建站
咨詢(xún)
售后
建站咨詢(xún)
新聞中心
大約在與星際迷航電視劇開(kāi)始的同一時(shí)間，防火墻開(kāi)始進(jìn)入到下一代防火墻時(shí)代。雖然防火墻產(chǎn)品變得更加先進(jìn)，但很多IT安全專(zhuān)家仍然堅(jiān)持使用原來(lái)的使用端口和協(xié)議的防火墻。
創(chuàng)新互聯(lián)是一家集網(wǎng)站建設(shè),洪江管理區(qū)企業(yè)網(wǎng)站建設(shè),洪江管理區(qū)品牌網(wǎng)站建設(shè),網(wǎng)站定制,洪江管理區(qū)網(wǎng)站建設(shè)報(bào)價(jià),網(wǎng)絡(luò)營(yíng)銷(xiāo),網(wǎng)絡(luò)優(yōu)化,洪江管理區(qū)網(wǎng)站推廣為一體的創(chuàng)新建站企業(yè)，幫助傳統(tǒng)企業(yè)提升企業(yè)形象加強(qiáng)企業(yè)競(jìng)爭(zhēng)力?？沙浞譂M(mǎn)足這一群體相比中小企業(yè)更為豐富、高端、多元的互聯(lián)網(wǎng)需求。同時(shí)我們時(shí)刻保持專(zhuān)業(yè)、時(shí)尚、前沿，時(shí)刻以成就客戶(hù)成長(zhǎng)自我，堅(jiān)持不斷學(xué)習(xí)、思考、沉淀、凈化自己，讓我們?yōu)楦嗟钠髽I(yè)打造出實(shí)用型網(wǎng)站。
現(xiàn)代企業(yè)需要對(duì)在其網(wǎng)絡(luò)運(yùn)行的應(yīng)用有更深入的了解。新一代防火墻提供深度數(shù)據(jù)包檢測(cè)、細(xì)粒度控制和應(yīng)用感知，來(lái)幫助企業(yè)監(jiān)管其網(wǎng)絡(luò)外圍。盡管這些新平臺(tái)這么具有吸引力， “下一代”的標(biāo)簽并沒(méi)有很好的描述如何解決當(dāng)企業(yè)遷移到現(xiàn)代防火墻時(shí)所涉及的技術(shù)、功能和支持問(wèn)題?，F(xiàn)在很多供應(yīng)商都提供這些設(shè)備，包括Check Point、思科、戴爾、Fortinet、瞻博網(wǎng)絡(luò)、Palo Alto Networks、Sourcefire(7月被思科收購(gòu))、Stonesoft(5月被McAfee收購(gòu))以及WatchGuard。F5 Networks在2012年也進(jìn)入了這個(gè)領(lǐng)域，當(dāng)時(shí)其Big IP產(chǎn)品系列應(yīng)用交付控制器獲得了ISCA實(shí)驗(yàn)室認(rèn)證。
“大多數(shù)現(xiàn)代防火墻都有一些‘下一代’功能，包括集成入侵防御(IPS)以及更好的應(yīng)用控制，”Gartner研究主管Eric Maiwald表示，“這是現(xiàn)在的防火墻的標(biāo)準(zhǔn)，所有主要安全廠商都聲稱(chēng)擁有下一代產(chǎn)品?！钡沁@些說(shuō)法并不總是很準(zhǔn)確，知道如何評(píng)估和遷移到下一代平臺(tái)才是至關(guān)重要的。
應(yīng)用感知
當(dāng)然，細(xì)粒度應(yīng)用控制是遷移到下一代防火墻的一個(gè)很大的原因?！霸谖覀冞w移到Palo Alto的防火墻后，給我們的網(wǎng)絡(luò)業(yè)務(wù)帶來(lái)了明顯的優(yōu)勢(shì)，”Neohapsis實(shí)驗(yàn)室安全顧問(wèn)Andy Hubbard說(shuō)道，他此前擔(dān)任某加州醫(yī)院的IT經(jīng)理時(shí)參與了該技術(shù)的部署，“在我們部署Palo Alto后，我們很快在網(wǎng)絡(luò)上發(fā)現(xiàn)四個(gè)僵尸網(wǎng)絡(luò)和幾個(gè)流氓服務(wù)器。在我們正確部署后，我們能夠輕松地保護(hù)我們的特殊醫(yī)療設(shè)備?！?/p>
