前言：下一代防火墻方興未艾
隨著下一代防火墻概念的提出，目前很多國內外的安全廠商競相推出自己的下一代防火墻產品。為了解國內下一代防火墻產品發展的最新動向，《網絡世界》評測實驗室分別向梭子魚、Check Point、思科、Dell SonicWALL、Fortinet、華為、H3C、杭州迪普、Juniper、綠盟、PaloAlto、啟明星辰、深信服、山石網科、天融信、網康、網神(廠商按字母排序，不分先后)等十幾家國內外網絡安全廠商發出了下一代防火墻產品公開對比評測的邀請。然而反回的結果確由衷的令人感到失望。國外廠商中除梭子魚外，均無法在國內提供相關的測試產品，國內有的安全廠商雖然在大力進行產品宣傳，但實際產品還未真正成熟。最終僅有梭子魚、網康、網神三家產品送測，并且在合作伙伴的協助下，對PaloAlto下一代防火墻功能進行了深入了解。由此可見，下一代防火墻這種全新的網絡應用防護技術在國內的大部分廠商中廣泛應用依然尚待時日。因此我們轉變了公開對比評測的角度，對這幾家廠商的下一代防火墻產品進行了深入的技術分析。
那么下一代防火墻與新一代的多功能安全網關有什么區別?隨著評測的惑生、惑析、惑明、惑媚逐漸的，我們對下一代防火墻有了更深入的了解，同時在惑評中對如何評估網關應用安全產品進行了一次深入分析。總體上講，下一代防火墻雖然方興未艾，但依然不能否定其技術的先進性。尤其是在其對網絡應用及應用威脅的深度解析處理上，有著很廣泛的發展前景。因此我們期望，經過一段時間的發展之后，下一代防火墻技術可以真正的蓬勃發展，為網絡用戶提供更加全面的網絡安全服務。
惑生——下一代防火墻
自從Gartner推出下一個防火墻定義之后，各大安全廠商積極響應，均在極力的宣傳自身的下一代防火墻產品。那么下一代防火墻具備了什么神奇的功能，可以今眾多網絡安全廠商競相追捧呢?在對下一代防火墻產品進行深入了解之前，作者心中始終存有疑問：什么是下一代防火墻?什么樣的產品才可能稱得上是下一代的防火墻產品?
近年來，在作者對網關安全產品的間接接觸與實際了解中發現：無論是防火墻、IPS還是功能集成度更高的UTM產品，在功能設計時，或多或少都加入一些應用層管理控制功能，并且隨著網絡安全設備應用層處理能力的飛速提升，不同安全功能模塊同時開啟后對網絡應用性能的影響也在急速減少，很多UTM產品在開啟所有安全功能后，也并未對其網絡處理性能產生過高的影響。至于應用識別的可視性，在許多上網行為管理以及流量管理產品中這已經是比較成熟的功能了，在網關安全產品中加入此類管理功能的安全產品目前也十分常見。難道說所謂下一代防火墻就是一個集成度更高的UTM嗎?!
