1.1傳統(tǒng)防火墻 

在網(wǎng)絡(luò)安全的實際應(yīng)用中，單一的安全防護(hù)技術(shù)并不足以構(gòu)筑一個安全的網(wǎng)絡(luò)安全體系，多種技術(shù)的綜合應(yīng)用才能夠?qū)踩L(fēng)險控制在盡量小的范圍內(nèi)。一般而言，安全防范體系具體實施的第一項內(nèi)容就是在內(nèi)部網(wǎng)和外部網(wǎng)之間構(gòu)筑一道防線，以抵御來自外部的絕大多數(shù)攻擊，完成這項任務(wù)的網(wǎng)絡(luò)邊防產(chǎn)品我們稱其為防火墻。 類似于建筑大廈中用于防止火災(zāi)蔓延的隔斷墻，Internet 防火墻是一個或一組實施訪問控制策略的系統(tǒng)，它監(jiān)控可信任網(wǎng)絡(luò)（相當(dāng)于內(nèi)部網(wǎng)絡(luò)）和不可信任網(wǎng)絡(luò)（相當(dāng)于外部網(wǎng)絡(luò)）之間的訪問通道，以防止外部網(wǎng)絡(luò)的危險蔓延到內(nèi)部網(wǎng)絡(luò)上。 防火墻是一類防范措施的總稱，它使得內(nèi)部網(wǎng)絡(luò)與Internet之間或者與其他外部網(wǎng)絡(luò)互相隔離、限制網(wǎng)絡(luò)互訪用來保護(hù)內(nèi)部網(wǎng)絡(luò)。防火墻簡單的可以只用路由器實現(xiàn)，復(fù)雜的可以用主機(jī)甚至一個子網(wǎng)來實現(xiàn)。設(shè)置防火墻目的都是為了在內(nèi)部網(wǎng)與外部網(wǎng)之間設(shè)立唯一的通道，簡化網(wǎng)絡(luò)的安全管理。 傳統(tǒng)防火墻可以分為四種類型，分別為濾、應(yīng)用級網(wǎng)關(guān)、代理服務(wù)器和狀態(tài)檢測。總體的功能是 防火墻自誕生以來，在網(wǎng)絡(luò)安全防御系統(tǒng)中就建立了的地位。作為邊界網(wǎng)絡(luò)安全的第一道關(guān)卡防火墻經(jīng)歷了濾技術(shù)、代理技術(shù)和狀態(tài)監(jiān)視技術(shù)的技術(shù)革命，通過ACL訪問控制策略、NAT地址轉(zhuǎn)換策略以及抗網(wǎng)絡(luò)攻擊策略有效的阻斷了一切未被明確允許的，保護(hù)了網(wǎng)絡(luò)的安全，過濾不安全服務(wù)、阻止非法用戶和控制對特殊站點的訪問、提供監(jiān)視Internet安全和預(yù)警的方便端點。 

狀態(tài)檢測防火墻是應(yīng)用Zui廣泛的防火墻產(chǎn)品，但是它們面對新一代的安全威脅的作用越來越小。狀態(tài)檢測防火墻是通過跟蹤會話的發(fā)起和狀態(tài)來工作的。狀態(tài)檢測防火墻通過檢查

數(shù)據(jù)包頭，分析和監(jiān)視網(wǎng)絡(luò)層(L3)和協(xié)議層(L4)，基于一套用戶自定義的防火墻策略來允許、拒絕或轉(zhuǎn)發(fā)網(wǎng)絡(luò)流量，然而隨著網(wǎng)絡(luò)的發(fā)展，黑客已經(jīng)研究出大量的方法來繞過防火墻策略。 如今黑客能利用傳統(tǒng)防火墻開放的端口，巧妙躲過網(wǎng)絡(luò)防火墻的監(jiān)測，直接針對目標(biāo)應(yīng)用程序。他們想出復(fù)雜的攻擊方法，能夠繞過傳統(tǒng)網(wǎng)絡(luò)防火墻。傳統(tǒng)網(wǎng)絡(luò)防火墻存在著以下不足之處：1、無法檢測加密的Web流量;2、普通應(yīng)用程序加密后，也能輕易躲過防火墻的檢測;3、對于Web應(yīng)用程序防范能力不足;4、應(yīng)用防護(hù)特性只適用于簡單情況;5、無法擴(kuò)展深度檢測功能。 

