　　防火墙产品从上世纪九十年代至今，虽然历经系统架构和软件形态的多次革新，但在技术发展和用户、带宽不断增长的今天，却愈发难以满足多方面的挑战。尤其是在当前最热门的数据中心和云计算环境下，以太网标准由万兆开始向40G/100G迈进，我国各类数据中心和机房总量已经达到50余万个。业务低延迟、高可靠保证和智能化安全管理，都对网关安全产品的性能和功能提出了新的要求。

　　今年以来，锐捷网络、梭子鱼、深信服陆续在国内发布下一代防火墙(Next Generation Firewall，以下简称NGFW)产品，加上已经在市场上耕耘的SonicWALL、juniper、Check Point等厂商，这个在2009年Gartner定义的来形容防火墙进化发展的产品似乎迎来了春天......详细>>

下一代防火墙PK UTM，是代替还是并存？

取代UTM？下一代防火墙势不可挡

NGFW的使命，就是在性能、安全性、易用性、可管理性等方面有一个质的飞跃，满足用户新的防御和管理需求。UTM则是一个集大成的产品，能够很好的融合各种安全技术。但是，一个缺乏统一指挥、统一资源调配的庞大团队，产生的效率低下问题是无法避免的。

UTM与下一代防火墙区别并不大

现在的UTM，其功能不仅包括NGFW的功能，还包括反病毒、反垃圾邮件、内容过滤、防数据泄露等多个功能，经过几年时间的发展，UTM性能提升很多倍，应用在大型行业用户中不成问题。其实NGFW主要功能是“防火墙+IPS+应用控制”，其特性是在性能上大幅度提升，所有新推NGFW的厂商，其比拼都体现在防火墙的速度上。

NGFW的功能优势

更精细的应用层安全控制

　　应用已成为网络的主要载体，而网络安全的威胁更多的来源于应用层，这使得用户对于网络访问控制提出更高的要求。如何阻断有安全隐患的应用、保证合法应用正常使用、防止端口盗用等问题，已成为用户关注的焦点。NGA可以根据应用的行为和特征实现对应用的识别和控制，而不仅仅依赖于端口或协议，摆脱了传统设备只能通过IP地址来控制的尴尬，即使加密过的数据流也能应付自如。

更全面的内容级安全防护

　　NGAF融合了漏洞防护、web安全防护、病毒防护等多种安全技术，具备2000+条漏洞特征库、数十万条病毒、木马等恶意内容特征库、1000+Web应用威胁特征库，可以全面识别各种应用层和内容级别的各种安全威胁。通过灰度威胁关联分析技术将数据包还原的内容进行全面的威胁检测，并可以针对黑客入侵过程中使用的不同攻击方法进行关联分析，从而精确定位出一个黑客的攻击行为，有效阻断威胁风险的发生。

更完整的安全防护方案

　　只提供基于应用层安全防护功能的方案，并不是一个完整的安全方案。用户还需要采购基础网络层的安全设备，既增加了成本，也增加了组网复杂度、提升了运维难度。NGAF涵盖传统防火墙、IPS的主要功能，内部能够实现内核级联动，有效地防范了各种防护设备之间缺乏智能的联动的情况。

UTM的功能优势

整合所带来的成本降低

　　将多种安全功能整合在同一产品当中能够让这些功能组成统一的整体发挥作用，相比于单个功能的累加功效更强，颇有一加一大于二的意味。现在很多组织特别是中小企业用户受到成本限制而无法获得令人满意的安全解决方案，UTM产品有望解决这一困境。包含多个功能的UTM安全设备价格较之单独购买这些功能为低，这使得用户可以用较低的成本获得相比以往更加全面的安全防御设施。

降低信息安全工作强度

　　由于UTM安全产品可以一次性的获得以往多种产品的功能，并且只要插接在网络上就可以完成基本的安全防御功能，所以无论在部署过程中可以大大降低强度。另外，UTM安全产品的各个功能模块遵循同样的管理接口，并具有内建的联动能力，所以在使用上也远较传统的安全产品简单。同等安全需求条件下，UTM安全设备的数量要低于传统安全设备，无论是厂商还是网络管理员都可以减少服务和维护工作量。

降低技术复杂度

　　由于UTM安全设备中装入了很多的功能模块，所以为提高易用性进行了很多考虑。另外，这些功能的协同运作无形中降低了掌握和管理各种安全功能的难度以及用户误操作的可能。对于没有专业信息安全人员及技术力量相对薄弱的组织来说，使用UTM产品可以提高这些组织应用信息安全设施的质量。