近年來，隨著我國互聯網產業的不斷發展，信息安全技術已經成為一個備受關注的熱點。從新一屆中央政府領導成立中央網絡安全和信息化領導小組，并由國家主席習近平親自擔任組長一職，就可看出當前互聯網安全的嚴峻形勢和國家對互聯網信息安全建設的重視程度。許多用戶也開始檢視自身的安全建設，并陸續采購最近幾年較為流行的下一代防火墻進行安全防護。但由于目前的下一代防火墻市場缺乏相關的規范和管理，各家安全廠商推出的下一代防火墻功能各不相同，令消費者難以在眾多品牌中購買到適合自身需求的產品。 因此，在信息安全備受高度關注但相關安全產品市場還相對混亂的背景下，公安部順應時勢于2014年7月24日推出了《信息安全技術 第二代防火墻安全技術要求》，用于整頓安全產品市場。為此我們走訪了編寫委員會的專家，了解國內首部關于下一代防火墻的標準究竟對防火墻提出了哪些新的防護要求。

小修改大作用——解讀第二代防火墻的不同之處

據標準起草人李煥波專家透露：“GA/T1177-2014《信息安全技術 第二代防火墻安全技術要求》(以下簡稱“新標準”)主要依據安全功能強弱和安全保證要求對等級進行劃分，將安全等級分為基本級和增強級。而GB/T20281-2006 《信息安全技術 防火墻技術要求和測試評價方法》(以下簡稱“舊標準”)主要根據功能強弱、安全強度和保證要求高低將安全等級劃分為三級。”

在安全功能方面，新標準較之舊標準也存在著較大的差異。新標準保留了原有標準中關于傳統防火墻在網絡層的控制要求，如包過濾、狀態檢測、NAT、路由功能以及帶寬和會話管理等功能，并對舊的分級要求做了一定的整合。

此外，新標準增加了基于應用層控制的功能要求，主要考察被測產品在應用層面對于細分應用類型和協議的識別控制能力，以及數據包深度內容檢測方面的能力。我們都知道當前的互聯網應用豐富多樣，即時通訊軟件、社交應用、P2P流媒體、P2P下載、語音視頻軟件等層出不窮，常用知名端口也不再像以往那般承載單一的應用，如何從混雜的數據流量中將各種不同類型的應用一層一層地進行剝離識別，這是第二代防火墻區別于傳統防火墻的根本。

第二代防火墻已與國際接軌 承擔終端安全保護責任

在采訪中，通過和編寫委員會的專家們進行深入溝通，記者了解到在應用識別的基礎之上，新標準在應用層控制功能要求當中還加入了入侵防御和惡意代碼防護功能。這點和國際著名IT咨詢機構Gartner在2009年發布的下一代防火墻標準的定義是一致的，標志著我國第二代防火墻標準已與國際接軌。

李煥波在采訪中表示：入侵防御做為一類安全產品已經在市場上存在很多年了，但隨著互聯網的發展、應用的豐富和帶寬的不斷提升，傳統入侵防護產品受限于其功能的單一、應用性能處理能力的不足，將會增加用戶網絡的單點故障以及投資成本，所以該產品漸漸以模塊化的形式融合到下一代防火墻產品當中，也是順應了互聯網的發展趨勢。

我們發現，新標準增加的惡意代碼防護功能要求，強調了第二代防火墻的對由終端惡意程序所形成的僵尸網絡的檢測和防護能力。面對木馬后門、蠕蟲病毒，廣告間諜軟件等伴隨著互聯網高速發展而滋生的一大批惡意軟件，黑客往往利用終端用戶這一短板作為跳板進行可持續性的攻擊，因此防火墻作為互聯網出口建設的重要一環，需要承擔起保護終端安全的責任。

面對日趨嚴重的Web攻擊防護 第二代防火墻全面應對

互聯網的發展也代表了Web技術的發展，從Web1.0到Web2.0，從B2C再到現在流行的O2O，Web技術和我們的生活息息相關。以Web應用為突破口的安全事件層出不窮，黑客們不再僅僅是為了炫耀個人技能而進行互聯網破壞行為，更是為竊取和破壞敏感信息獲得灰色產業收益。Web應用作為互聯網時代的一個重要交互窗口，自然也容易成為眾矢之的。

記者在采訪中驚喜地發現，此次發布的新標準對Web攻擊防護、信息泄漏防護方面的內容做出了功能要求。我們知道，在OWASP所發布的互聯網安全威脅TOP10當中，首當其沖的就是以SQL注入和XSS攻擊為代表的來自Web應用層的攻擊和敏感信息泄漏威脅。雖然目前的市場上存在著Web應用防火墻產品，但我們認為安全防護應該是整體的、至下而上的，能夠從L2鏈路層覆蓋到L7應用層，而不是割裂式的安全設備疊加，疊加部署將使設備在攻擊檢測的一致性和聯動性方面大打折扣。

經過編寫委員會專家們的共同努力，GA/T1177-2014《信息安全技術 第二代防火墻安全技術要求》已于2014年7月24日正式發布，9月1日開始實施。標準的制定是在公安部科技信息化局的授權下，由負責編制行業信息安全規范的公安第三研究所牽頭，向廣大用戶公開征集意見，并邀請深信服在內的5家國內優秀的安全廠商參與討論完成的，共歷時17個月。我們看到新標準中涵蓋的關于Web攻擊防護和信息泄漏防護的要求，這些功能要求的增加充分適應了我國的互聯網發展環境，能夠滿足用戶的實際需求。

再次對編寫委員會的專家們為此付出的努力表示深深的敬意，我們堅信，從用戶實際需求出發的第二代防火墻標準未來并將成為行業的共同標準，推動我國的信息化安全建設向更好的方向發展。

以下是編寫委員會專家成員的名單：鄒春明、俞優、宋好好、陸臻、顧健、李煥波、王帆、王剛、段繼平、馮濤、黃濤。