【IT168 评论】随着科技的发展和企业文化的进步，深入融合作为当今企业的发展需求，已经超出了传统防火墙的能力范围，为了迎合web2.0时代的到来，众多厂商纷纷发布下一代防火墙产品。然而近年来网络安全又面临着各种威胁和挑战，在这一大背景下，IT168网络安全频道邀请到了新华三安全产品线的产品经理陈发明先生，和我们一起从现状和未来双向出发，探究用户对下一代防火墙主要的需求点，探究下一代防火墙的发展规划，以下为采访实录：

▲新华三安全产品线的产品经理陈发明

　　IT168：能否先为我们简单介绍一下在您眼中我们的网络安全所面临的一些主要挑战?

　　陈发明：网络安全目前面临三个比较大的挑战：第一是恶意代码及病毒防范。恶意代码及病毒已越来越多的威胁现代IT系统，病毒的制造者和传播者已不再单单是炫耀自身的技术，更多的是追求经济利益。通过木马软件、钓鱼网站、邮件、以及即时通信工具等方式感染计算机，盗取企业商业秘密或个人隐私，许多政府部门、企业单位、银行、通信等都利用网络开展工作，给了不法分子有利可图的机会。下一代防火墙经常作为网络的边界设备，作为园区网络的第一道关卡，应能解析并防范报文载荷中的恶意代码及病毒，以予以拦截。

　　第二是防范DDOS攻击及APT攻击。网络攻击通常由黑客发动，黑客对网络的攻击方法已达上千种，黑客通过控制大量僵尸主机几乎可以发动任意规模的DDOS甚至APT攻击，成为信息安全的严重威胁。

　　第三点是防止各类非法入侵及信息窃取。1、造成网络服务中断;2.窃取国家机密;3.扰乱正常的经济秩序和管理秩序;4、侵犯个人隐私信息。

　　第四点是防范垃圾信息污染。垃圾信息包括反动信息、暴力信息、黄色淫秽信息、冗余信息、虚假信息和广告信息等等种类。

　　IT168：根据IDC行业白皮书显示，下一代防火墙主要特性主要分为四部分，分别为智能化、可视化、虚拟化以及协同。首先请您介绍下贵公司的下一代防火墙的智能化是如何实现的?

　　陈发明：新华三下一代防火墙，通过单台或多台设备对网络流量进行分析，判断访问者的行为习惯，同时基于行为分析结果构建自适应策略，横向关联场景库、特征库等功能模块，能够有效快速识别网络中异常的入侵行为，安全防护系数大幅提高。例如，当访问者所在区域发生变化时，自学习系统可以快速发现并产生相应报警及关联判断，最终通过智能分析判断本次访问的合理性并决定是否对该访问予以放行。

　　IT168：面对新的安全挑战，下一代防火墙中讲求“安全威胁是可视的”，我们的下一代防火墙在可视化上做了哪些工作?

　　陈发明：新华三下一代防火墙对应用的识别度高，对于IM、游戏、下载软件等众多应用进行深度识别。因此，下一代防火墙可以提供清晰的全局应用流量展现，结合用户信息、IP信息等因素，综合展现企业IT系统中流量的具体内容，成为网络中的“监控摄像头”，管理员可以通过下一代防火墙的可视化特性，快速实时监控网络流量信息，设定报警策略，快速发现入侵行为。

　　IT168：云计算作为主要的发展趋势之一，近年来发展非常快，而下一代防火墙是相对比较融合性的产品，那在虚拟化的大场景下，贵公司的NGFW产品都做了哪些努力?

　　陈发明：云的快速兴起与大规模建设，使得虚拟化技术得到广泛应用。云自身的边界安全与虚拟化环境下的边界安全正在成为制约云应用快速发展的阻碍因素，无论是以阿里巴巴、亚马逊为代表的公有云提供商，还是政府、金融、教育等行业私有云用户，他们对于云环境的边界安全非常关注。新华三下一代防火墙具备可迁移性，能够以软件形态迁移到云环境中，并与云管理中心形成有效的信息互通，达到弹性的、按需索取的效果，从而为云中租户提供快速的、有效的边界安全防护效果。同时，硬件形态的下一代防火墙所具备虚拟化的特性促进了其与云平台相结合的技术趋势，例如，硬件形态的下一代防火墙可以采用专业安全资源池的方式与云管理中心交互，实现对云中虚拟化环境下的边界安全防护。

　　IT168：协同联动近年来不断被提及，而在下一代防火墙中，协同也不再仅仅是一个概念性话题。安全产品已经不再是孤立存在、单打独斗的与攻击抗衡，下一代防火墙通常会与IT系统中的其它安全防御系统构建协同的工作机制面对，安全系统之间的协同工作又是怎样实现的呢?

　　陈发明：新华三下一代防火墙通常会与IT系统中的其它安全防御系统构建协同的工作机制，确保一旦单点受到攻击，全网实施策略升级及综合预警、响应的快速防御效果。特别是面对当前备受关注的APT攻击，安全威胁情报系统需要与IT系统全网安全产品协调交互信息，构建“陆海空”立体的防御效果，对黑客攻击实施精准打击。

　　IT168：威胁情报规模化管理是NGFW的主要功能之一，贵公司的威胁情报主要来源于哪?威胁情报的关联、获取、鉴定以及溯源都是怎样实现的?

　　陈发明：新华三的威胁情报主要来源两个方面：其一是新华三攻防团队的漏洞分析、恶意攻击特征分析;第二是合作伙伴提供的病毒库、攻击特征库;通过多年经营与积累，新华三拥有业界资深的攻击特征库团队，同时配备有专业的攻防实验室，紧跟网络安全领域的最新动态，从而保证特征库的及时准确更新。

　　IT168：恶意软件是近期企业面临的较大的问题，那我们的NGFW产品在恶意软件的管控上有怎样的表现?

　　陈发明：新华三的NGFW产品在恶意软件的管控上可以分两方面来讲，首先是在IPS方面，采用新华三自主知识产权的FIRST(Full Inspection with Rigorous State Test，基于精确状态的全面检测)引擎：集成了多项检测技术、基于精确状态的全面检测，提高入侵检测精度;采用并行检测技术，提高入侵检测的效率。在实时的病毒防护方面，采用Kaspersky公司的流引擎查毒技术，从而迅速、准确查杀网络流量中的病毒等恶意代码。

　　IT168：贵公司的NGFW产品和公有云的对接是怎样完成的?

　　陈发明：NGFW可以以软件的形态提供在X86服务器上的灵活布署，云控制器可以根据用户需求，生成NGFW的虚拟化实例，定制化安全相关服务，将虚拟墙分配给租户进行管理使用。

　　IT168：您认为贵公司的NGFW产品和其他安全厂商的产品相比，最大的杀手特点是什么?

　　陈发明：新华三多年的网络基础开发保证了NGFW产品的协议的健壮性，出色的硬件设计能力保证产品的稳定性。高端产品连续入围运营商集采，在运营商场景的规模化开局保证了产品的高性能。多核处理器保证了高速的多业务处理能力。

　　采访到最后，陈发明简单预测了防火墙产品的发展趋势，他认为未来防火墙的发展必定离不开高性能和可扩展性两大特性。