基于上面安全產品的分析，不由始人產生一種疑惑，下一代防火墻的先進性究竟在哪里?難道說“下一代”僅是Gartner的一種市場宣傳手段嗎?為此《網絡世界》評測實驗室展開了本次下一代防火墻技術公開對比評測活動。希望可以通過對不同廠商下一代防火墻產品的技術分析，更深入的了解下一代防火墻到底可以為用戶帶來什么樣的新安全體驗。
惑起——網絡安全
為了對下一代防火墻產品有一個正確的評估，我們首先需要將下一代防火墻產品在網絡安全中進行一個準確定位。從而進一步分析下一代防火墻產品可以解決用戶哪些方面的網絡安全問題。然而在進行這方面的工作時，卻讓我們產生出了更多的困惑，主要體現在以下三個方面：
惑一：網絡安全定義與產品功能的迷茫
首先，我們試著從網絡安全定義的角度去對下一代防火墻的功能特點進行分析。但在分析過程中卻發現網絡安全定義的概念與下一代防火墻所定義的功能特點很難進行匹配。
從網絡安全的定義中我們了解到：網絡安全是指網絡系統的硬件、軟件及其系統中的數據受到保護，不因偶然的或者惡意的原因而遭受到破壞、更改、泄露，系統連續可靠正常地運行，網絡服務不中斷。網絡安全本質上來講是網絡上的信息安全。從廣義來說，凡是涉及到網絡上信息的保密性、完整性、可用性、真實性和可控性的相關技術和理論都是網絡安全的研究領域。
然而在目前已知的下一代防火墻功能定義中，僅把下一代防火墻定義成具備第一代防火墻功能、具有集成式網絡入侵防御能力、業務識別的應用可視性以及智能聯動功能。
我們試著將網絡安全的定義與下一代防火墻的功能定義進行對比分析，可是發現網絡安全定義比較寬泛，很難與下一代防火墻的具體功能進行匹配分析。
可是，沒有一個準確的定義，我們應當如何將下一代防火墻的安全防護功能進行分析?沒有理論分析的話，應用性評估就更加無從談起了。因此，對這個問題我們決定轉換一個角度，從網絡安全的應用需求來對下一代防火墻產品進行分析。
惑二：網絡安全的應用需求
《網絡世界》評測實驗室在對廠商網絡安全產品測試過程中，積累了大批網絡安全產品的測試經驗，同時，也對網絡安全產品的應用需求有了較深入的了解。通過對這些網絡安全應用需求的分析，我們可以了解，當前網絡安全產品主要應用于兩個不同的領域：
一個是目前常見的網關安全領域，大多數應用在中小企業的網關進行部署，主要用于企業內部數據的加密傳輸(VPN)、企業內部對外的網絡安全訪問、還有一部分網絡流量管理的應用需求目前也開始集成到網關安全設備之中。
另一個是網絡的干路及核心的網絡安全，大多部署在大型企業數據中心、電信機房主要完成一些網絡內部端口管理、攻擊消減等任務，但由于部署位置關鍵、所需處理網絡流量大，因此需要產品具有很高的可靠性及很高的網絡處理性能。
目前在這兩種不同的網絡安全部署應用中，均對網絡安全應用處理能力產生了基于深度網絡應用連接分析的新需求，而下一代防火墻產品是否具備足夠的功能去應對這兩方面的應用?為此我們心中依然充滿疑慮。為此，我們進一步對當前網絡安全產品的應用現狀進行了分析。
惑三：網絡安全產品應用現狀
目前網絡安全產品應用中，兩極分化十分嚴重。有些企業用戶開始一層一層的疊加網絡安全設備，然而過多的網絡設備疊加不但使得網絡管理變得復雜，還為網絡的可靠運行增加了隱患。有些企業被迫開始了不采用網絡安全設備的“裸奔”，甘愿忍受網絡威脅前來肆虐!
究其原因，是因為當前的網絡安全產品，尤其是防火墻類網絡安全產品在網絡應用安全防護方面的不足所造成的。傳統防火墻的針對網絡端口及簡單的應用分析過濾功能已無力對日益泛濫的網絡應用威脅進行防護。在目前抵御日益泛濫的網絡應用層威脅的時候，通常只能通過被動更新安全補丁或增加新的網絡應用安全防護設備這兩種手段來進行。因此傳統防火墻在目前的網絡安全產品中已經退化到了一種可有可無的尷尬境地。
因此，注重網絡安全的用戶開始被迫一層層的進行網絡安全設備疊加，為網絡安全的防護增加了不菲的資金投入。而另一些網絡用戶認為在網絡安全方面沒必要有如此高的投入，甚至有極端的用戶居然連防火墻也不采購開始了赤裸裸的裸奔生涯。
京公網安備 11010502049343號