小马拉大车－解读UTM优劣

　　以UTM为标志的整合式安全设备在短短的时间内引起了所有人的注意，整合式安全成为了业内人士口中的高频词汇，而UTM也被越来越多的中小企业认为是未来的必然发展趋势。然而UTM真的能够解决中小企业所有的安全问题吗？为了那些宣称被解决的问题中小企业付出了哪些代价呢？

　　针对计算机系统的威胁出现已经有25年多了，但黑客仍在继续制造更为复杂的新威胁，并且不断为网络互连的企业带来巨大的破坏。20多年来，防火墙技术，以及最近的病毒检测和防护、加密和补丁管理等点状解决方案，对于防止计算机犯罪和保护企业信息资产起到了重要作用。然而，新兴的混合型攻击通过组合多种威胁方法加大了危害的严重性。在这种形势下，这些点式解决方案不能再提供充分的保护。事实上，随着保护层的复杂性增加，黑客也在寻求组合利用现有保护层的各种弱点和漏洞，因此防御新的威胁这一任务变得越来越具挑战性。

　　存在威胁　寻求解决之道

　　多年来，对于任何安全实施方案来说，最基本也最重要的组件就是防火墙。自从1980年代早期防火墙被发明以来，防火墙有效地限制了可能为网络带来计算机病毒等威胁的非期望的外部网络互动。随着网络技术的发展，防火墙技术的防护能力也在不断提高。

　　现代网络的出现带来了基于以太网技术的局域网(LAN)，而防火墙也暴露在新的安全性威胁-因特网蠕虫的面前。为对付这一新威胁，防火墙采用基于数据包的过滤技术，在网络的低层来分析网络流量。预先定义一组规则，确定哪些数据流允许通过，将每个数据包与预先定义的规则相对比。当第一个因特网浏览器出现时，企业可以实现全球范围内的连接。因此需要新一代防火墙技术来提供全面的防护，根据一个经过验证的网络会话表来验证每一个网络数据包。不久，防火墙扩展到数据包检测技术，同时允许验证数据包数据部分中出现的其它安全性项目，如用户口令和服务请求。

　　虚拟专用网络(VPN)和无线网络等技术允许用户进一步扩展企业网络，同时还使得用户不需要物理电缆连接即可访问因特网，因此这也为网络安全带来更大的挑战。尽管这些技术扩展了网络的应用，但同时也使得防火墙在攻击面前更为脆弱，病毒可以从多个地方突破防火墙的防护并带来严重的后果。尽管点状布署的安全解决方案技术也在不断发展，但由于防护不全面或者漏洞被利用而带来的累计危害和生产力损失已经高达数百万人民币。

　　UTM是谁？

　　UTM是统一威胁管理的缩写，这是一种被广泛看好的信息安全解决方案。目前被提及较多的定义是由IDC提出的:由硬件、软件和网络技术组成的具有专门用途的设备，它主要提供一项或多项安全功能，它将多种安全特性集成于一个硬设备之中, 构成一个标准的统一管理平台。

　　从概念的定义上，UTM既提出了具体产品的形态，又涵盖了更加深远的逻辑范畴。从定义的前半部分来看，很多厂商提出的多功能安全网关、综合安全网关、一体化安全设备都符合UTM的概念;而从后半部分来看，UTM的概念还体现了经过多年发展之后，信息安全行业对安全管理的深刻理解以及对安全产品性、可用性以及联动能力的精研。

　　从技术层次来讲，UTM结合了很多值得关注的先进技术。首先值得一提的是CCP，即完全性安全保护。这种技术对OSI模型中描述的所有层次的内容进行处理，其有效性将大大超过目前通用的状态检测技术以及深度包检测技术。

　　为了实现网络处理的强大能力，UTM通常需要应用ASIC技术来获得性能保证。同时在软件组件方面，UTM使用专用的经过定制的操作系统。精简后的系统在安全功能上进行了特别处理，形成了适用于UTM的软件平台。另外基于防火墙等产品的经验，UTM在规则算法、模式识别语言等方面也进行了特别的设计，这为UTM的平台化目标提供了最有力的基石。

