抓住流量的“DNA”——下一代防火墙与应用识别技术分析

来源：TechTarget中国

2013/10/30 12:01:37

应用识别技术之所以是下一代防火墙产品的核心要素，完全是由当前的安全需求所决定的，一款具备优秀应用识别能力的下一代防火墙，将会从新的高度为用户构造出更加安全的网络边界。

图2 网络安全的新“三元组”

定位流量的发送者要求将流量打上用户的标签，以往主要的手段是基于ID对用户进行标识，在访问网络前强制用户登录来实现认证。尽管用户的ID和口令信息已经实现了与第三方认证服务器同步和联动，大幅降低了管理的成本，但在用户端，登录认证的过程大幅降低用户体验的问题一直困扰着那些既渴望安全又追求高效的用户。

根据来自一线的实施经验，60%部署了用户认证策略的网络，在半年内即由于体验和效率的原因取消了原先的设置，重新改为传统基于IP地址的访问控制，由此可以看出，如果平衡不好安全与效率的问题，业界广泛倡导的基于用户、角色的细粒度访问控制则很难在实际工作中落地。而用户识别技术不同于传统用户认证联动之处在于，其具备自动识别流量中用户信息的能力，可根据数据包中的ARP信息、应用登录信息等对用户进行透明认证，在不用户不进行登录认证的情况下，就能够将流量准确的对应到人。

相比用户识别，要想识别出流量的内容，其技术实现的难度则更大，由于很多应用软件都有其特定的编码规则，并且相当一部分应用使用了加密的手段来传输信息，因此流量内容识别必须要建立在对应用有着深入理解的基础之上，并且对于一些特殊协议的编码、加密方式有着充分的掌握。

误区二：应用识别只是比拼数字

应用识别技术其实并非下一代防火墙提出的专利，早先几年就被业界定义，不少厂商也正在加大在此方面的研发投入，并且其产品也已经具备了一定的应用识别能力。但若一定要在应用识别能力上凭出个优与劣，则需关注几个重要标准。

责编：王雅京