产品观察

随着时间的发展、科技的进步，任何事物都在不断的演进，而且新陈代谢的速度也在不断的提高！众所周知，从最早的BP传呼机，到“大哥大”，再到传统手机，再到现在智能手机，手机总是在不断进化来满足了人类的各种需求，在短短20年里就迈入了智能时代。

成功者总是不约而同地配合时代的需要，下一代智能防火墙是否符合网络安全时代的需要，防火墙的智能时代是否已经来临？
我们先来看下防火墙的进化史，在过去的半个多世纪里，防火墙一直是企业安全基础架构最重要的基石之一，其间也经历了几代的演化。第一代防火墙是基于包过滤的防火墙，时至今日这类防火墙仍在网络交换机和路由器中以访问控制列表（ACL）的形式发挥着作用。基于包过滤的防火墙检查每个报文，并简单的根据Ethernet和IP头中的字段匹配进行过滤，但不维护协议或应用的状态信息。目前，基于包过滤的防火墙仅存在于资源有限但要求高吞吐量的网络设备中。

上世纪90年代出现了状态检测防火墙。大多数状态检测防火墙运行于OSI的三层和四层。这种防火墙引入了被称为“会话”的流量状态用于追踪开放连接。会话是基于五元组（源/目的IP和端口，IP协议号）进行识别的。即使使用的是单向策略，建立起的会话也允许双向流量。会话还可以用于维护其他三层和四层信息，如TCP状态和NAT转换信息。除了维护会话外，状态检测防火墙还需要了解一些应用协议。有些应用（如FTP）在动态选择的TCP/UDP端口上打开临时会话，还有些应用（如VOIP协议）可能需要打开到第三方的会话。为了在上述环境中保持应用的可用性，状态检测防火墙支持应用层网关（ALG）。ALG检查应用协议的内容并动态生成临时规则允许创建这些会话。

网络安全防护对应用安全的需求促成了IPS、防病毒、URL过滤等安全产品的出现。统一安全管理（UTM）就是结合了状态检测防火墙和上述应用安全功能的安全设备。
近年来我们见证了下一代防火墙（NGFW）的崛起。状态检测防火墙基于IP和端口控制网络流量，而NGFW使用深度报文检测（DPI）技术深入到应用层协议和内容对流量进行分类。现在HTTP可以携带各种类型的流量，从网页浏览、业务应用、社交网络、多媒体、P2P下载到恶意软件和攻击。NGFW对协议和内容进行解码，通常结合模式特征和行为特征以识别应用。NGFW的策略基于七元组匹配：IP五元组外加应用ID和用户ID。

网络在不断发展，威胁也在不断进化。在IT应用迅速变革的今天，高级威胁和0-day攻击正变得肆无忌惮，因为他们能高度规避检测，NGFW基于特征的防护渐渐力不从心，安全防护思路和架构的转变已是大势所趋，从基于已知威胁的防御转变为基于未知风险的预防，这一转变需要更加智能的安全思路才能实现。

智能时代的防火墙，又需要哪些技术来满足网络安全发展的需要呢？智能防火墙的特性可以概括为：对于网络状态，要有学习能力；对于网络产生的数据，要有挖掘能力；对于网络的安全威胁，要能做到预警；对于安全事件，要能做到可视化管理。
下一代智能防火墙（iNGFW）以全网健康指数（NHI）对网络健康状态打分，以行为信誉指数（BRI）对用户及服务器状态打分，然后对“高危”人员或者“高危”服务器实行相应的预警或有效的控制。有了这样的信誉评分制，管理员就可以根据用户的信誉分数来动态调整策略，决定是否让其进入网络。这个思路的重要意义在于：将“信誉”作为第八元组引入防火墙的控制，使防火墙在原有的防护基础上增加了对于网络风险的控制。将大数据关联分析的手段用在防火墙平台上，可以充分发挥防火墙兼具检测、监控和控制能力于一体的优势，更好地实现联动并实时控制风险，在一台设备上就可实现有效的控制闭环，管理员可以基于感知到的风险进行安全管控，在事发之前防范安全问题或系统网络中断，节省客户投资。
下一代智能防火墙的增强型NGFW功能允许用户全局总览网络、用户和应用，并动态控制策略，可实现以下功能：

● 主动检测网络，iNGFW使用大数据分析技术检测异常行为和系统资源使用情况，防范0-day攻击。行为信誉指数（BRI）是对内网用户、主机和服务的信誉衡量，可以呈现与内网资产相关的风险。
● 主动检测资源、网络和服务的可用性，降低服务中断的概率，减少中断时间；对用户、资源、网络、应用使用情况和行为进行风险分析。全网健康指数（NHI）可以评估系统所面临的安全和可用性问题，呈现整个网络和每个子网的健康状况。
● 通过BRI和NHI报告系统风险。如果目标对象或网络的健康状态发生变化，系统会生成告警。
● 根据目标对象的BRI和/或子网的NHI动态调整访问控制和流量控制策略。策略控制基于八元组：信誉，IP五元组，应用ID和用户ID。
● 智能QoS实现细粒度控制用户和应用流量，保障关键业务应用的可用性。
● 用户、资源、网络和应用使用情况及相关风险评估结果可视化。
当智能遇上手机，智能手机带领我们步入移动互联的时代。当智能遇上防火墙，防火墙已经不在是一道墙，而是一个平台，从而把被动的安全事件防范变成主动智能分析，防火墙就不再是被动的单纯的执行者，而是主动的建设性的执行者。所以，防火墙的智能时代已经悄然来临，网络更需要智能来捍卫安全！