在什么时间和地点做什么），2.访问安全（授权的访问不应导致安全问题：病毒、攻击、泄露） 下一代墙的基础是应用感知。应用数量庞大，且处于不断增长，导致配置安全策略难度增大。 大中型企业的防火墙的安全策略数量庞大，且存在大量冗余，冗余策略不仅消耗了宝贵的策略资源，而且降低了防火墙的性能。 安全策略引用的内容安全profile并非多多益善，其滥配会导致防火墙性能大大降低，如到处引用AV扫描profile会导致性能大幅下降。 粗粒度考虑，安全策略分成两部分：匹配条件和匹配动作，对于匹配动作为“允许”的安全策略，还可以选择是否做内容安全检测。 安全策略：NGFW支持的应用种类多达6000+种，超出了常人能掌握的范畴，管理员往往只能配置自己了解的应用。 智能策略：仅仅是安全策略配置的辅助工具，使得安全策略配置更安全、简单，过滤性能更高效。 前提或假设：1. 手工配置的不完备性（智者千虑、必有一失，成百上千种策略中必然会导致大量冗余的产生） 2. 常人认知能力的瓶颈，6000+种应用超出常人的能力范围。