雖然更好的應(yīng)用感知和智能是下一代防火墻的很大的優(yōu)勢(shì)，但這需要付出一些努力。“你需要充分了解何時(shí)在防火墻規(guī)則集中使用應(yīng)用ID，”Hubbard表示，“你需要知道哪些應(yīng)用使用了哪些協(xié)議，以及何時(shí)使用經(jīng)典的端口/協(xié)議方法更合適，何時(shí)不合適。”
這并不是一個(gè)輕松的過(guò)程，在遷移過(guò)程中，Hubbard較舊的Check Point防火墻帶來(lái)了麻煩?！拔覀兓怂膫€(gè)月的時(shí)間來(lái)進(jìn)行遷移，大部分的工作圍繞讓一大群人協(xié)調(diào)其工作，因?yàn)槊總€(gè)人都負(fù)責(zé)網(wǎng)絡(luò)不同部分的工作，”他表示，“我們還有過(guò)時(shí)的網(wǎng)絡(luò)文檔影響著遷移。與很多企業(yè)一樣，隨著時(shí)間的推移企業(yè)不斷壯大，我們的文檔已經(jīng)落后。所以在你開(kāi)始任何遷移工作之前，請(qǐng)確保你更新了這些文件，并確保你的網(wǎng)絡(luò)井然有序。”
應(yīng)用感知的能力也是楊百翰大學(xué)(BYU)夏威夷分校升級(jí)防火墻的主要原因。該學(xué)校有些應(yīng)用只在一年的特定時(shí)間運(yùn)行，例如用于招生的應(yīng)用。負(fù)責(zé)該項(xiàng)目的系統(tǒng)和網(wǎng)絡(luò)IT分析師Neal Moss希望對(duì)這些招生系統(tǒng)配備進(jìn)行適當(dāng)?shù)谋Ｗo(hù)。他花了幾個(gè)月同時(shí)運(yùn)行其較舊的思科ASA 5500自適應(yīng)安全設(shè)備以及Palo Alto防火墻平臺(tái)，以確保新防火墻的可用性。這是他們的第三次防火墻遷移，所以他知道該期待什么。他說(shuō)道：“我只是花時(shí)間確保正確配置了各種規(guī)則集，并逐漸開(kāi)放舊的防火墻，直到我們能夠完全拋棄它。”
讓?xiě)?yīng)用感知“錦上添花”的是，添加域或IP聲譽(yù)管理到防火墻活動(dòng)中。這是通過(guò)在互聯(lián)網(wǎng)放置傳感器，以及對(duì)域名或IP源地址進(jìn)行白名單以及黑名單處理來(lái)完成的。“域名聲譽(yù)工具并不完美，”硅谷AVOA公司前任首席信息官，現(xiàn)任戰(zhàn)略顧問(wèn)Tim Crawford表示，“說(shuō)真的，這只是整個(gè)威脅預(yù)防的一個(gè)方面?！?/p>
楊百翰大學(xué)夏威夷分校對(duì)域名聲譽(yù)有不同的看法。在今年遭受?chē)?yán)重攻擊后，該大學(xué)希望能夠隔離其服務(wù)器到獨(dú)立的安全區(qū)，當(dāng)時(shí)他們對(duì)幾個(gè)下一代防火墻進(jìn)行了評(píng)估。Moss表示：“我們希望確保數(shù)據(jù)庫(kù)服務(wù)器和應(yīng)用服務(wù)器位于不同的安全區(qū)域，并且它們只能與對(duì)方通信，如果我們的服務(wù)器受到攻擊，我們的數(shù)據(jù)庫(kù)仍然完好無(wú)損?！?/p>
難以淘汰和更換
現(xiàn)有防火墻如何被使用(或者更準(zhǔn)確地說(shuō)，被誤用)可能導(dǎo)致遷移問(wèn)題。在某些情況下，企業(yè)過(guò)于依賴(lài)其防火墻，通常是將防火墻作為其唯一的網(wǎng)絡(luò)路由基礎(chǔ)設(shè)施--沒(méi)有邊緣路由器。Hubbard表示：“這導(dǎo)致我們難以淘汰和替換它們?！?/p>
部署下一代防火墻可能帶來(lái)技術(shù)更換、網(wǎng)絡(luò)設(shè)置變更和安全政策的問(wèn)題。遷移整個(gè)企業(yè)防火墻是一個(gè)復(fù)雜的過(guò)程，因?yàn)樯婕昂芏嘁苿?dòng)部件，Hubbard說(shuō)道，“還有一些有悖常理的事情，并且這兩個(gè)系統(tǒng)間存在差異，例如網(wǎng)絡(luò)地址轉(zhuǎn)換設(shè)計(jì)和服務(wù)質(zhì)量規(guī)則?！眰鹘y(tǒng)防火墻管理員習(xí)慣于阻止入站威脅，而對(duì)于下一代管理員，你需要更密切地關(guān)注出站接口。
