防火墻作為一款歷史悠久的經(jīng)典產(chǎn)品，在 IP/ 端口的網(wǎng)絡(luò)時(shí)代，發(fā)揮了巨大的作用， 合
的分隔了安全域， 有效的阻止了外部的網(wǎng)絡(luò)攻擊。然而面對(duì)網(wǎng)絡(luò)應(yīng)用的高速發(fā)展以及網(wǎng)絡(luò)
劃的復(fù)雜化，傳統(tǒng)防火墻顯得力不從心。
對(duì)于使用僵尸網(wǎng)絡(luò)等傳播方式的威脅， 第一代防火墻基本上是看不到的。隨著面向服務(wù)
架構(gòu)和Web 2.0 使用的增加，更多的通信通過(guò)更少的端口 ( 如 HTTP 和 HTTPS) 和使用更
的協(xié)議傳輸，這意味著基于端口 / 協(xié)議的政策已經(jīng)變得不太合適和不太有效。深度包檢測(cè)
侵防御系統(tǒng) (IPS) 的確是檢查針對(duì)沒(méi)有打補(bǔ)丁的操作系統(tǒng)和軟件的已知攻擊方法，但不能
效地識(shí)別和阻止應(yīng)用程序的濫用，更不要說(shuō)應(yīng)用程序中的特殊性了。
Gartner 在 2009 年發(fā)布了一份名為《 Defining the Next-GenerationFirewall》， 將下一代
火墻(NGFW)定義為在不同信任級(jí)別的網(wǎng)絡(luò)之間實(shí)時(shí)執(zhí)行網(wǎng)絡(luò)安全政策的聯(lián)機(jī)控制。
tner 使用“下一代防火墻” 這個(gè)術(shù)語(yǔ)來(lái)說(shuō)明防火墻在應(yīng)對(duì)業(yè)務(wù)流程使用IT 的方式和威脅
圖入侵業(yè)務(wù)系統(tǒng)的方式發(fā)生變化時(shí)應(yīng)采取的必要的演進(jìn)。
根據(jù) Gartner 的理論， NGFW 應(yīng)該是一個(gè)線(xiàn)速（ wire-speed ）網(wǎng)絡(luò)安全處理平臺(tái)， 至少應(yīng)
具備以下幾個(gè)屬性：
1 、聯(lián)機(jī) “bump-in-the-wire ” 配置，不中斷網(wǎng)絡(luò)運(yùn)行。
2 、發(fā)揮網(wǎng)絡(luò)傳輸流檢查和網(wǎng)絡(luò)安全政策執(zhí)行平臺(tái)的作用，至少具有以下特性：
（ 1 ）標(biāo)準(zhǔn)的第一代防火墻能力：濾、網(wǎng)絡(luò)地址轉(zhuǎn)換 (NAT) 、狀態(tài)性協(xié)議檢測(cè)、 VPN
等。
（ 2 ）集成的而非僅僅共處一個(gè)位置的網(wǎng)絡(luò)入侵檢測(cè)：支持面向安全漏洞的特征碼和面
威脅的特征碼。 IPS 與防火墻的互動(dòng)效果應(yīng)當(dāng)大于這兩部分效果的總和。例如提供防火墻
則來(lái)阻止某個(gè)地址不斷向 IPS 加載惡意傳輸流。 這個(gè)例子說(shuō)明， 在 NGFW 中，應(yīng)該由防火墻
立關(guān)聯(lián)， 而不是操作人員去跨控制臺(tái)部署解決方案。集成具有高質(zhì)量的 IPS 引擎和特征碼，
GFW 的一個(gè)主要特征。
（ 3 ）應(yīng)用意識(shí)和全棧可見(jiàn)性：識(shí)別應(yīng)用和在應(yīng)用層上執(zhí)行獨(dú)立于端口和協(xié)議，而不是
據(jù)純端口、 純協(xié)議和純服務(wù)的網(wǎng)絡(luò)安全政策。 例子包括允許使用Skype， 但關(guān)閉 Skype 中的
件共享或始終阻止 GoToMyPC 。

（ 4）額外的防火墻智能：防火墻收集外來(lái)信息來(lái)做出更好的阻止決定或建立優(yōu)化的阻
止規(guī)則庫(kù)。例子包括利用目錄集成將阻止行為與用戶(hù)身份綁在一起， 或建立地址的黑白名單。
Gartner 認(rèn)為，隨著防火墻和IPS 更新周期的自然到來(lái)，或者隨著帶寬需求的增加和成功
的攻擊，促使更新防火墻，大企業(yè)將用 NGFW替換已有的防火墻。不斷變化的威脅環(huán)境，以
及不斷變化的業(yè)務(wù)和 IT流程將促使網(wǎng)絡(luò)安全經(jīng)理在他們的下一個(gè)防火墻 /IPS更新周期時(shí)尋找
NGFW 。
Gartner 預(yù)計(jì)到2014 年底，用戶(hù)采購(gòu)防火墻的比例將增加到占安裝量的 35%， 60%新購(gòu)
買(mǎi)的防火墻將是NGFW 。