　　接受本报采访的某安全厂商技术专家认为：防火墙保护中只要存在一条脆弱链路就会影响到整个安全实施方案。因此，企业需要一种更为统一的威胁管理方法来保护自己的网络和商业用户免受混合型攻击的威胁。快速变化的安全性威胁形势促使统一威胁管理(UTM)成为安全设备市场中增长最快的领域。根据业内通行的定义，UTM是指在单个硬件平台上整合了包括防火墙、防病毒以及入侵检测和防御在内的多种安全性功能的安全设备。业界的分析也指出，近年来混合性威胁快速增长，推动了对UTM所提供的灵活且高度集成的功能的需求。只有统一威胁管理解决方案(UTM)提供了智能化程度最高的实时网络保护，可以帮助当今地理上高度分散的企业防止高级的应用层攻击以及基于内容的攻击。

　　UTM不等于安全模块的叠加

　　过多描绘UTM的美好未来有时并不总能产生正面的效果，我们应该恰当的面对UTM的问题。当前无论是从用户对UTM的认知还是厂商推出的UTM产品来看，防火墙仍然是整个架构的核心。而且有一些产品并没有很好的实现UTM架构，这些产品更多的是基于防火墙体系进行其它安全功能的整合。

　　我们认为这样的产品虽然也被划归为UTM类设备，但是从严格的意义上说，并不能将其作为完全的UTM产品来认识。广大用户在考察和选用UTM产品的时候，首先应该根据自身的情况清楚的界定对于UTM的要求。

　　我们不但要更好的利用UTM的外在，还要充分发掘UTM的精髓。另外，至少在目前还有一个问题的答案没有被完全揭晓。目前的UTM产品大多是网关型的产品。

　　我们知道，在面对当今复杂的安全威胁时，网关型的防御体系虽然有效，但仍无法独立构成完整的安全防御体系。我们期待着有更多的厂商跨越这条界限，更好地发挥UTM作为统一安全平台的优势，向用户提供更多具有创新性的安全解决方案。

　　安全挑战不容小觑

　　当前，企业和组织面对越来越复杂的病毒和恶意攻击，他们也采用了多种方法来应对，以期获得所希望的安全保护。新出现的混合威胁将数种独立的病毒结合起来，通过极度难以防犯的攻击渠道进行传播和实施攻击。最近最有名的混合威胁之一myDoom利用电子邮件做为其传播渠道，利用全球数以百万计的被感染计算机来实施针对特定企业的拒绝服务(DOS)攻击。据估计，仅仅在myDoom发作的最被五天时间里就带来600亿美元的损失。

　　除来来自混合型攻击的安全威胁以外，网络管理人员还面临网络带宽不够导致速度下降，缺乏业务流优先级而导致网络效率下降。许多情况下，网络速度下降都是由于网络中有太多的用户在从事非生产性的活动，如使用Napster、P2P应用、多媒体应用以及利用IM软件进行VOIP通信。运行此类应用即带来生产力损失，同时还为针对内部网络的网络攻击打开了方便之门。

　　为跟上网络发展步伐并解决网络威胁和生产力问题，企业购买并部署最好的点状解决方案，希望能够覆盖并对付所有潜在的威胁。IT经理利用点状解决方案来解决的问题之一就是保护网络免受内部攻击的威胁。根据相关的研究，多数攻击是通过内部传播和发起的而不是通过外部发起的。企业部署内部入侵检测系统，在多个部门网段布署监控器，并采用电子邮件防病毒系统，以期防止病毒的传播。IT管理员还必须关心来自远程或分布式环境的威胁，例如当员工在酒店或国外旅行时，如果他们启动VPN客户端，那么网络威胁就有可能通过这些点进入企业网络。为消除这一威胁，企业为远程客户部署独立的VPN解决方案，将这些流量与企业网络相对隔离开。

