目前，防火墻仍是很多單位最重要的安全設備之一。但隨著新型威脅造成的危害日益嚴重，有些類型的防火墻，特別是全狀態數據包檢測(SPI)已經開始過時，雖然有人認為這種說法有點兒夸張。
狀態檢測的問題在于它僅重視端口和IP地址。端口就像電路斷路器一樣：在重要的流量流過時，用它作為過濾標準顯得過于笨拙。而且，IP地址沒有與用戶綁定，使得用戶可以用一種完全不同的設備來逃避策略。
解決這個問題的關鍵在于：要重視用戶，要重視用戶所使用的應用程序以及用戶用每一個應用程序正在做什么，尤其是那些容易被人利用其漏洞的應用程序。當前，80號端口的“阻止/準許”已經不夠精細。甚至像“阻止/準許”社交軟件(如Facebook)這樣的操作也已經遠遠不夠了。相反，防火墻必須支持準許用戶從事與業務相關活動的策略，而不管他使用什么樣的計算機。
當然，新技術絕不應當僅關注社交軟件，公司使用的任何其它的web2.0軟件，都應當包括其中。
下一代防火墻技術
下一代防火墻應當專注于應用程序、用戶和活動，而不是端口和IP。它可以控制用戶的操作，從而保障Web和電子郵件等的安全，并將其應用于所有應用程序。其次，下一代防火墻還應擁有反惡意軟件技術，并在底層完全集成到防火墻中，從而避免單獨的組件在掃描同樣的內容時所造成的延遲。集成的必要性還由于當今威脅的復雜性。
避免延遲至關重要，因為防火墻必須足夠快，其目的是在不損失性能的情況下準許所有的網絡通信通過防火墻。理想情況下，這種集中化的控制還包括云和移動通信。相比之下，典型的UTM(統一威脅管理)解決方案太慢，因為它并沒有完全地集成，只夠中小型企業勉強使用。
每一個安全組件都應當是最優的?；蛘哒f，一群“平庸之輩”難成大事。下一代防火墻必須能夠檢測運行在SSL加密通信中的內容，或使用模糊技術，它必須建立在專用的特定硬件基礎上。
下一代防火墻必須提供出色的透明性。在管理員設置策略之前，必須知道網絡上正在發生什么，這對于當今的多數防火墻來說是很難實現的。它還必須提供杰出的精細度，同時還要提供諸如“不允許在網絡上進行基于瀏覽器的即時通信”之類的高級策略。下一代防火墻還必須擁有極低的總擁有成本，要富有成效。
最后，下一代防火墻還必須能夠隨著當今網絡所面臨的威脅的變化不斷演化，即公司需要投資于能夠解決網絡黑手正在和將要觸及的諸多方面。
如何識別下一代防火墻
那么，怎樣區分一種防火墻是否是下一代防火墻呢?
首先，它應當擁有獨立的基于應用程序的策略，而不是擁有“雙重”策略(基于應用程序和基于端口/IP)。下一步，你不妨訪問一個Web2.0應用程序，如SharePoint，檢查這個防火墻是否能夠識別它的名字，而不是僅將其識別為Web通信。要在應用程序水平上測試防火墻，而不是在傳統的“位”的基礎上測試。
其次，如果廠商向你列示了每個安全組件的不同吞吐量或速率，如IPS、DLP、反病毒、防火墻等，而且每個組件的速度是在關閉其它組件的情況下測試的，就可斷定，它集成得不太好。真正的下一代防火墻應當擁有一個統一的吞吐量數字。
當然，上述標準也許過于苛求，選用與否主要取決于防火墻所適用的信息安全需要和網絡環境。
京公網安備 11010502049343號