下一代防火墙“new”在哪里？

　　ZDNET至顶网安全频道 8月26日 评论（文/陈广成）：防火墙产品从上世纪九十年代至今，虽然历经系统架构和软件形态的多次革新，但在技术发展和用户、带宽不断增长的今天，却愈发难以满足多方面的挑战。尤其是在当前最热门的数据中心和云计算环境下，以太网标准由万兆开始向40G/100G迈进，我国各类数据中心和机房总量已经达到50余万个。业务低延迟、高可靠保证和智能化安全管理，都对网关安全产品的性能和功能提出了新的要求。

　　今年以来，锐捷网络、梭子鱼、深信服陆续在国内发布下一代防火墙(Next Generation Firewall，以下简称NGFW)产品，加上已经在市场上耕耘的SonicWALL、juniper、Check Point等厂商，这个在2009年Gartner定义的来形容防火墙进化发展的产品似乎迎来了春天。

　　传统的安全架构，如今在面对数据中心带来的大规模整合和互联、云计算和移动计算更为分散和全方位的安全需求时，正在经受考验和CIO的质疑，NGFW的出世是否为安全“老三样”注入“兴奋剂”。经过我们走访和接触数家安全及NGFW厂商发现，各家对NGFW的定义虽不尽相同，但发展诉求是一致的。在提到NGFW能否替代网络防火墙、IPS、UTM时，各家也是众说纷纭，有斩钉截铁说是的，有认为应根据网络环境来区别对待的，有认为对某产品来说是可以完全替代的，还有提到会对其他网安产品形成冲击的，相信您在犹豫或面临抉择时能找到一份答案。对于用户而言，要的不仅是高性能、多功能的安全产品，在面对威胁时，一款定位于边界防御的安全产品能否表现出稳定和高可靠性至关重要，对此，我们发现各家厂商的回答也是不一，但终究是要经过市场应用考验。其实，很多CIO也发现在面对网络架构的演进和更复杂的终端设备和用户应用，对传统防御造成挑战，然而作为应运而生的一款全新产品NGFW能否挑起大梁，值得关注和讨论。

　　与传统的网络防火墙和UTM产品相比，NGFW的不同之处在哪里?硬件架构做了哪些改变?NGFW相对传统独立的网络安全架构是否具有稳定和可靠性?企业部署应该做哪些准备，如何选型?近日，ZDNET安全频道采访国内外数十家主流安全及NGFW厂商，带您拨开云雾。同时，并策划一期专题“应运而生，看下一代防火墙能否笑傲江湖”，敬请大家关注。

　　FW力不从心 防火墙在演进

　　目前不管是网络厂商、专业防火墙厂商、IPS或应用控制网关等厂商都在图谋这一领域，在Gartner定义的产品特性基础上，各家厂商也根据自己的传统优势诠释着自己对NGFW的理解。

　　企业将面临来自于Internet的病毒、木马、DDOS攻击、网络钓鱼、SQL注入等种类繁多且危害巨大的威胁，H3C网络安全产品部安全技术总监李彦宾在接受ZDNet采访时表示，H3C认为在数据中心和云计算中下一代防火墙应该具备“虚拟化、高性能、高可靠以及智能化”四个特征，会向高性能、高可靠，虚拟化和智能化演进。

　　对于SonicWALL来说，下一代防火墙包括以下元素，第一个是入侵防护服务，另外是网关防病毒服务，还有防火墙的保护。同时包括以下特性，如内容过滤功能、反垃圾邮件功能，以及通过策略来管理应用程序的功能，同样也包括确保网络的可视性，并能对网络中的每一个正在进行的数据流进行全面的检测，SonicWALL中国区技术经理蔡永生介绍说。

　　绿盟科技产品市场经理段继平认为，NGFW除了对web2.0应用的识别管理能力外，还强调区分于UTM最重要的指标之一的性能。并能够集成IPS，Gartner认为NGFW需要集成IPS功能，但不是像UTM那样做简单叠加，而是要将IPS无缝的功能融合入NGFW产品中去。以及用户集成，强调用户身份与NGFW策略的整合。NGFW的这4点特征针对UTM存在的短板做了改进，并强调与目前最新的安全趋势融合。

　　虽然NGFW没有统一的标准，经过采访我们发现，各家厂商对NGFW的发展诉求是一致的，把传统防火墙将访问控制对象从网络层、传输层(L3-L4)调整为应用层(L7)协议，并能够识别用户、应用和内容，具备完整的安全防护能力的高性能下一代防火墙。