管住“威胁”

企业网所面临的安全威胁，好像都让CIO贾先生（以下简称贾CIO）遇到了。能够解救他的，似乎只有UTM。

企业网所面临的安全威胁，好像都让贾CIO遇到了。病毒、黑客、间谍、漏洞一个不少，就拿混合威胁说吧，去年春节爆发的MyDoom病毒，让贾CIO的邮件服务器瘫痪了2天。

MyDoom是种很厉害的病毒，会通过电子邮件以很快的速度传播垃圾邮件，挤爆用户邮箱，从而阻塞网络。后经调查，它是利用全球数以百万计的被感染计算机实施针对特定企业的DoS攻击（拒绝服务攻击）。据统计，在MyDoom发作的最初五天里，就已造成600亿美元的损失。

作为集病毒和黑客攻击行为于一身的混合威胁的代表，MyDoom只是先锋，之后，贾CIO接连几次遭到混合攻击。由于这些攻击以难于防范的攻击途径进行传播，极不好对付，真是急煞了贾CIO。
后来，贾CIO看到一篇FBI的研究报告，上面分析说，多数攻击是通过内部传播和发起的（而不是通过外部发起的）。企业部署内部入侵检测系统，并在多个部门网段部署监控器，再采用电子邮件防病毒系统，可以防止病毒的传播。于是，贾CIO使用惯用的“头痛医头，脚痛医脚”的手法，将个人版防毒更换为网络版防毒（包括邮件服务器防毒）。事情有所好转。

好景不长，网络带宽又出问题了，带宽捉襟见肘，使得访问网络的速度不断下降，加之缺乏业务流优先级设定，致使网络效率也急剧下滑。

贾CIO彻底地检查了一下，发现网络速度下降的原因是大量用户在从事非生产性的网络活动，如使用P2P应用、多媒体应用以及利用微软MSN等进行语音或视频通信。运行这类应用即损失了生产力，又为针对内部网络的网络攻击打开了方便之门。

更让贾CIO心急如焚的是，后院要起火。设在上海、广州、成都等地分公司的工作人员经常访问内网，或者外地出差员工在入住酒店、星巴克咖啡馆等地也要访问内网，虽然使用了早已部署过的SSL VPN保护措施，但在访问过程中，还是会给“不法分子”提供可乘之机。
尽管攻击还没爆发，可已有专家提醒贾CIO关注这些来自远程或分布式环境的威胁，一旦威胁变攻击，后果不堪设想；并告知他，要消除这一威胁，应该为远程用户部署独立的VPN解决方案，将这些流量与企业网络相对隔离开。

贾CIO大脑有点乱，他觉得自己要做的事儿挺多，好像到处都是等他扑救的大火。
◆ 对于非生产性网络活动，他要通过实施内容过滤解决方案，降低对生产力的影响，同时还要避免间谍软件的骚扰。

◆ 为了减少网络垃圾(如垃圾邮件)，他要精选反垃圾邮件解决方案，并选取合适的防火墙策略，通过关闭端口的方式，阻挡病毒的入侵。

◆ 还要不断为服务器、工作站、路由器、交换机以及防火墙本身打补丁。补丁可以解决现有的软件问题，也会为计算机带来负面影响，可能它带来的问题比所解决的问题还要多。

贾CIO幻想着一种神奇灭火器的出现，只需按下键钮，就能把各处大火扑灭。

在网络发展的初级阶段，采用单一的、有针对性的安全解决方案，不失为有效的防范手段。随着应用的广泛和深入，面对愈演愈烈的混合型威胁，这些方案无法提供充分、及时和统一的保护，更不能解决生产力下降的问题。

UTM—神奇的灭火器

统一威胁管理（Unified Threat Management，UTM）就是这样一种神奇灭火器。

UTM是由硬件、软件和网络技术组成的具有安全用途的设备，它提供防毒、防黑、防垃圾邮件等多项安全功能，并将它们集成在一个硬件设备里，构建了一个标准的统一管理平台。

前2年，市场上就出现过一体化的安全产品，它与现在的UTM有所不同。

将安全一体化

以前的一体化安全产品大多是在第三代状态检测防火墙的基础上集成其他安全功能而组成的。受到技术及性能的影响，这种产品很少集成网关防病毒和IPS功能，因为要做到扫描应用层数据来检测病毒和入侵，对主处理器是一个挑战，也是一个重负。

或者，即便包含了网关防病毒功能，也会为平衡性能与功能，而限制网关防病毒引擎扫描的协议种类。经过限制的一体化安全设备通常只支持POP3、SMTP、IMAP、HTTP和FTP这5种协议。而且，它们对同时扫描的文件数目和大小，都依硬件平台的不同而有明显的限制。

统一管理“威胁”

与单纯的在防火墙中整合其他安全功能不同， UTM更看中的是“对设备和对威胁的管理”。实现UTM需要无缝集成多项安全技术，达到在不降低网络应用性能的情况下，提供集成的网络层和内容层的安全保护。
UTM 的特点是：能为用户定制安全策略，提供灵活性；能让用户自选功能，既可使用UTM 的全部功能，又可酌情使用最需要的某一特定功能；能为用户提供全面的管理、报告和日志平台，可统一地管理全部安全特性，包括特征库更新和日志报告等。
概括起来，UTM有如下一些优势：

1．成本经济

总体系统成本比缺乏安全性控制时所带来的潜在损失低得多。有关人士做过一个估算：传统百兆防火墙价格7～8万元，如果加上防毒、防垃圾邮件等安全产品，总成本在30万左右。而购买UTM产品，价格仅10万元左右。

2．简化系统

UTM设备大大降低了安全系统的复杂性，一体化的设计简化了产品选择、集成和支持服务的工作量，避免了软件安装和增加服务器的工作。安全服务商、产品经销商甚至最终用户通常能够很容易的安装和维护这些设备，而且支持远程管理。

3．减少维护

由于工作量大、压力也大，因此手工过程很容易出错，为了保证安全性，简便高效的管理操作是必需的。
UTM设备的维护量很小，它即插即用的，只需很少量的安装配置操作。

4．远程协同

不同功能必须完美配合，才可使安全检测容易进行。通过集成所有关键的安全功能，并且提供简化的管理，UTM解决了这些问题。
大多数UTM设备可以和高端软件解决方案协同工作。UTM设备提供易安装、可远程管理的特性。这样，安装在远程地点的很多硬件设备，在缺乏专业的安全管理人员的情况下，也可以很好的和大型集中式的软件防火墙协同工作。

5．避免危险

由于应用的需求，用户通常都倾向于尝试各种操作，而UTM安全设备的“黑盒子”设计限制了用户危险操作的可能，通过更少的操作过程，降低了误操作隐患，从而提高了安全性。