　　为了应对无线网络安全性问题，企业采用独立无线网络的方法将内部网络与无线网相对隔离开来，同时通过实施内容过滤解决方案来降低对生产力的影响，同时避免间谍软件的骚扰。为了减少网络垃圾(如垃圾邮件)的骚扰，企业采用防垃圾解决方案，同时采用防火墙解决方案通过关闭端口的方式来减少病毒的入侵。最后，IT经理还要不断为服务器、工作站、路由器、交换机以及防火墙本身打补丁。尽管补丁可以解决现有软件的问题，补丁会为计算机带来负面的影响或者会引入旧的程序，因此有时带来的问题会比解决的问题还要多。

　　尽管点状解决方案在过去是有效的，但越来越多的证据表明，这些解决方案无法针对目前的威胁提供充分、及时和统一的保护。这些广泛传播的病毒不仅会消耗现代企业大量(并且不确定)的资金，同时还会导致生产力下降，需要IT管理人员花费大量时间进行管理。点状安全性解决方案确实无法针对这些复杂的威胁提供充分的保护，也无法解决生产力降低问题。

　　统一威胁管理　为网络安全性埋单

　　现在，企业和组织寻求的是一种统一的集成式网络安全性解决方法 ? 在单个单元内实现所有这些分立安全技术和生产力保证技术。这也就是统一威胁管理(UTM)。UTM是防火墙安全设备市场的新兴发展趋势。传统防火墙产品演化为这样一种产品:不仅能够防止入侵，还可以完成过去需要多个系统才能够完成的内容过滤、垃圾过滤、入侵检测和防病毒功能。

　　UTM是信息资产保护解决方案自然的融合和最新发展。结合技术的整合和封装的进展，UTM及时响应了二十一世纪保护信息资产所面临的巨大挑战。有效的统一威胁管理应当。通过集成所有关键信息和安全性功能，并且提供简化的管理，UTM解决了所有这些问题。高效整合的UTM解决方案可以大大降低企业安全计划的成本并提高其可靠性。

　　市面上一些通行的UTM解决方案针对复杂的应用层和基于内容的攻击提供了智能化程度最高的实时网络保护。结合网关防病毒、防间谍软件和入侵防御服务(IPS)，这一解决方案处理多种威胁进入点并对所有网络层进行彻底扫描，从而可以同时防御并清除内部和外部威胁。利用高性能深度数据包检测引擎扫描多种应用类型和协议并利用全面的签名数据库对文件进行匹配，达到直接在安全网关上实现了威胁保护。

　　许多点状解决方案企业采用了一种称为状态数据包检测的防火墙架构。这种架构主要在网络层判断数据包是否是真正用户所请求的以及是否应当被允许进入网络。这种方法可以灵活地有选择地控制源于外部网络的访问，但相对来说，对于内部传输则没有限制。考虑到许多病毒实际上经常通过组织内的电子邮件服务传播，因此很明显许多威胁将会绕过状态数据包检测这一级的保护。

　　而记者也从安全厂商SonicWALL了解到，由于采用了称为深度数据包检测(DPI)的全面方法。这种方法将下载、电子邮件传输以及压缩的文档与全面且连续更新的签名数据库进行比较和匹配。可以实时扫描检测并阻止伪装可执行代码和宏病毒文件。

　　利用DPI技术，一些UTM解决方案可以在应用层对信息进行检查，从而防止针对应用漏洞的攻击。这一DPI引擎可以扫描多种应用类型和协议，包括SMTP、POP3、IMAP、 FTP、 HTTP、NetBIOS、数十种其它流式协议以及50多种IDP应用。引擎可以扫描所有网络层，包括链路层、IP层、TCP/UDP、静态端口(Static Port)、动态端口(Dynamic Port)以及应用层。因此企业远程站点网关、内部网络、文件下载、服务器以及桌面都受到全面的保护。做为更多一层安全性，还从应用层来防止内部和外部威胁。

　　进化中的UTM

　　显然，企业无法利用现有的状态数据包解决方案有效地保护网络免受混合威胁的侵害。事实上，状态数据包检测防火墙仅能够检测通过防火墙的总流量的约2%，而UTM解决方案则对流经防火墙的流量进行100%的深度数据包检测。然而，即使是支持DPI的UTM解决方案也并非全都一样有效。例如，同样声称是UTM，还要区分“有限”DPI还是“全面”DPI。就其全面性来说。

