应用安全涅槃 下一代防火墙呼啸而至

    Gartner统计表明高达3/4的网络威胁是基于应用层而非网络层的，在这一发展趋势下，基于网络层的传统防火墙显得日益先天不足和力不从心。这就需要一种全新的网络安全产品出现，虽然集成多种安全功能的UTM已经面世许久，可是其令人生畏的低下效率实在难以满足客户的需要。

    涅槃一词为来自古印度，在各古印度宗教里一般指一种从痛苦中解脱出来的状态，现在的应用安全一直处在水深火热之中，而解救它们的正是“下一代防火墙”。这里所谓的下一代防火墙并不代表还未出现的概念产品，这个下一代是具备全新应用安全管控的智能型防火墙。

    Gartner将网络防火墙定义为在线安全控制措施，即：可实时在各受信级网络间执行网络安全策略。“下一代防火墙”这一术语以应对目前业务程序使用IT的方法以及针对业务系统所发起的攻击方法所发生的改变。

    应用管控 效率当先

    下一代防火墙需要有三大要素：第一，下一代防火墙是基于角色和应用的管理设备；第二，它具有传统防火墙的所有功能；第三，具备智能的流量管理控制和策略配合。最近很多知名的网络安全厂商纷纷发布自己的下一代防火墙设备，虽然各家厂商对于下一代防火墙都有自己的理解，但高效率的提供应用安全保护这一宗旨都相同。

    无论是在国外还是国内，企业对于应用性的要求越来越高，形式越来越复杂，现在的安全问题从网络层已经转到4-7层，在传统应用下，防火墙基于传统的端口/协议类安全策略来进行防范，但随着私人或移动设备的企业网络接入等变化，使得更多的通讯量仅通过少数端口和协议进行。

    对于传统防火墙而言，80端口是可以禁止的，但不可以进一步识别。比如公司网管希望用户不要在工作时间上某些特定网站，但工作需要还要能够浏览网页，这对于传统防火墙来说是个挑战，因为应用流识别不了。下一代防火墙将管控功能加入，将特定网站加入到黑名单，就可以实现客户的需求了。打个通俗一点的比方，安全防护好比玩麻将，以前的防火墙看不到牌，只能摸，如果你不敢保证摸的牌100%正确，就只有放弃这张牌，现在利用下一代防火墙，可以清清楚楚看到是什么牌，就可以做到切实的选择了。

    也许你会说UTM也可以做到，众所周知，UTM虽然提出了广泛的融合理念，但是在应用效率上却一直被人诟病，全部功能开启将会让设备的运行效率大打折扣，得不偿失。而不用这些功能则让其成为了摆设，浪费资源。与之不同的是：下一代防火墙的一个重要标签是高性能，通过芯片的加强和模块的扩展，让吞吐量和并发性能有了质的飞跃，管理功能不再是花架子，而是真真正正能帮助用户解决实际问题的手段。