企業(yè)需要更加智能的方式去進(jìn)行威脅檢測(cè)，在不影響企業(yè)正常業(yè)務(wù)的同時(shí)，能主動(dòng)感知環(huán)境和威脅，從而針對(duì)性地進(jìn)行防御，并且能夠進(jìn)行實(shí)時(shí)性的動(dòng)態(tài)調(diào)整、優(yōu)化。那么，NGFW如何具有一個(gè)智能的大腦去實(shí)現(xiàn)這種主動(dòng)防御，就是防火墻開(kāi)發(fā)者要思考的問(wèn)題了。
華為NGFW：基于主動(dòng)感知的威脅防御技術(shù)華為不僅實(shí)現(xiàn)了防火墻和IPS的深度集成，將病毒防護(hù)（AV，Anti-Virus）和內(nèi)容過(guò)濾功能也深度集成到了NGFW中。應(yīng)用特征、IPS特征、AV特征采用同樣的PCREX語(yǔ)言進(jìn)行描述，實(shí)現(xiàn)了三位一體的防護(hù)。同時(shí)，華為NGFW還實(shí)現(xiàn)了真正意義上的主動(dòng)防御，這主要表現(xiàn)在兩點(diǎn)上：
對(duì)現(xiàn)網(wǎng)應(yīng)用進(jìn)行模擬漏洞掃描：
華為NGFW首先會(huì)學(xué)習(xí)現(xiàn)網(wǎng)的應(yīng)用，同時(shí)針對(duì)性地開(kāi)啟應(yīng)用漏洞掃描器，再根據(jù)掃描結(jié)果，進(jìn)行主動(dòng)的防御部署，這種方式不僅全面防御攻擊入侵行為，也可以最大程度保障企業(yè)業(yè)務(wù)不受影響；模擬入侵，反向生成行為白名單策略：
華為NGFW可以通過(guò)在一定程度上模擬黑客的一些行為，例如對(duì)用戶(hù)名或密碼進(jìn)行字符長(zhǎng)度探測(cè)，了解產(chǎn)生溢出的邊界長(zhǎng)度，從而反向生成合法長(zhǎng)度范圍之內(nèi)的行為白名單策略，將真正的非法入侵行為更加準(zhǔn)確地阻擋在防火墻之外。當(dāng)然，這種模擬入侵只是一種“藍(lán)軍模式”，所以對(duì)尺寸設(shè)定了有效的把握，不會(huì)為企業(yè)實(shí)際業(yè)務(wù)帶來(lái)絲毫的損失和破壞。
此外，華為利用業(yè)界最全的沙箱——PE沙箱、Web沙箱、手機(jī)沙箱，建立安全信譽(yù)體系。網(wǎng)關(guān)受益于安全信譽(yù)，能夠及時(shí)發(fā)現(xiàn)利用零日漏洞發(fā)起的攻擊。
挑戰(zhàn)三：傳統(tǒng)策略部署方式，增加大量管理成本
NGFW的防御從網(wǎng)絡(luò)層上升到了應(yīng)用層，但面向數(shù)以千計(jì)的應(yīng)用和數(shù)以萬(wàn)計(jì)的用戶(hù)進(jìn)行策略部署的時(shí)候，如果還沿用傳統(tǒng)的被動(dòng)部署方式，那部署難度將會(huì)非常高。
首先，對(duì)于身份權(quán)限的檢測(cè)，隨著企業(yè)人員的增減、權(quán)限變更，在一定時(shí)間之后，防火墻將會(huì)因?yàn)榇罅恐貜?fù)、無(wú)效的策略變得笨重、低效。一個(gè)中型企業(yè)防火墻策略通常都在3000～5000條左右，一般每季度或每半年都會(huì)進(jìn)行一次策略可用性的巡檢，可想而知，對(duì)于IT管理員來(lái)說(shuō)，如果是人工去做將會(huì)是多大的災(zāi)難。
