【IT168 资讯】自Gartner提出下一代防火墙概念以来，国外厂商Palo alto搞得风生水起，国内却一直偃旗息鼓。2011年，深信服科技在国内首家推出下一代防火墙(NGAF)，一年多的时间取得了不错的成绩。究竟这款产品能否延续其“细分市场卓越”的产品发展战略，带着一些疑问我们决定对这款产品的功能以及技术进行更进一步的了解。

　　为什么加入网页防篡改功能？

　　在Gartner的定义中，下一代防火墙是在不同信任级别的网络之间实时执行网络安全策略的联机控制，可偏偏在深信服的下一代防火墙中，出现了网页防篡改的功能选项，这又是为什么呢？

　　深信服科技防火墙产品线运营经理王帆解释：“这是深信服下一代防火墙(NGAF)服务器防护中的一个子模块，其设计目的在于提供的一种事后补偿防护手段，因为没有任何一种安全设备是绝对的安全，都有被攻破的风险。近些年，有不少大大小小的政府、企业门户网站被恶意篡改，这其中有纯报复性质、也有恶意商业目的，无论出发点如何，都对用户造成了极大地负面形象影响。所以添加这个功能，即使黑客绕过安全防御体系修改了网站内容，其修改的内容也不会发布到最终用户处，从而避免因网站内容被篡改给组织单位造成的形象破坏、经济损失等问题。我们的产品定位就是要让国内用户在最简单部署条件下能够实现近乎全部的安全要求，并保障设备的稳定运行。“

　　和其他的防篡改类产品相比，深信服下一代防火墙的防篡改是如何实现的呢？

　　简单来说，管理员预先在控制台设置需防护的网站， NGAF设备会向该网站请求页面并缓存到设备。当用户访问网站时，数据经过NGAF设备，NGAF根据预先缓存的页面与用户访问的页面进行比对，如有变动，则判断为篡改，跳转到指定页面并且通过多种方式通知管理员。

　　都能防护那些篡改？

　　能够防护篡改的类型至少可以分为如下几类：

　　　　1、替换整个网页
　　　　2、插入新链接
　　　　3、替换网站图片文件
　　　　4、编辑网页
　　　　5、因网站运行出错导致结构畸变

　　与软件防篡改相比有哪些优势？

　　这两种方式都能够解决客户最刚性的两个需求，一是被篡改之后外面的人不能访问到被篡改页面，二是能够及时发现篡改行为并进行告警，以便管理人员能够及时处理。

　　被篡改页面的恢复这个功能确实是软饭防护方式的一个优势，但是，软件防篡改也有一个很大的致命弊端，它们需要在WEB服务器上安装客户端程序，这样会给客户带来两个比较大的风险，一是客户端程序可能和原来的WEB发布软件和网站程序有兼容性问题，影响网站正常访问;二是它们缺乏对服务器的整体防护措施缺乏底层漏洞攻击防护，一旦服务器被黑客控制，黑客可以随意把防篡改的软件程序关闭，这样软件防护方式就彻底失去了防护效果。这也是现在越来越多的用户不用软件方式的主要原因。

　　而深信服下一代防火墙NGAF属于硬件防护方式，无需在原有的WEB服务器上安装任何程序，不影响原有的应用，还能提供完整的2到7层的整体防护，目前受到更多用户的青睐。