下一代防火墙“new”在哪里？

　　面对稳定和可靠性 NGFW能否经得起考验

　　通过我们逐步深入的了解，显然，NGFW具备高度融合的特性。所以，NGFW自身必须具备高度的稳定性、可靠性和性能可扩展性，这是一个前提条件，否则自身会成为安全防御和网络性能的一个薄弱点。面对重大的网络入侵，如何依然保证其高度稳定和可靠性，就要求实现的产品具备高度成熟的模块化操作系统，高可靠的电信级冗余设计，可扩展性和高性能。NGFW能否担此重任，或者相比传统独立安全设备是否具有优势，看记者深入采访，且听百家争鸣。

　　北美和欧洲的政府机构，包括对网络安全管控要求较高的机构和阻止，例如：国家基础设施，电力、能源、水利等领域在最近几年已经几乎摒弃了传统网络防火墙和UTM设备的采购而转向NGFW。再看看全球500强的大型跨国公司目前对网络安全的设备需求也都纷纷转向到更加专注于应用安全管控NGFW为主体，包括银行、保险等机构，例如对知识产权关注度较高的Hi-Tech公司。新加坡也从2009年规定，今后有关政府、公共安全部门的防火墙采购需求将以NGFW为主体，不再考虑对传统网络防火墙和UTM的采购。迈克菲中国区网关安全产品总监郭伟强调，“这些都在商务和客户层面证实了NGFW能够满足企业对网络安全产品的稳定性和可靠性的要求。”

　　天融信方案与推广副总裁刘辉表示，“NGFW产品一般都集成了多种安全引擎，使其具备了防火墙、IPSEC VPN、SSL VPN、防病毒、IPS、虚拟防火墙等安全功能。这些功能将通过一个引擎进行检测，通过统一的界面控制，无论遇到那种威胁，智能管理系统都会执行相应的策略，用最有效的功能组合来阻挡入侵。相对于单独的安全产品堆砌来说，NGFW各项功能间的配合更紧密。比如入侵防御模块发现的威胁可以自动加载到防火墙规则内，在网络层就能提前被阻断，防火墙和入侵防御已经不仅仅是互动关系，而是一个整体。”

　　“对于常见的网络层入侵，NGFW所具备的更高每秒新建会话能力在相同软件算法的情况下可以提供更强壮的抗攻击能力;对于应用层攻击，NGFW真正集成IPS后在一次拆包就可以实现对入侵行为的识别、动作和记录，这种无缝对接保证了对网络入侵行为出现时的时效性、准确性和高处理性能。”山石网科技术市场经理任磊显然对于NGFW的防御能力深信不疑。

　　而H3C网络安全产品部安全技术总监李彦宾的回答则大相径庭，他对NGFW的表现显然不那么乐观，“面对重大的网络入侵，NGFW融合的设备相对IPS(入侵防御系统)独立安全设备在稳定性和可靠性方面还有一定的差距。比如IPS透明部署在网络中，在遇到极端情况下，有二层回退、PFC掉电保护等多种可靠性设计，保证业务的畅通。而NGFW作为网关部署在网络中，一旦出现问题，会造成网络的中断。”

　　国标中对入侵的定义是指“任何危害或可能危害资源完整性、保密性、可用性的行为”，网络入侵往往包含了多种攻击手段，从攻击过程来看，是一个动态的、长期的、变化的过程，涉及人员、网络、设备、操作系统、应用系统多个方面。启明星辰边界安全产品部副经理马骏表示，从纵深防御体系来看，NGFW是定位在边界防御，考量NGFW的重要指标在于其安全防御能力以及事件库的更新速度，这方面取决于厂商在漏洞研究、漏洞验证、入侵检测、快速响应、硬件整合等多方面的能力，是厂商综合能力的体现。专业设备在这方面目前做得很成熟，并已经获得市场和用户的认可。在NGFW上还需要时间和市场应用的检验。