同時(shí)，面向數(shù)以千計(jì)的應(yīng)用，如果每次配置的時(shí)候，IT管理員都要被動(dòng)地去學(xué)習(xí)現(xiàn)網(wǎng)應(yīng)用類(lèi)型、掌握應(yīng)用風(fēng)險(xiǎn)才能部署策略的話(huà)，IT管理員需要先向應(yīng)用開(kāi)發(fā)者了解應(yīng)用及特征，甚至要通過(guò)抓包了解應(yīng)用的有效性（還有多少人在用？哪些人在用？），最后IT管理員還要通過(guò)學(xué)習(xí)知識(shí)，掌握該應(yīng)用的風(fēng)險(xiǎn)等等，那么整個(gè)防火墻的部署過(guò)程將會(huì)長(zhǎng)達(dá)數(shù)周，甚至數(shù)月。
面對(duì)日益惡劣的安全環(huán)境，企業(yè)在遵循最小授權(quán)原則的同時(shí)，需要引入更加主動(dòng)、更加敏捷的管理方式，才能保證安全。
如何有效地做到這一點(diǎn)，對(duì)NGFW的管理和使用提出了新的挑戰(zhàn)。
華為NGFW：敏捷的管理，讓企業(yè)輕松部署攻擊無(wú)孔不入，企業(yè)在遵循“最小授權(quán)原則”的同時(shí)，需要更加主動(dòng)和持續(xù)的方式調(diào)整安全策略，確保合法的訪問(wèn)通道不會(huì)被攻擊所利用。遺憾的是，在企業(yè)對(duì)NGFW的實(shí)際使用中很難做到這一點(diǎn)。通過(guò)客戶(hù)調(diào)研和第三方分析，華為發(fā)現(xiàn)CIO在管理上對(duì)防火墻最大的3個(gè)關(guān)注點(diǎn)。
· 安全策略如何實(shí)施？
· 基于應(yīng)用的訪問(wèn)策略是否正確？
· 如何優(yōu)化防火墻策略級(jí)？
企業(yè)的傳統(tǒng)網(wǎng)關(guān)上遺留了大量的基于端口的防護(hù)策略，需要將這些策略?xún)?yōu)化為基于應(yīng)用的防護(hù)策略。市場(chǎng)上的一些NGFW產(chǎn)品，僅提供有限的報(bào)表作為策略?xún)?yōu)化的參考，優(yōu)化工作還是依賴(lài)于安全專(zhuān)家的經(jīng)驗(yàn)和投入。盡管優(yōu)化和策略的有效性驗(yàn)證耗費(fèi)了巨大的時(shí)間和人力，策略的準(zhǔn)確性還是難以保證。因此，很多企業(yè)即使采購(gòu)了NGFW產(chǎn)品，依然部署著原有基于端口的策略，這無(wú)疑隱藏著巨大的風(fēng)險(xiǎn)。
華為NGFW的Smart Policy技術(shù)，采用人工智能手段幫助安全人員維護(hù)安全策略�；谑褂脠�(chǎng)景提供基礎(chǔ)模板，實(shí)現(xiàn)策略快速部署；能根據(jù)網(wǎng)絡(luò)流量環(huán)境給出建議的安全策略，幫助安全人員準(zhǔn)確、快速地完成策略?xún)?yōu)化；識(shí)別出冗余和失效的策略，幫助安全人員精減無(wú)效策略，簡(jiǎn)化管理。通過(guò)華為的Smart Policy技術(shù)，安全管理員無(wú)需過(guò)多的技能和時(shí)間就能做好管理，降低了安全設(shè)備的TCO。
華為的NGFW產(chǎn)品解決了ICT新形勢(shì)下企業(yè)網(wǎng)絡(luò)安全對(duì)訪問(wèn)控制、威脅防護(hù)、可管理性的新訴求。建立了一個(gè)安全、友好、可靠的威脅防御體系，成為企業(yè)網(wǎng)絡(luò)新時(shí)代的安全守護(hù)神。
