1.1傳統(tǒng)防火墻 

在網(wǎng)絡(luò)安全的實(shí)際應(yīng)用中，單一的安全防護(hù)技術(shù)并不足以構(gòu)筑一個(gè)安全的網(wǎng)絡(luò)安全體系，多種技術(shù)的綜合應(yīng)用才能夠?qū)踩L(fēng)險(xiǎn)控制在盡量小的范圍內(nèi)。一般而言，安全防范體系具體實(shí)施的第一項(xiàng)內(nèi)容就是在內(nèi)部網(wǎng)和外部網(wǎng)之間構(gòu)筑一道防線，以抵御來(lái)自外部的絕大多數(shù)攻擊，完成這項(xiàng)任務(wù)的網(wǎng)絡(luò)邊防產(chǎn)品我們稱其為防火墻。 類似于建筑大廈中用于防止火災(zāi)蔓延的隔斷墻，Internet 防火墻是一個(gè)或一組實(shí)施訪問(wèn)控制策略的系統(tǒng)，它監(jiān)控可信任網(wǎng)絡(luò)（相當(dāng)于內(nèi)部網(wǎng)絡(luò)）和不可信任網(wǎng)絡(luò)（相當(dāng)于外部網(wǎng)絡(luò)）之間的訪問(wèn)通道，以防止外部網(wǎng)絡(luò)的危險(xiǎn)蔓延到內(nèi)部網(wǎng)絡(luò)上。 防火墻是一類防范措施的總稱，它使得內(nèi)部網(wǎng)絡(luò)與Internet之間或者與其他外部網(wǎng)絡(luò)互相隔離、限制網(wǎng)絡(luò)互訪用來(lái)保護(hù)內(nèi)部網(wǎng)絡(luò)。防火墻簡(jiǎn)單的可以只用路由器實(shí)現(xiàn)，復(fù)雜的可以用主機(jī)甚至一個(gè)子網(wǎng)來(lái)實(shí)現(xiàn)。設(shè)置防火墻目的都是為了在內(nèi)部網(wǎng)與外部網(wǎng)之間設(shè)立唯一的通道，簡(jiǎn)化網(wǎng)絡(luò)的安全管理。 傳統(tǒng)防火墻可以分為四種類型，分別為濾、應(yīng)用級(jí)網(wǎng)關(guān)、代理服務(wù)器和狀態(tài)檢測(cè)?？傮w的功能是 防火墻自誕生以來(lái)，在網(wǎng)絡(luò)安全防御系統(tǒng)中就建立了的地位。作為邊界網(wǎng)絡(luò)安全的第一道關(guān)卡防火墻經(jīng)歷了濾技術(shù)、代理技術(shù)和狀態(tài)監(jiān)視技術(shù)的技術(shù)革命，通過(guò)ACL訪問(wèn)控制策略、NAT地址轉(zhuǎn)換策略以及抗網(wǎng)絡(luò)攻擊策略有效的阻斷了一切未被明確允許的，保護(hù)了網(wǎng)絡(luò)的安全，過(guò)濾不安全服務(wù)、阻止非法用戶和控制對(duì)特殊站點(diǎn)的訪問(wèn)、提供監(jiān)視Internet安全和預(yù)警的方便端點(diǎn)。 

狀態(tài)檢測(cè)防火墻是應(yīng)用Zui廣泛的防火墻產(chǎn)品，但是它們面對(duì)新一代的安全威脅的作用越來(lái)越小。狀態(tài)檢測(cè)防火墻是通過(guò)跟蹤會(huì)話的發(fā)起和狀態(tài)來(lái)工作的。狀態(tài)檢測(cè)防火墻通過(guò)檢查

