如何选择下一代防火墙 五大注意事项供参考

随着Web 2.0的广泛应用和Web化应用的爆发式增长，如今近三分之二的流量都是HTTP和HTTPS流量。Web 2.0应用的主要好处包括可增强协作能力，提高生产效率，以及更深入地了解客户和潜在客户的需求。尽管新应用带来了诸多好处，但也带来了新的安全威胁，并导致网络带宽消耗大幅增长。

过去，IT管理员只能过滤少量端口的内容，然后阻止其它端口的所有流量，从而避免所有可能的攻击载体入侵网络，这种时代已经过去。如今，IT和威胁格局日益复杂，因而企业需要更精准的IT控制能力。

对传统防火墙而言，Web应用看起来都差不多，都像是正常的HTTP和HTTPS流量，但IT管理员不会上当。对某个用户至关重要的生产力工具也许对另一名用户来说却存在威胁，且浪费时间。然而，传统的网络安全解决方案并不具备这种精准控制能力，也无法对所有流量进行仔细审查，对流量好坏进行分辨。最后导致企业应用极度混乱。

有效控制应用混乱对于保护网络远离Web 2.0威胁以及保留带宽至关重要。但如何分辨流量的好坏呢？如何能正确识别、分类和控制应用及网络带宽呢？

下一代防火墙简介

市场研究公司Gartner认为，下一代防火墙(NGFW)是一种集成式线速网络平台，可执行深度流量检测，阻止攻击。NGFW包含第一代防火墙的所有标准功能，即常见的网络功能，如网络地址转换(NAT)、包过滤和全状态包检测功能。

NGFW的主要特点是应用感知以及网络堆栈的完全可视化。NGFW不会像传统防火墙一样只依靠端口或协议来阻止流量，而是会根据深度包检测引擎识别到的流量在应用层执行网络安全策略。流量控制不再是单纯地阻止或允许特定应用，而是可用来管理带宽或优先排序应用层流量。深度流量检测让IT部门可针对单个应用组件执行细粒度策略。例如，可允许用户使用即时通讯客户端，但禁止文件共享。

NGFW还集成了网络入侵防御功能，这可不是在传统防火墙架构上简单添加入侵防御子系统这么简单。NGFW集成的入侵防御功能是安全引擎的核心组件，无需经多个独立的安全层传输同样的流量，从而提高了性能，增强了安全性。

动态应对变化多端的威胁是NGFW的另一大重要特点。设备的签名库将不断更新，用于识别新的威胁，更从容地应对不断升级的恶意软件。

选择NGFW的五大注意事项

Gartner研究公司建议企业在更换防火墙和/或入侵防御技术时，要求供应商提供NGFW解决方案。但是，当企业评估NGFW时，一些网络安全技术提供商会宣称其产品同样具备NGFW的功能。那么，真正的企业级NGFW应具备哪些功能呢？

第一，性能

Gartner表示，NGFW可在不影响网络运行的情况下在网络中进行嵌入式配置。换句话说，NGFW只会带来极低的网络延迟。而IPS与其它功能的紧密集成是实现这一点的关键。单通道引擎实现了无缝的策略部署和策略执行，而且不会给网络带来任何延迟或大幅降低性能。这一点非常重要，因为启用NGFW服务不应该导致网络运行中断。

第二，强大的扫描功能

与第一代防火墙相同，NGFW也集成了全状态检测功能。但NGFW与上一代产品的主要不同之处在于它支持深度包检测(DPI)功能。许多NGFW提供商都在大肆宣传DPI功能，但对这些产品的测试发现，DPI功能会大幅降低网络的安全防御能力。许多NGFW必须代理文件，才能在网关扫描文件并阻止恶意软件，这会给网络性能造成严重负面影响。为了避免出现网络中断，一些提供商选择直接允许数据包进入网络，而不对其进行扫描。

评估NGFW时，请选择具备以下功能的NGFW：

● 可扫描各种大小的文件，查找其中的病毒、恶意软件、僵尸网络和其它威胁

● 可解密、扫描和重新加密SSL数据包

● 可扫描穿越所有端口的原始TCP流量以及大量协议

第三，易管理性

随着企业开始重视多个站点的安全性，可扩展的、经验证的分布式管理解决方案对于实现安全性和提高投资回报率至关重要。