1.2網(wǎng)絡(luò)的巨大變革 

以太網(wǎng)標(biāo)準(zhǔn)現(xiàn)在已經(jīng)由萬兆開始向40G/100G邁進(jìn)，網(wǎng)絡(luò)帶寬的增長十分迅猛。另外，數(shù)據(jù)量也在成爆炸性增長。據(jù)統(tǒng)計，我國各類數(shù)據(jù)中心和機(jī)房總量已經(jīng)達(dá)到50余萬個。 無論是帶寬增長還是數(shù)據(jù)增長，都對網(wǎng)關(guān)安全產(chǎn)品的性能和功能提出了新的要求。網(wǎng)絡(luò)環(huán)境趨于復(fù)雜，致使用戶需要尋找新的安全解決方案來滿足除了抵擋外部攻擊以外的安全需求。 以往，網(wǎng)絡(luò)攻擊手段基本停留在第三層的網(wǎng)絡(luò)層，而隨著Web2.0時代的到來，大量的應(yīng)用程序都建立在了http和https等協(xié)議之上，傳統(tǒng)的防火墻對應(yīng)用層望塵莫及。基于網(wǎng)絡(luò)層的操作就意味著傳統(tǒng)防火墻只能根據(jù)與數(shù)據(jù)包源地址和目標(biāo)地址有關(guān)的信息來檢測流量，但是對于上述的http和https流量卻是無能為力。雖然現(xiàn)在有針對應(yīng)用層的IPS設(shè)備，但是IPS卻無法識別具體的應(yīng)用，達(dá)不到目前用戶所需的精細(xì)力度的應(yīng)用層控制，因而也無法對特定應(yīng)用進(jìn)行防護(hù)。 自防火墻的概念誕生以來已經(jīng)經(jīng)過了十幾年的發(fā)展，防火墻的功能并沒有變革性的改進(jìn)，相比網(wǎng)絡(luò)的飛速發(fā)展，防火墻的功能、性能與網(wǎng)絡(luò)的飛速前進(jìn)并不匹配，網(wǎng)絡(luò)環(huán)境的新需求迫使防火墻進(jìn)行根本性的變革，因而催生出革命性的防火墻產(chǎn)品—下一代防火墻。 

1.3下一代防火墻 

防火墻作為一款歷史悠久的經(jīng)典產(chǎn)品，在IP/端口的網(wǎng)絡(luò)時代，發(fā)揮了巨大的作用，合理的分隔了安全域，有效的阻止了外部的網(wǎng)絡(luò)攻擊。然而面對網(wǎng)絡(luò)應(yīng)用的高速發(fā)展以及網(wǎng)絡(luò)規(guī)劃的復(fù)雜化，傳統(tǒng)防火墻顯得力不從心。 對于使用僵尸網(wǎng)絡(luò)等傳播方式的威脅，第一代防火墻基本上是看不到的。隨著面向服務(wù)的架構(gòu)和Web 2.0使用的增加，更多的通信通過更少的端口(如HTTP和HTTPS)和使用更少的協(xié)議傳輸，這意味著基于端口/協(xié)議的政策已經(jīng)變得不太合適和不太有效。深度包檢測入侵防御系統(tǒng)(IPS)的確是檢查針對沒有打補(bǔ)丁的操作系統(tǒng)和軟件的已知攻擊方法，但不能有效地識別和阻止應(yīng)用程序的濫用，更不要說應(yīng)用程序中的特殊性了。 Gartner在2009年發(fā)布了一份名為《Defining the Next-GenerationFirewall》，將下一代防火墻(NGFW)定義為在不同信任級別的網(wǎng)絡(luò)之間實時執(zhí)行網(wǎng)絡(luò)安全政策的聯(lián)機(jī)控制。Gartner使用“下一代防火墻”這個術(shù)語來說明防火墻在應(yīng)對業(yè)務(wù)流程使用IT的方式和威脅試圖入侵業(yè)務(wù)系統(tǒng)的方式發(fā)生變化時應(yīng)采取的必要的演進(jìn)。 根據(jù)Gartner的理論，NGFW 應(yīng)該是一個線速（wire-speed）網(wǎng)絡(luò)安全處理平臺，至少應(yīng)當(dāng)具備以下幾個屬性： 1、聯(lián)機(jī)“bump-in-the-wire”配置，不中斷網(wǎng)絡(luò)運(yùn)行。 2、發(fā)揮網(wǎng)絡(luò)傳輸流檢查和網(wǎng)絡(luò)安全政策執(zhí)行平臺的作用，至少具有以下特性： （1）標(biāo)準(zhǔn)的第一代防火墻能力：濾、網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT)、狀態(tài)性協(xié)議檢測、VPN等等。 （2）集成的而非僅僅共處一個位置的網(wǎng)絡(luò)入侵檢測：支持面向安全漏洞的特征碼和面向威脅的特征碼。IPS與防火墻的互動效果應(yīng)當(dāng)大于這兩部分效果的總和。例如提供防火墻規(guī)則來阻止某個地址不斷向IPS加載惡意傳輸流。這個例子說明，在NGFW中，應(yīng)該由防火墻建立關(guān)聯(lián)，而不是操作人員去跨控制臺部署解決方案。集成具有高質(zhì)量的IPS引擎和特征碼，是NGFW的一個主要特征。 （3）應(yīng)用意識和全?？梢娦裕鹤R別應(yīng)用和在應(yīng)用層上執(zhí)行獨立于端口和協(xié)議，而不是根據(jù)純端口、純協(xié)議和純服務(wù)的網(wǎng)絡(luò)安全政策。例子包括允許使用Skype，但關(guān)閉Skype中的文件共享或始終阻止GoToMyPC。 