數(shù)據(jù)包頭，分析和監(jiān)視網(wǎng)絡(luò)層(L3)和協(xié)議層(L4)，基于一套用戶自定義的防火墻策略來(lái)允許、拒絕或轉(zhuǎn)發(fā)網(wǎng)絡(luò)流量，然而隨著網(wǎng)絡(luò)的發(fā)展，黑客已經(jīng)研究出大量的方法來(lái)繞過(guò)防火墻策略。 如今黑客能利用傳統(tǒng)防火墻開放的端口，巧妙躲過(guò)網(wǎng)絡(luò)防火墻的監(jiān)測(cè)，直接針對(duì)目標(biāo)應(yīng)用程序。他們想出復(fù)雜的攻擊方法，能夠繞過(guò)傳統(tǒng)網(wǎng)絡(luò)防火墻。傳統(tǒng)網(wǎng)絡(luò)防火墻存在著以下不足之處：1、無(wú)法檢測(cè)加密的Web流量;2、普通應(yīng)用程序加密后，也能輕易躲過(guò)防火墻的檢測(cè);3、對(duì)于Web應(yīng)用程序防范能力不足;4、應(yīng)用防護(hù)特性只適用于簡(jiǎn)單情況;5、無(wú)法擴(kuò)展深度檢測(cè)功能。 

1.2網(wǎng)絡(luò)的巨大變革 

以太網(wǎng)標(biāo)準(zhǔn)現(xiàn)在已經(jīng)由萬(wàn)兆開始向40G/100G邁進(jìn)，網(wǎng)絡(luò)帶寬的增長(zhǎng)十分迅猛。另外，數(shù)據(jù)量也在成爆炸性增長(zhǎng)。據(jù)統(tǒng)計(jì)，我國(guó)各類數(shù)據(jù)中心和機(jī)房總量已經(jīng)達(dá)到50余萬(wàn)個(gè)。 無(wú)論是帶寬增長(zhǎng)還是數(shù)據(jù)增長(zhǎng)，都對(duì)網(wǎng)關(guān)安全產(chǎn)品的性能和功能提出了新的要求。網(wǎng)絡(luò)環(huán)境趨于復(fù)雜，致使用戶需要尋找新的安全解決方案來(lái)滿足除了抵擋外部攻擊以外的安全需求。 以往，網(wǎng)絡(luò)攻擊手段基本停留在第三層的網(wǎng)絡(luò)層，而隨著Web2.0時(shí)代的到來(lái)，大量的應(yīng)用程序都建立在了http和https等協(xié)議之上，傳統(tǒng)的防火墻對(duì)應(yīng)用層望塵莫及?；诰W(wǎng)絡(luò)層的操作就意味著傳統(tǒng)防火墻只能根據(jù)與數(shù)據(jù)包源地址和目標(biāo)地址有關(guān)的信息來(lái)檢測(cè)流量，但是對(duì)于上述的http和https流量卻是無(wú)能為力。雖然現(xiàn)在有針對(duì)應(yīng)用層的IPS設(shè)備，但是IPS卻無(wú)法識(shí)別具體的應(yīng)用，達(dá)不到目前用戶所需的精細(xì)力度的應(yīng)用層控制，因而也無(wú)法對(duì)特定應(yīng)用進(jìn)行防護(hù)。 自防火墻的概念誕生以來(lái)已經(jīng)經(jīng)過(guò)了十幾年的發(fā)展，防火墻的功能并沒(méi)有變革性的改進(jìn)，相比網(wǎng)絡(luò)的飛速發(fā)展，防火墻的功能、性能與網(wǎng)絡(luò)的飛速前進(jìn)并不匹配，網(wǎng)絡(luò)環(huán)境的新需求迫使防火墻進(jìn)行根本性的變革，因而催生出革命性的防火墻產(chǎn)品—下一代防火墻。 

