专家谈统一威胁管理UTM未来发展趋势

　　大约不到十年之前，包过滤防火墙足以用来防御一切来自互联网的威胁。然而如今，企业网络所面临的威胁在数量、种类和复杂性方面成倍增加，桌面防火墙和反病毒软件已经不再能够满足现实的需求。目前统一威胁管理（UTM）的硬件型解决方案在安全系统与软件方面的演变实际上就是黑客、骇客、病毒作者和安全厂商之间的“竞赛”史。每当一个新的漏洞被检测到，新的安全机制与措施就会被制定出来并且落实到位，但随后会有一些冲破这些防护或者攻击这些安全措施的新方式被开发出来。 近几年，随着“混合威胁”的发展，已经开发出结合不同类别攻击特征的恶意软件。比如：嵌入垃圾邮件引擎的木马或者带有间谍软件的病毒。UTM技术与产品的发展很大程度归功于这些混合式威胁的出现。

　　内部威胁

　　尽管UTM设备目前可以有效阻止许多处于网络边缘的外部威胁，却依然很难防御那些来自内部的威胁。研究表明，网络事件的发生主要是由心怀不满的员工引起的，安全管理人员一直在试图通过分割他们的网络来处理这种问题，以试图控制问题或者隔离关键业务信息资源，比如公司数据库服务器或邮件服务器。尽管该战略可以有效对抗某些针对性的内部攻击，但是仍有另一个问题出现：随着更多的公司为其雇员配置笔记本电脑，这些笔记本电脑可能被感染或受到危害的风险也日益增长，譬如说当雇员外出旅行和连接不安全的无线热点。一个被感染的笔记本电脑返回与企业网络连接会规避网关防御，并且极有可能感染所有该网段的电脑。

　　尽管到目前为止大多数安全产品一直致力于保护网络的“咽喉要道”，更多的移动办公人员导致的网络边缘“模糊”，将最终需要安全厂商来考虑保护每一个网络节点。这是我所看到的下一阶段安全的发展趋势。

　　网络内部安全与网络安全

　　网络安全的一系列发展正导致一个综合解决方案的出现，从而使网络能够伸缩自如以抵御绝大部分攻击。这个解决方案的关键组件正在由产品厂商推出，被称之谓UTM，或统一威胁管理系统。

　　促使内部网络安全成为危机点的两个主要因素是：

　　1.网络犯罪：随着犯罪分子在身份盗窃与勒索方面越来越成熟，他们所涉及的网络范围也越来越大。现在，他们把目标锁定在提供丰富机会的特定公司和网站，因为它们可以带来有价值的交易或者储备了大量个人信息如信用卡和银行账户的数据库。

　　2.怀有恶意的内部人员：对于一般终端用户可使用的入侵、扫描和开发网络资源的工具和技术的数量不断剧增。随着时间的推移，那些导致信息或者业务资源真正丢失的内部人员事件将会增加。

　　为了保护组织免受来自这些方面的攻击，局域网接入点必须看作是一个安全周界。

　　有很多实现UTM 的方法，包括运行单独安全应用的Linux服务器和可以安装多台服务器的硬件机箱，所有方法都是针对具有深度封包检测能力的专用平台，从而实现对全部流量的持续扫描，以提供内容层保护。

　　真正的UMT功能组件应该包括：

　　防火墙

　　具有执行面向连接的策略以及满足SSL和IPSec VPN需求的能力。

　　入侵防御（IPS ）

　　已经看到了显著的提升，因为它可以抵御蠕虫的扩散并且阻止某些针对性攻击。然而，企业IT管理人员提出的对IPS的普遍担心是它在网络内部既创造了“干净”的一面又创造了“肮脏”的一面。也就是说与一台受感染的计算机在同一个局域网段的机器将岌岌可危。为了实现完全有效，IPS必须放置在每一个终端设备的前端。

　　在线防病毒

　　已成为安全设备领域的一个推动力，因为大量垃圾或者受感染的电子邮件、即时通信内容和P2P文件正在对它们各自的服务器的处理能力造成影响。

　　URL内容过滤

　　最初与安全无关。但随着越来越多的网站开始包含恶意内容，它开始成为最终用户防御的一个重要组成部分。

　　当然，正是由于这些UTM特性的组合功能，每当遇到带有新协议的网络攻击恶意软件进行威胁时，集成的设备会带来了更大的好处。

　　这种功能结合型安全设备的下一个发展方向就是网络能力的提升。路由协议如OSPE, RIP和BGP为许多企业提供灵活的架构，从而省去设计、配置、维护单独的路由器和负载平衡设备的费用。在许多情况下，可以完全不用路由器即可对UTM进行部署，从而提升其为用户带来的价值。

　　内部区隔一直存在问题。作为遏制威胁或者隔离部分网络的一种机制，这更像一个昂贵的组装件而不是一个一流的解决方案。所需的策略设置级别太过精细，并且要求管理人员具备广泛的技能，但这却除了一些大公司之外的大多数管理人员所缺乏的。当执行的需求被量化的时候，它看起来要么非常昂贵，要么并不能满足中小企业SMB所需要的性能。

　　如UTM所示，对于各种规模的企业网络来说，聚合并集成安全功能在节省财力和精力方面是一种经济有效的解决方案。因此，这就为安全厂商提供了一个机会来开发新的方案，从而通过结合网络交换机、IPS、AV、防火墙和路由器的功能来确保网络结构。换句话说，这是将交换机和路由器整合到传统的UTM安全设备中去。

　　方案建议

　　这个方案主要依赖一个交换网络架构。这些通常包括核心交换机和接入交换机。虚拟局域网（ VLAN）将被用于在需要时提供设备级精细度。交换机基于第2层和第3层执行策略。正常的数据流可以通过增加IPS功能进行过滤。理想的IPS过滤可以直接在交换机内进行。与互联网和第三方的连接也可以通过嵌入在交换机中的防火墙功能来实现。下一代UTM安全设备还将提供更多的网络分段，比如针对交易区和某些部门进行隔离。

　　这些超级-UTM设备将会呈现出三种主要形态。运营商和服务提供商将试图通过这样的部署从它们的骨干网中过滤出恶意流量。然后就能够为其客户提供“清洁的管道”。这些年来这种构想一直存在，其中运营商应该试图尽可能清除他们网络上的病毒、木马、蠕虫和恶意软件。但是，到目前为止，由于很多原因仍未实现，比如成本、技术和在某些情况下的政治意愿方面的原因。

　　第二种形态存在于企业核心网，这些先进的UTM设备将被用来分段和保护每一个部门甚至每一台设备。这是第一次真正的内部网络强化。

　　在小型办公室或者远程办公室，将会实现最大效益。一台单独的设备不但将取代众多用于执行过滤和保护的安全设备，还将取代路由器和交换机。

　　这一概念使UTM远远超出其诞生之初作为一个简单安全平台的想法。业界将会看到一些重要的错位现象，这是由安全设备开始容纳很多的网络功能所带来。传统的路由器和交换机厂商会发现他们以速度和简单性见长的产品无法适应深层包检测和精细防御的需求。专注于防火墙或IPS的安全厂商将会发现，它们正被结合了安全与网络的更加灵活的产品所取代。