根據(jù)Gartner的Maiwald表示，這里的例子就是，一些公司使用IPS作為監(jiān)控其防火墻的狀況的工具，這樣他們就可以培養(yǎng)獨(dú)立的人員來(lái)處理每個(gè)設(shè)備。最終，整合它們也不會(huì)是太困難的事情。
堅(jiān)持你現(xiàn)有的供應(yīng)商，并升級(jí)到最新的下一代防火墻，可疑避免復(fù)雜性問(wèn)題。這正是Heart研究所IT主管Chris LaBlew對(duì)其思科ASA防火墻的做法。他遷移到思科ASA CX內(nèi)容感知安全模型，因?yàn)樗嘈潘伎?，不想要任何停機(jī)時(shí)間，另外，他表示，“我們沒(méi)有添加新設(shè)備到我們現(xiàn)有的思科基礎(chǔ)設(shè)施，例如交換機(jī)和VPN，而且，我們已經(jīng)有工作人員知道如何使用它們。這里并不需要太多的學(xué)習(xí)曲線來(lái)使用CX下一代功能?！?/p>
但是，這種復(fù)雜性有時(shí)候與實(shí)際技術(shù)無(wú)關(guān)。“應(yīng)用控制的問(wèn)題并不是技術(shù)問(wèn)題，但I(xiàn)T經(jīng)理需要了解其影響和后果，”Maiwald表示，“你可能會(huì)無(wú)意中阻止你員工訪問(wèn)Facebook游戲。在理想情況下，IT應(yīng)該密切與人力資源及管理層協(xié)調(diào)，以確保政策的正確部署?！?/p>
再有就是整體成本?！坝行┢髽I(yè)不能解釋這些功能增加的費(fèi)用，并且，現(xiàn)在網(wǎng)絡(luò)更虛擬化的環(huán)境增加了其信息安全結(jié)構(gòu)的復(fù)雜性，”Crawford表示，“傳統(tǒng)的防火墻技術(shù)根本不能擴(kuò)展到云計(jì)算。”
然而，根據(jù)你的許可證要求的不同，這實(shí)際上可以花費(fèi)更少：在楊百翰大學(xué)夏威夷分校，替代其舊的防火墻和反惡意軟件最終的花費(fèi)更便宜。Moss表示：“我們現(xiàn)在節(jié)省了維護(hù)費(fèi)用?！?/p>
統(tǒng)一平臺(tái)替代品
遷移到下一代防火墻的替代方案之一就是部署統(tǒng)一威脅管理(UTM)工具，該工具結(jié)合了防火墻和IPS以及防病毒保護(hù)。在近幾年，來(lái)自瞻博網(wǎng)絡(luò)、Check Point、和其他供應(yīng)商的UTM已經(jīng)有所改進(jìn)，整合了曾經(jīng)只在最昂貴的UTM產(chǎn)品中才有的相同的安全功能。
然而，UTM有其自身的缺陷，包括吞吐量問(wèn)題，特別是在較大的網(wǎng)絡(luò)中。Maiwald表示：“當(dāng)UTM的防毒組件打開(kāi)時(shí)，設(shè)備的整體吞吐量會(huì)明顯下降?！?/p>
Hubbard表示同意：“UTM可能會(huì)提高延遲性，并讓企業(yè)更難以解決錯(cuò)誤配置的組件，而且，它們還有復(fù)雜的許可步驟?！?/p>
而有些下一代防火墻則可以提供出乎意料的高吞吐量。BYU的Moss驚訝的看到當(dāng)他升級(jí)防火墻后，性能明顯提高?！凹词惯\(yùn)行著防火墻和反惡意軟件檢查，我們的新防火墻仍然驚人的快，”他表示，“這個(gè)升級(jí)很值得?！?/p>
LaBleu還發(fā)現(xiàn)，調(diào)整其思科ASA CX單元的大小來(lái)處理互聯(lián)網(wǎng)流量水平是保持低延遲性的關(guān)鍵。他建議說(shuō)：“如果你有很多互聯(lián)網(wǎng)流量的話，確保不要使用太小的設(shè)備。”
遷移到下一代防火墻的最大障礙是對(duì)未知的恐懼。Hubbard表示：“習(xí)慣可能是為什么人們還沒(méi)有升級(jí)其防火墻的最大癥結(jié)點(diǎn)?！?/p>
LaBleu表示同意：“當(dāng)你部署任何新的技術(shù)時(shí)，總是很緊張，但下一代防火墻是一個(gè)值得的投資。”
本文標(biāo)題：是否遷移到下一代防火墻?
文章源于：http://www.dlmjj.cn/article/dpcjios.html