1.3下一代防火墻 

防火墻作為一款歷史悠久的經(jīng)典產(chǎn)品，在IP/端口的網(wǎng)絡(luò)時(shí)代，發(fā)揮了巨大的作用，合理的分隔了安全域，有效的阻止了外部的網(wǎng)絡(luò)攻擊。然而面對(duì)網(wǎng)絡(luò)應(yīng)用的高速發(fā)展以及網(wǎng)絡(luò)規(guī)劃的復(fù)雜化，傳統(tǒng)防火墻顯得力不從心。 對(duì)于使用僵尸網(wǎng)絡(luò)等傳播方式的威脅，第一代防火墻基本上是看不到的。隨著面向服務(wù)的架構(gòu)和Web 2.0使用的增加，更多的通信通過(guò)更少的端口(如HTTP和HTTPS)和使用更少的協(xié)議傳輸，這意味著基于端口/協(xié)議的政策已經(jīng)變得不太合適和不太有效。深度包檢測(cè)入侵防御系統(tǒng)(IPS)的確是檢查針對(duì)沒(méi)有打補(bǔ)丁的操作系統(tǒng)和軟件的已知攻擊方法，但不能有效地識(shí)別和阻止應(yīng)用程序的濫用，更不要說(shuō)應(yīng)用程序中的特殊性了。 Gartner在2009年發(fā)布了一份名為《Defining the Next-GenerationFirewall》，將下一代防火墻(NGFW)定義為在不同信任級(jí)別的網(wǎng)絡(luò)之間實(shí)時(shí)執(zhí)行網(wǎng)絡(luò)安全政策的聯(lián)機(jī)控制。Gartner使用“下一代防火墻”這個(gè)術(shù)語(yǔ)來(lái)說(shuō)明防火墻在應(yīng)對(duì)業(yè)務(wù)流程使用IT的方式和威脅試圖入侵業(yè)務(wù)系統(tǒng)的方式發(fā)生變化時(shí)應(yīng)采取的必要的演進(jìn)。 根據(jù)Gartner的理論，NGFW 應(yīng)該是一個(gè)線速（wire-speed）網(wǎng)絡(luò)安全處理平臺(tái)，至少應(yīng)當(dāng)具備以下幾個(gè)屬性： 1、聯(lián)機(jī)“bump-in-the-wire”配置，不中斷網(wǎng)絡(luò)運(yùn)行。 2、發(fā)揮網(wǎng)絡(luò)傳輸流檢查和網(wǎng)絡(luò)安全政策執(zhí)行平臺(tái)的作用，至少具有以下特性： （1）標(biāo)準(zhǔn)的第一代防火墻能力：濾、網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT)、狀態(tài)性協(xié)議檢測(cè)、VPN等等。 （2）集成的而非僅僅共處一個(gè)位置的網(wǎng)絡(luò)入侵檢測(cè)：支持面向安全漏洞的特征碼和面向威脅的特征碼。IPS與防火墻的互動(dòng)效果應(yīng)當(dāng)大于這兩部分效果的總和。例如提供防火墻規(guī)則來(lái)阻止某個(gè)地址不斷向IPS加載惡意傳輸流。這個(gè)例子說(shuō)明，在NGFW中，應(yīng)該由防火墻建立關(guān)聯(lián)，而不是操作人員去跨控制臺(tái)部署解決方案。集成具有高質(zhì)量的IPS引擎和特征碼，是NGFW的一個(gè)主要特征。 （3）應(yīng)用意識(shí)和全?？梢娦裕鹤R(shí)別應(yīng)用和在應(yīng)用層上執(zhí)行獨(dú)立于端口和協(xié)議，而不是根據(jù)純端口、純協(xié)議和純服務(wù)的網(wǎng)絡(luò)安全政策。例子包括允許使用Skype，但關(guān)閉Skype中的文件共享或始終阻止GoToMyPC。 