（4）額外的防火墻智能：防火墻收集外來信息來做出更好的阻止決定或建立優(yōu)化的阻止規(guī)則庫。例子包括利用目錄集成將阻止行為與用戶身份綁在一起，或建立地址的黑白名單。 Gartner認(rèn)為，隨著防火墻和IPS更新周期的自然到來，或者隨著帶寬需求的增加和成功的攻擊，促使更新防火墻，大企業(yè)將用NGFW替換已有的防火墻。不斷變化的威脅環(huán)境，以及不斷變化的業(yè)務(wù)和IT流程將促使網(wǎng)絡(luò)安全經(jīng)理在他們的下一個防火墻/IPS更新周期時尋找NGFW。 Gartner預(yù)計到2014年底，用戶采購防火墻的比例將增加到占安裝量的35%，60%新購買的防火墻將是NGFW。 

1.5下一代防火墻的革新 

應(yīng)用識別是防火墻未來發(fā)展的重要技術(shù)方向，基于應(yīng)用的攻擊不斷變化，也要求防御技術(shù)必須有所提升。對于這樣的變化，傳統(tǒng)防火墻只能望而興嘆。因為它在應(yīng)用層無法起到良好的防御效果，而IPS僅關(guān)注應(yīng)用層檢測，防火墻功能較弱，這也是有些用戶把IPS當(dāng)做IDS使用的一個原因。UTM則是一個集大成的產(chǎn)品，能夠很好地融合各種安全技術(shù)。 下一代防火墻在性能、安全性、易用性、可管理性等方面有了質(zhì)的飛躍，滿足用戶新的防御和管理需求。相比傳統(tǒng)防火墻和UTM，下一代防火墻與它們的主要區(qū)別在于： 1）傳統(tǒng)防火墻局限于IP地址、接口層面的安全防護(hù)。從基于簡單濾技術(shù)防火墻到基于狀態(tài)檢測技術(shù)的防火墻，重點的防護(hù)還僅僅是停留在OSI模型的四層以內(nèi)； 2）UTM是在“瘦防火墻”基礎(chǔ)上發(fā)展而來的，集防火墻、IPS、VPN等安全功能于一體的集成安全網(wǎng)關(guān)，其不足之處在于處理機(jī)制煩瑣，效率低下，內(nèi)部安全模塊間缺少智能關(guān)聯(lián)； 

3）下一代防火墻除了具備傳統(tǒng)防火墻功能外，更關(guān)注針對應(yīng)用層面的安全防護(hù)。實時性、準(zhǔn)確性、高效性也成為下一代防火墻的主要特點。它會根據(jù)深度包檢測引擎的檢測結(jié)果，自動識別到該流量在應(yīng)用層執(zhí)行的安全策略。流量控制需要更“精細(xì)化”的管理，不僅僅能夠?qū)Ξ惓９袅髁窟M(jìn)行阻止或允許動作，更可用來進(jìn)行基于應(yīng)用層的QoS控制，控制粒度更為細(xì)致。例如，可允許用戶使用Netmeeting會議，但禁止其白板功能等，檢測順序也更為高效。設(shè)備對數(shù)據(jù)流僅需進(jìn)行一次檢測，IPS、FW模塊并行進(jìn)行識別判斷。 

