网御星云：下一代防火墙“九宫八阵图”阵法

九宫八阵图之天覆阵——防火墙

天覆阵：天阵十六，外方内圆，四为风扬，其形象天，为阵之主，为兵之先。善用三军，其形不偏。

天覆阵是一种防御阵型，同时能降低敌方命中几率和攻击速度，通过增加防御力和抗攻击力以提升整个阵型的防御能力。

防火墙是一种防御边界安全的网关设备，能进行智能状态检测，保护内网不受侵入，同时免受网络黑客、DDos等攻击，是网络防护的第一道屏障，也是所有安全设备包括VPN、IPS、AV、IDS、UTM等阵容之主力。

下一代智能感控防火墙

一、信息2.0时代防火墙面临的威胁

在当今越来越庞大的信息产业中，信息安全迟迟跟不上时代的步伐，与历近数年来发展势头突飞猛进的云计算、新型网络、海量存储等新型技术相比，安全行业的处境则是相当尴尬，而安全产业在不断地发展和投入进入信息2.0时代之后，面对的却是越来越多、越来越麻烦的安全新问题，面对未来防火墙的走向，无论是企业还是最终用户，都不可避免的寄希望于一种对新型防火墙技术需求的向往。正是由于不断扩容的网络设施、快速发展的业务流程、实时变化的部署技术以及隐蔽危险的攻击，正推动对网络安全性的新需求，那么用户所面临的真实威胁到底是什么？

1.1、混合应用的威胁

不断增长的带宽需求和新应用架构，正在改变协议的使用方式和数据的传输方式。基于应用层协议如P2P/IM/网游/炒股等软件已经充斥着整个网络，安全威胁将焦点集中在诱使用户安装可逃避安全设备及软件检测的有针对性应用执行程序上；在这种环境中，传统防火墙简单通过五元组强制要求在标准端口上使用合适的协议和阻止对未打补丁的服务器的探测，不再有足够的价值。

1.2、云计算环境的威胁

以云计算为代表的现代信息体系正变得日益庞大和复杂，对于这类复杂多变的体系，使得云时代的安全防护重心，从用户对防火墙简单的对性能或功能的片面追求，逐步向基于网络之云的智慧感知与灵活应对转移。

1.3、恶意网站威胁

在这个信息爆炸时代，随着网页数量的激增，由于一刀切的关键字分类技术和本地分类数据库的限制，无法实现更高、更准确的覆盖率和更广泛的URL分类控制，间谍软件站点和那些存在恶意代码的站点已经成为网络中不可忽视的威胁之一，当今Web2.0时代急切需要一种有效实用且积极主动的收集分类处理技术。

1.4、IPv4地址耗尽威胁

由于我国IPv4地址资源严重不足，除了采用CIDR、VLSM和DHCP技术缓解地址紧张问题，更多的是采用私有IP地址结合网络地址转换(NAT/PAT)技术来解决这个问题，通过NAT技术接入互联网，这不仅大大降低了网络传输的速度，且安全性等方面也难以得到保障，这样使得IPv4网络面临各种威胁，安全性支持不够、缺少服务质量保证所带来的挑战前所未有。

1.5、高流量导致的性能威胁

伴随着IT世界进入到另外一个崭新的平台--客户端/服务器到按需云服务的转变--众多企业用户纷纷在思索如何调整或者升级他们的系统以满足互联网时代的处理需求。大量的数据负载也逐渐过渡到越来越多的中小型企业用户业务中来，使得防火墙的转发性能和延迟有了更高要求。

1.6、黑客攻击威胁

普通防火墙大多安装在一般的操作系统上，如Linux、Unix等系统。在防火墙主机上执行的除了防火墙软件外，所有的程序、系统核心，也大多来自于操作系统本身的原有程序。当防火墙主机上所执行的软件出现安全漏洞时，防火墙本身也将受到威胁。此时，任何的防火墙控制机制都可能失效，因为当一个黑客取得了防火墙上的控制权以后，黑客几乎可为所欲为地修改防火墙上的访问规则，进而侵入更多的系统。因此防火墙自身应有相当高的安全保护。