（4）額外的防火墻智能：防火墻收集外來(lái)信息來(lái)做出更好的阻止決定或建立優(yōu)化的阻止規(guī)則庫(kù)。例子包括利用目錄集成將阻止行為與用戶身份綁在一起，或建立地址的黑白名單。 Gartner認(rèn)為，隨著防火墻和IPS更新周期的自然到來(lái)，或者隨著帶寬需求的增加和成功的攻擊，促使更新防火墻，大企業(yè)將用NGFW替換已有的防火墻。不斷變化的威脅環(huán)境，以及不斷變化的業(yè)務(wù)和IT流程將促使網(wǎng)絡(luò)安全經(jīng)理在他們的下一個(gè)防火墻/IPS更新周期時(shí)尋找NGFW。 Gartner預(yù)計(jì)到2014年底，用戶采購(gòu)防火墻的比例將增加到占安裝量的35%，60%新購(gòu)買的防火墻將是NGFW。 

1.5下一代防火墻的革新 

應(yīng)用識(shí)別是防火墻未來(lái)發(fā)展的重要技術(shù)方向，基于應(yīng)用的攻擊不斷變化，也要求防御技術(shù)必須有所提升。對(duì)于這樣的變化，傳統(tǒng)防火墻只能望而興嘆。因?yàn)樗趹?yīng)用層無(wú)法起到良好的防御效果，而IPS僅關(guān)注應(yīng)用層檢測(cè)，防火墻功能較弱，這也是有些用戶把IPS當(dāng)做IDS使用的一個(gè)原因。UTM則是一個(gè)集大成的產(chǎn)品，能夠很好地融合各種安全技術(shù)。 下一代防火墻在性能、安全性、易用性、可管理性等方面有了質(zhì)的飛躍，滿足用戶新的防御和管理需求。相比傳統(tǒng)防火墻和UTM，下一代防火墻與它們的主要區(qū)別在于： 1）傳統(tǒng)防火墻局限于IP地址、接口層面的安全防護(hù)。從基于簡(jiǎn)單濾技術(shù)防火墻到基于狀態(tài)檢測(cè)技術(shù)的防火墻，重點(diǎn)的防護(hù)還僅僅是停留在OSI模型的四層以內(nèi)； 2）UTM是在“瘦防火墻”基礎(chǔ)上發(fā)展而來(lái)的，集防火墻、IPS、VPN等安全功能于一體的集成安全網(wǎng)關(guān)，其不足之處在于處理機(jī)制煩瑣，效率低下，內(nèi)部安全模塊間缺少智能關(guān)聯(lián)； 

3）下一代防火墻除了具備傳統(tǒng)防火墻功能外，更關(guān)注針對(duì)應(yīng)用層面的安全防護(hù)。實(shí)時(shí)性、準(zhǔn)確性、高效性也成為下一代防火墻的主要特點(diǎn)。它會(huì)根據(jù)深度包檢測(cè)引擎的檢測(cè)結(jié)果，自動(dòng)識(shí)別到該流量在應(yīng)用層執(zhí)行的安全策略。流量控制需要更“精細(xì)化”的管理，不僅僅能夠?qū)Ξ惓９袅髁窟M(jìn)行阻止或允許動(dòng)作，更可用來(lái)進(jìn)行基于應(yīng)用層的QoS控制，控制粒度更為細(xì)致。例如，可允許用戶使用Netmeeting會(huì)議，但禁止其白板功能等，檢測(cè)順序也更為高效。設(shè)備對(duì)數(shù)據(jù)流僅需進(jìn)行一次檢測(cè)，IPS、FW模塊并行進(jìn)行識(shí)別判斷。 