2WINFUN下一代防火墻方案 

2.1系統(tǒng)簡介 

基于對下一代防火墻技術(shù)的深入研究，以及多年來對我國網(wǎng)絡(luò)特征的準(zhǔn)確把握，WINFUN為中國用戶推出了革命性的WINFUN下一代防火墻產(chǎn)品。 WINFUN下一代防火墻面向應(yīng)用層設(shè)計，建立并強(qiáng)制執(zhí)行基于身份的應(yīng)用使用策略。融合VPN技術(shù)；能夠識別用戶、應(yīng)用和內(nèi)容，能夠?qū)α髁繄?zhí)行入侵防御掃描，具備完整的安全防護(hù)能力。WINFUN下一代防火墻是針對當(dāng)今網(wǎng)絡(luò)特征的全方位網(wǎng)絡(luò)防護(hù)產(chǎn)品，F(xiàn)解決了傳統(tǒng)安全設(shè)備在應(yīng)用管控、應(yīng)用可視化、應(yīng)用內(nèi)容防護(hù)等方面的巨大不足，開啟了防火墻應(yīng)用的新篇章。 WINFUN下一代防火墻不但可以提供基礎(chǔ)網(wǎng)絡(luò)安全功能，如狀態(tài)檢測、VPN、抗DDoS、NAT等；還實現(xiàn)了統(tǒng)一的應(yīng)用安全防護(hù)，整合了多種檢測技術(shù)，有效應(yīng)對系統(tǒng)漏洞、Web入侵、非法訪問、蠕蟲病毒、帶寬濫用、惡意代碼等網(wǎng)絡(luò)安全問題，為不同規(guī)模的行業(yè)用戶提供細(xì)粒度的應(yīng)用內(nèi)容防護(hù)方案。 

2.2網(wǎng)絡(luò)部署 

WINFUN下一代防火墻可以替換傳統(tǒng)防火墻，部署在網(wǎng)關(guān)處。WINFUN下一代防火墻基于應(yīng)用層設(shè)計和開發(fā)的防火墻產(chǎn)品，擁有7層應(yīng)用層數(shù)據(jù)過濾的功能，同時具有VPN、防病毒及IPS入侵檢測的功能，并且保留了傳統(tǒng)防火墻的所有功能。 基于應(yīng)用的類型實現(xiàn)可視化管控。NG Firewall可以恢復(fù)安全設(shè)備對應(yīng)用的可視化感知，對同一端口上運(yùn)行的不同應(yīng)用類型進(jìn)行區(qū)分，在根據(jù)客戶需要對同一端口的不同應(yīng)用進(jìn)行管理。 

WINFUN下一代防火墻可以提供更加完整的應(yīng)用防護(hù)功能：終端防護(hù)(AV、Web安全過濾等)、服務(wù)器防護(hù)(IPS、WAF、DDoS防護(hù)等)。其中WAF(web application firewall)的各種功能包括了：對弱密碼的保護(hù)、對數(shù)據(jù)注入攻擊的保護(hù)、服務(wù)器信息隱藏等。 WINFUN下一代防火墻能夠基于應(yīng)用的內(nèi)容實現(xiàn)更的安全防護(hù)。她既能讓用戶訪問各種應(yīng)用，又能對其中的內(nèi)容進(jìn)行信息過濾和危險流量攔截，還可以通過關(guān)聯(lián)分析技術(shù)識別出未知威脅，并及時處理。 在飛速發(fā)展的網(wǎng)絡(luò)環(huán)境下，WINFUN下一代防火墻實現(xiàn)了對應(yīng)用層的保護(hù)。用戶可以看見網(wǎng)絡(luò)管道中跑著那些應(yīng)用，有哪些內(nèi)容，存在哪些風(fēng)險，并且均可以一一進(jìn)行控制和記錄。WINFUN下一代防火墻通過多核并行計算技術(shù)、數(shù)據(jù)包一次掃描技術(shù)、深度內(nèi)容識別及快速還原等技術(shù)，使其在全功能開啟后Zui高性能依然非常強(qiáng)勁。