防火墻意義

防火墻的英文名為“FireWall”，它是一種重要的網(wǎng)絡(luò)防護設(shè)備。防火墻是位于兩個(或多個)網(wǎng)絡(luò)間，實施網(wǎng)絡(luò)之間訪問控制的一組組件集合。防火墻的本義是指古代構(gòu)筑和使用木制結(jié)構(gòu)房屋的時候，為防止火災(zāi)的發(fā)生和蔓延，人們將堅固的石塊堆砌在房屋周圍作為屏障，這種防護構(gòu)筑物就被稱之為“防火墻”。其實與防火墻一起起作用的就是“門”。如果沒有門，各房間的人如何溝通呢，這些房間的人又如何進去呢？當(dāng)火災(zāi)發(fā)生時，這些人又如何逃離現(xiàn)場呢？這個門就相當(dāng)于我們這里所講的防火墻的“安全策略”，所以在此我們所說的防火墻實際并不是一堵實心墻，而是帶有一些小孔的墻。這些小孔就是用來留給那些允許進行的通信，在這些小孔中安裝了過濾機制，也就是上面所介紹的“單向?qū)ㄐ浴薄?

防火墻——防范蠕蟲病毒

當(dāng)前，企業(yè)網(wǎng)絡(luò)主要應(yīng)用于文件和打印服務(wù)共享、辦公自動化系統(tǒng)、企業(yè)業(yè)務(wù)（MIS）系統(tǒng)、Internet應(yīng)用等領(lǐng)域。網(wǎng)絡(luò)具有便利信息交換特性，蠕蟲病毒也可以充分利用網(wǎng)絡(luò)快速傳播達到其阻塞網(wǎng)絡(luò)目的。企業(yè)在充分地利用網(wǎng)絡(luò)進行業(yè)務(wù)處理時，就不得不考慮企業(yè)的病毒防范問題，以保證關(guān)系企業(yè)命運的業(yè)務(wù)數(shù)據(jù)完整不被破壞。

下一代防火墻應(yīng)用場景

? 互聯(lián)網(wǎng)出口:以業(yè)務(wù)和用戶安全作為保護對象，識別關(guān)鍵資產(chǎn)、攻擊行為及保護結(jié)果，構(gòu)建 風(fēng)險的狀態(tài)可視能力，聚焦安全整體狀況的安全運營。精細(xì)化識別當(dāng)前網(wǎng)絡(luò)中的違規(guī)行為， 基于多維度用戶行為分析，合理規(guī)劃出口帶寬資源。云端海量情報深度關(guān)聯(lián)本地數(shù)據(jù)分析，內(nèi)網(wǎng) 威脅有效定位處置，為業(yè)務(wù)提供全生命周期安全防護。

? 對外發(fā)布業(yè)務(wù):從對外發(fā)布業(yè)務(wù)的全生命周期視角防范風(fēng)險，提供業(yè)務(wù)資產(chǎn)的精細(xì)識別、業(yè)務(wù)風(fēng) 險的持續(xù)監(jiān)控、業(yè)務(wù)風(fēng)險的防御、業(yè)務(wù)風(fēng)險的及時預(yù)警及處置等，充分保障企業(yè)業(yè)務(wù)的安全 管理及外部合規(guī)工作。

? 數(shù)據(jù)中心:以性能保障為基礎(chǔ)，在擴展的控制要素基礎(chǔ)上，提供自底向上的精細(xì)化管控能力 充分隔離外部風(fēng)險;提供策略的全生命周期管理，通過安全可視化技術(shù)梳理互訪關(guān)系洞悉內(nèi) 外部風(fēng)險;具備威脅檢測與深度防御，積極對抗未知及威脅，通過協(xié)同聯(lián)動有效處置威脅。

? 分支組網(wǎng):分支部署深信服下一代防火墻 AF 實現(xiàn) L2-L7 層安全防護，防止分支各種途徑的外部攻擊?；谌斯ぶ悄芎痛髷?shù)據(jù)綜合分析技術(shù)，實現(xiàn)全網(wǎng)安全可視可控。全網(wǎng)運維統(tǒng)一管控， 提升用戶投資，實現(xiàn)簡單安全運維。

? 分區(qū)分域:從保障合規(guī)、有效運維以及安全防護三方面入手，合規(guī)作為企業(yè)安全建設(shè)的前提，滿足《網(wǎng) 絡(luò)安全等級保護基本要求》分區(qū)分域的要求，滿足企業(yè)自身業(yè)務(wù)需求，提升運維和安全防護水平。

NGFW 應(yīng)該是一個網(wǎng)絡(luò)安全處理平臺，至少應(yīng)當(dāng)具備以下幾個屬性：

（1）標(biāo)準(zhǔn)的代防火墻能力：濾、網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT)、狀態(tài)性協(xié)議檢測、VPN等等；

（2）集成的而非僅僅共處一個位置的網(wǎng)絡(luò)檢測：支持面向安全漏洞的特征碼和面向威脅的特征碼。IPS與防火墻的互動效果應(yīng)當(dāng)大于這兩部分效果的總和。集成具有高質(zhì)量的IPS引擎和特征碼；

（3）應(yīng)用意識和全?？梢娦裕鹤R別應(yīng)用和在應(yīng)用層上執(zhí)行的獨立端口和協(xié)議，而不是根據(jù)純端口、純協(xié)議和純服務(wù)的網(wǎng)絡(luò)安全政策；

（4） 額外的防火墻智能：防火墻收集外來信息來做出更好的阻止決定或建立優(yōu)化的阻止規(guī)則庫。例子包括利用目錄集成將阻止行為與用戶身份綁在一起，或建立地址的黑白名單。