2WINFUN下一代防火墻方案 

2.1系統(tǒng)簡(jiǎn)介 

基于對(duì)下一代防火墻技術(shù)的深入研究，以及多年來(lái)對(duì)我國(guó)網(wǎng)絡(luò)特征的準(zhǔn)確把握，WINFUN為中國(guó)用戶推出了革命性的WINFUN下一代防火墻產(chǎn)品。 WINFUN下一代防火墻面向應(yīng)用層設(shè)計(jì)，建立并強(qiáng)制執(zhí)行基于身份的應(yīng)用使用策略。融合VPN技術(shù)；能夠識(shí)別用戶、應(yīng)用和內(nèi)容，能夠?qū)α髁繄?zhí)行入侵防御掃描，具備完整的安全防護(hù)能力。WINFUN下一代防火墻是針對(duì)當(dāng)今網(wǎng)絡(luò)特征的全方位網(wǎng)絡(luò)防護(hù)產(chǎn)品，F(xiàn)解決了傳統(tǒng)安全設(shè)備在應(yīng)用管控、應(yīng)用可視化、應(yīng)用內(nèi)容防護(hù)等方面的巨大不足，開啟了防火墻應(yīng)用的新篇章。 WINFUN下一代防火墻不但可以提供基礎(chǔ)網(wǎng)絡(luò)安全功能，如狀態(tài)檢測(cè)、VPN、抗DDoS、NAT等；還實(shí)現(xiàn)了統(tǒng)一的應(yīng)用安全防護(hù)，整合了多種檢測(cè)技術(shù)，有效應(yīng)對(duì)系統(tǒng)漏洞、Web入侵、非法訪問(wèn)、蠕蟲病毒、帶寬濫用、惡意代碼等網(wǎng)絡(luò)安全問(wèn)題，為不同規(guī)模的行業(yè)用戶提供細(xì)粒度的應(yīng)用內(nèi)容防護(hù)方案。 

2.2網(wǎng)絡(luò)部署 

WINFUN下一代防火墻可以替換傳統(tǒng)防火墻，部署在網(wǎng)關(guān)處。WINFUN下一代防火墻基于應(yīng)用層設(shè)計(jì)和開發(fā)的防火墻產(chǎn)品，擁有7層應(yīng)用層數(shù)據(jù)過(guò)濾的功能，同時(shí)具有VPN、防病毒及IPS入侵檢測(cè)的功能，并且保留了傳統(tǒng)防火墻的所有功能。 基于應(yīng)用的類型實(shí)現(xiàn)可視化管控。NG Firewall可以恢復(fù)安全設(shè)備對(duì)應(yīng)用的可視化感知，對(duì)同一端口上運(yùn)行的不同應(yīng)用類型進(jìn)行區(qū)分，在根據(jù)客戶需要對(duì)同一端口的不同應(yīng)用進(jìn)行管理。 

WINFUN下一代防火墻可以提供更加完整的應(yīng)用防護(hù)功能：終端防護(hù)(AV、Web安全過(guò)濾等)、服務(wù)器防護(hù)(IPS、WAF、DDoS防護(hù)等)。其中WAF(web application firewall)的各種功能包括了：對(duì)弱密碼的保護(hù)、對(duì)數(shù)據(jù)注入攻擊的保護(hù)、服務(wù)器信息隱藏等。 WINFUN下一代防火墻能夠基于應(yīng)用的內(nèi)容實(shí)現(xiàn)更的安全防護(hù)。她既能讓用戶訪問(wèn)各種應(yīng)用，又能對(duì)其中的內(nèi)容進(jìn)行信息過(guò)濾和危險(xiǎn)流量攔截，還可以通過(guò)關(guān)聯(lián)分析技術(shù)識(shí)別出未知威脅，并及時(shí)處理。 在飛速發(fā)展的網(wǎng)絡(luò)環(huán)境下，WINFUN下一代防火墻實(shí)現(xiàn)了對(duì)應(yīng)用層的保護(hù)。用戶可以看見網(wǎng)絡(luò)管道中跑著那些應(yīng)用，有哪些內(nèi)容，存在哪些風(fēng)險(xiǎn)，并且均可以一一進(jìn)行控制和記錄。WINFUN下一代防火墻通過(guò)多核并行計(jì)算技術(shù)、數(shù)據(jù)包一次掃描技術(shù)、深度內(nèi)容識(shí)別及快速還原等技術(shù)，使其在全功能開啟后Zui高性能依然非常強(qiáng)勁。