科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网安全频道网络安全UTM是否网关安全终结者?

UTM是否网关安全终结者?

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

群魔乱舞,信息社会入侵威胁与日俱增,群众呼声,少花钱多办事,还要一体化解决诸问题。网关安全系统向何处去?是孤胆英雄还是团队作战?我们还需要更加冷静思索

来源:比特网 2009年12月23日

关键字: 防火墙 UTM

  • 评论
  • 分享微博
  • 分享邮件

  群魔乱舞,信息社会入侵威胁与日俱增,群众呼声,少花钱多办事,还要一体化解决诸问题。网关安全系统向何处去?是孤胆英雄还是团队作战?我们还需要更加冷静思索

  如何真正满足用户的安全需求,是摆在信息安全厂商面前的一个难题。尽管各个厂家前仆后继,技术路线层出不穷,但鲜有成功者。究竟UTM趋势如何,我们不妨来看两个观点的PK。

  防火墙、入侵检测、防病毒俗称网络安全“老三样”,长期以来一直作为标准安全产品,在实现网络安全从无到有的过程中发挥了重要作用。

  但是,随着技术不断进步,用户对于网络安全的投入产出比要求越来越高,希望在构建、部署和维护网络安全系统的过程中能尽量少花钱多办事,能一步到位解决常见的安全威胁。

  正方:

  一、用户不断要求降低安全投资成本

  构建安全系统是一件非常复杂的过程,用户需要投入大量财力、物力和精力,除网络信息安全涉及的技术门槛高、产品昂贵的因素之外,主要原因在于大部分安全产品如防火墙、VPN、IPS、防病毒等功能单一,每个设备买之前都需要货比三家,购买总价高。为了集中管理、存储日志或者及时更新产品,可能还需要为各家不同的产品分配策略服务器、日志服务器或更新服务器,这些附加的投入会随着安全产品的引进而成倍增加。可见,对用户来说,非常迫切希望降低在安全建设上的投入,希望能省时、省心、省力地完成安全建设。

  二、用户不断要求增强安全防范能力

  相当一段时间内,对PPDR模型的理解被简化为IDS联动,这从侧面反应了用户对安全效果的不满:防火墙有控制能力但不能做深度检查,IDS可以检查应用安全但没有控制能力。单一功能安全设备的防范效果肯定是有限的,用户不满意是正常的。随着防垃圾邮件、防钓鱼欺骗等更多安全设备的出现,用户对安全设备的整合、联动的需求更加强烈,只有做到真正的融合和互动,才能进行全面的安全过滤和防范。

  三、用户不断要求提高安全运维效率

  首先,大部分网络安全系统是在原有的信息系统基础上增加的,在增加的安全设备与原有网络设备、安全设备之间都可能遇到产品兼容性问题,在部署实施中会相互冲突,安全设备越多,冲突的机会就越多,这在客观上增加了部署实施的难度。有时,个别安全设备可能导致系统验收推迟几个月。

  其次,每个安全设备都有一套自己的配置管理方法,因此,很多用户要求厂家派人安装调试,包括配置安全策略,自己基本不改动。众所周知,安全策略必须根据实际情况不断调整,如果固定不变,系统的安全保障效果肯定会打折扣。

  最后,在安装调试完成后,如果设备出现问题,用户还需要联系不同厂商来解决,有时甚至需要协调相关的几家厂商同时到场分析解决,非常复杂。可见,从安全系统运行维护的角度看,在不牺牲功能、性能的前提下,用户希望安全设备越少越好。

  四、技术不断发展趋向深度协同安全

  防火墙、IDS、防病毒技术经过多年发展,现在已经逐渐成熟并稳定下来,开始相互渗透,相互补充。近两年,出现了一个明显的趋势:防火墙、IDS、防病毒甚至内容过滤厂商分别从自有产品出发,通过增加不同的安全功能模块发展UTM。实际上,这主要得益于硬件技术的发展。为了解决深度检查大量耗费CPU资源,除ASIC加速芯片外,一批新的硬件解决方案出现了,如Seaway、Bivil、RMI、Cavium、Sensory、IDT、TARARI,这些硬件能大幅度加速内容匹配,使UTM从概念变成了可用的产品。

  反过来,从UTM定义可以看出,UTM集中了多种安全功能,但这些安全功能不一定同时应用,可以只使用某一个功能。因此,可以预测,将来,UTM完全有可能取代防火墙、网络入侵检测等单一功能的安全产品。

  综上所述,不论是从用户需求来看,还是从技术发展和技术支撑来看,UTM作为网络安全整体解决方案的重要组成部分,是必要的,也是可行的,是网关安全发展的必然趋势。这从IDC的调查报告中也可以得出同样的结论。

  反方:

  百炼成钢困难重重

  一、防火墙胖瘦之争由来已久

  防火墙是胖(功能多)好还是瘦(功能少)好,一直是业界不断争论的问题。首先,防火墙到底该不该胖,一种观点认为防火墙作为访问控制设备,不宜集成太多功能,否则容易不稳定。另外一种观点认为防火墙在做好访问控制的基础上,应该加入如IDS、内容过滤等安全功能模块,从而提高防火墙使用价值;其次,胖防火墙到底应该集成哪些安全功能,特别是防病毒功能,争论很大;最后,如果防火墙胖了,性能能否保证?不论是理论分析还是过去的大量实践都表明,如果没有特别的硬件支持,性能确实无法接受。

  二、各厂商前仆后继鲜有成功

  尽管防火墙胖瘦之争一直存在,出于市场竞争的需要,也随着技术的不断发展,国内外主流防火墙厂商大多都尝试过扩充防火墙的功能。比如:加入内容过滤、IDS、防病毒等功能,希望最终做成UTM,但是,真正能做成的很少,分析原因主要有以下三点:

  ·防火墙厂商对于抗攻击、访问控制技术非常熟练,但对于内容过滤、防病毒等技术并不熟悉。

  ·防火墙基本上是对单个数据包进行检查和控制,用的是状态包过滤技术。而防病毒、内容过滤如果要实现准确的检查和控制,必须使用应用代理技术。如果利用防火墙状态包过滤技术进行防病毒处理,效果肯定不理想。

  ·UTM的性能难以保证。当UTM的功能都打开后会耗费大量计算资源,必须依赖硬件加速才能保证性能,但是硬件也只能加速部分工作,如何利用软硬结合方式处理复杂的应用内容安全是个难题。

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章