　　此外，许多UTM解决方案在文件扫描时需要文件缓存，在更新过程中需要重新启动，这些都降低了防火墙的总体性能。实事上，一些UTM解决方案独特技术使其能够处理的文件大小无限制，并且能够处理成千上万的并发下载，从而为不断发展的网络提供终极可扩展能力和性能。避免了在签名更新后进行重新启动，因此可以提供连续的保护，不会影响生产力。

　　全球范围内，每天都有新的病毒和间谍软件感染企业计算环境。有些还可以在数小时内迅速传输，并感染不同规模的网络和所有计算机。随着这些攻击变化更快并且更为充满恶意，企业被迫寻求能够保护自己的统一威胁管理解决方案，并且要求统一威胁解决方案不仅能够抵御目前的威胁，并且还可以防范新兴的以及未来的威胁。

　　UTM将成为主流安全产品

　　UTM产品为网络安全用户提供了一种更加灵活也更易于管理的选择。用户可以在一个更加统一的架构上建立自己的安全基础设施，而以往困扰用户的安全产品联动性等问题也能够得到很大的缓解。相对于提供单一的专有功能的安全设备，UTM在一个通用的平台上提供多种安全功能。

　　一个典型的UTM产品整合了防病毒、防火墙、入侵检测等很多常用的安全功能，而用户既可以选择具备全面功能的UTM设备，也可以根据自己的需要选择某几个方面的功能。更加可贵的是，用户可以随时在这个平台上增加或调整安全功能，而任何时候这些安全功能都可以很好的协同。

　　现在UTM在安全产品市场上一路高歌猛进，其成长速度已经达到了两位数。除了新增的市场份额之外，受到UTM侵蚀的安全产品主要是防火墙设备和实现VPN功能的产品。按照目前的情况来估计，UTM产品的发展在未来的几年中仍会保持较高的增长速度，并有望成为主流的信息安全产品。

　　现在有很多针对中小企业信息安全的探讨，其中一个焦点问题就在于市场上缺乏中小企业情况的安全解决方案。UTM产品在中小企业市场的应用，至少可以在两个方面缓解这一问题。中小企业的资金流比较薄弱，这使得企业在信息安全方面的投入总显得底气不足。

　　而整合式的UTM产品相对于单独购置各种功能，可以有效的降低成本投入，这无疑为中小企业实施信息安全提供了一个非常具有吸引力的选择。而由于UTM的管理比较统一，能够大大降低在技术管理方面的要求，弥补中小企业在技术力量上的不足。这使得中小企业可以最大限度的降低对安全供应商的技术服务，有利于中小企业用户建立更加合理和真实的解决方案。

　　后记

　　从上世纪80年代初防火墙发明以来，计算机网络安全性解决方案的发展已经有很长时间了。但是，面对企业信息资产所面临的大量攻击和威胁，安全性变得前所未有地重要。现有点状解决方案在保护企业网络方面一度相当有效，但现在做为独立的保护层却已经不能满足需要。今天，企业需要高效的分布式保护解决方案，以应对信息网络所面临的大量复杂威胁，也就是说，他们需要统一威胁管理。

　　UTM采用了高度可扩展的不需重新组装的深度数据包检测架构，这一深度数据包检测和统一威胁管理架构可以高效检测和防止病毒、蠕虫、木马、间谍软件和新兴的VoIP业务威胁，并直接在安全网关上提供威胁保护。

　　UTM的现实意义

　　成本经济 - 总体系统成本必须比缺乏安全性控制时所带来的潜在损失低得多。

　　协调性 - 总体安全性必须考虑到组织之间和技术之间的协调。

　　简便高效的管理 - 由于工作量大、压力也大，因此手工过程很容易出错，因此为了保证安全性，简便高效的管理操作是必需的。

　　互操作性 - 不同技术单元之间必须完美配合，否则事件检测(或决策)将会非常困难。