【IT168 评论】随着科技的发展和企业文化的进步，深入融合作为当今企业的发展需求，已经超出了传统防火墙的能力范围，为了迎合web2.0时代的到来，众多厂商纷纷发布下一代防火墙产品。然而近年来网络安全又面临着各种威胁和挑战，在这一大背景下，IT168网络安全频道邀请到了迪普科技安全产品技术总监朱晓康先生，和我们一起从现状和未来双向出发，探究用户对下一代防火墙主要的需求点，探究下一代防火墙的发展规划。
▲迪普科技安全产品技术总监朱晓康
NGFW不容忽视的那些事
根据IDC行业白皮书显示，下一代防火墙主要特性分为四部分，分别为智能化、可视化、虚拟化以及协同。迪普科技的下一代防火墙产品也不例外，朱晓康也分别从四个方面向我们做了简单的介绍：
●智能化：
迪普科技下一代防火墙智能化主要表现在以下两部分：
·防火墙作为独立防护设备具有“大脑”的功能，它能通过深度检测分析网络中的各类业务交互行为，自动识别各类终端、设备及资产的异常访问并进行关联分析，自动形成安全策略，简化用户配置，实现主动的网络安全防护;
·作为迪普科技安全防御体系中的重要成员，防火墙在承担“大脑”作用的同时，也提供了“神经元”的功能，将发现的已知安全威胁及各类安全隐患反馈给迪普科技态势感知平台直观展现，同时也接收来自态势感知平台返回的各类安全威胁情报及联动防护策略，实时主动的对业务系统进行防护。
●可视化：
面对新的安全挑战，迪普科技认为，可视化是安全防护的基本要素，可以帮助用户及时发现安全问题，也是对安全防护效果及系统整体安全状况的直观体现。通过迪普科技下一代防火墙，可以帮助用户站在业务系统的运维和管理角度，直观的了解网络中的安全威胁趋势、攻击源、攻击手段、系统安全脆弱点以及安全设备的实际防护效果，帮助用户预判系统安全脆弱点并提前实施防御措施。同时，结合态势感知平台，通过大数据关联分析筛选，可直观展示防火墙与其他安全产品的防护状态，做到对安全威胁的事前预测、事中防护、事后溯源。
●虚拟化：
云计算作为主要的发展趋势之一，近年来发展非常快，而下一代防火墙是相对比较融合性的产品。朱晓康谈到，虚拟化能力一直是迪普科技安全产品的特色。迪普科技是业界首个提出以硬件形态实现云安全解决方案的厂商，通过独创的VSM(Virtual Switching Matrix，虚拟交换矩阵)技术将多台独立硬件安全设备虚拟成一台安全设备，再将虚拟化后的安全设备虚拟化成多个独立运行的虚拟安全系统，构建大规模的云安全资源池。同时为适应云计算的环境，迪普科技下一代防火墙还支持VXLAN、EVPN等网络特性，可以十分方便的实现云计算中虚机感知、租户隔离的安全要求，并且可以与OpenStack云管理平台进行对接，有效解决了云计算环境下的安全问题和管理问题。
●协同
协同联动近年来不断被提及，而在下一代防火墙中，协同也不再仅仅是一个概念性话题。安全产品已经不再是孤立存在、单打独斗的与攻击抗衡，下一代防火墙通常会与IT系统中的其它安全防御系统构建协同的工作机制面对。朱晓康介绍称，迪普科技的愿景就是“让网络更简单、智能、安全”，因此产品线非常广泛，覆盖了安全、网络和应用交付领域，不仅有NGFW、IPS、DDoS、WAF、流控审计、漏洞扫描等传统意义上的安全产品，还有安全威胁态势感知、负载均衡、自安全网络等多种产品及解决方案，通过多产品间的数据实时共享和策略协同响应，构建了一套有“思维能力”的安全防御系统，打破了传统安全架构中各种安全设备独立运作、单点防护的局限性，构建了动态、主动的安全防御体系。
威胁情报规模化管理是NGFW的主要功能之一，根据朱晓康介绍，迪普科技产品线非常丰富，各类产品广泛应用于运营商、政府、电力、能源、金融、交通、教育、医疗、大企业等各行各业，并且部署在运营商城域网、电子政务骨干网、教育城域网等核心网络节点，对于各行业的应用理解深刻，在威胁情报方面具备深厚的积累。
另一方面，迪普科技也从各大合作伙伴、国内外安全组织等机构中得到共享的漏洞信息、漏洞预警、威胁通告等情报信息。通过上述途径获取到数据源后，迪普科技采用智能关联算法，从大量的日志数据中分析出攻击事件，并从中分析出有组织有目的的定向性黑客攻击行为，通过对攻击源建立黑客画像模型，能精确、持续的识别出高危IP，对黑客工具、攻击手法、攻击过程、攻击范围等多维度分析，对特定黑客的来源进行分析识别，展现攻击者IP的地理分布、威胁分布、趋势情况等分析数据。
直面恶意软件
恶意软件是近期企业面临的较大的问题，在对恶意软件的管控方面迪普科技下一代防火墙可以实现恶意软件的检测与防护。迪普科技安全研究院专家团队实时跟踪最新安全威胁，将发现最新的安全威胁特征在下一代防火墙上进行更新，确保设备具备安全防护能力，防火墙在软件下载阶段就会对软件的安全性进行检测，第一时间发现恶意软件;对于未知恶意软件，迪普科技将下一代防火墙与安全威胁态势感知平台进行联动，通过大数据关联分析、攻击路径还原、黑客画像、威胁情报等技术实现对攻击的提前预测，从而实现对于恶意软件的有效防护。
多层面解读迪普科技几大“杀手锏”
目前，下一代防火墙市场并不缺少产品，那迪普科技的下一代防火墙产品又有哪些杀手锏使迪普科技的NGFW产品得以获得一席之地?朱晓康从产品功能和产品形态两个维度进行了解读。
产品功能层面：像安全策略收紧和冗余分析，可实现防火墙策略自动部署和深度调优;一键式故障排查智能化运维特性;安全虚拟化能力、自服务能力、威胁溯源、动态防护、威胁可视化等特色功能，这些功能都是实实在在可以帮助用户进行更好的安全运维。
产品形态层面：迪普科技除了传统的盒式下一代防火墙之外，还提供了分布式机框设备。迪普科技的机框式设备可以以独立的硬件板卡提供下一代防火墙的各种功能，性能和功能可以灵活的扩展，功能的丰富不会造成性能的下降，因此从某种意义上来说，这种机框式设备才是真正的下一代防火墙。
直面挑战 满足安全需求
采访到最后，朱晓康也向我们简单的介绍了当前的网络安全发展趋势，他认为当前的网络安全形势与以往相比发生了很大的变化，主要面临以下四个方面的挑战：
1、云计算环境下的虚机防护、租户隔离、安全虚拟化能力有待提升;
2、如何从单点的、碎片化的日志及特征分析转为通过大数据的关联行为分析;
3、针对新威胁、新攻击类型如何提前预判并做防护;
4、在带宽越来越高、攻击流量越来越大的情况下，安全产品必须具备网络级性能，不能成为瓶颈。
朱晓康表示迪普科技包括下一代防火墙在内的所有安全产品设计及规划都是围绕这几方面进行，从而满足新形势下的安全需求。
