下一代防火墻(NGFW)已成為當(dāng)前安然業(yè)界的熱點(diǎn)。按照Gartner的猜想，到2014年底，全球的NGFW占比將由10%上升到35%，企業(yè)新采辦的防火墻中60%將是NGFW。傳統(tǒng)防火墻期間，基于端口進(jìn)行管控。被管控的端口比較固定，數(shù)量凡是少于100個(gè)。而NGFW基于利用進(jìn)行防護(hù)，利用數(shù)量數(shù)以千計(jì)，治理復(fù)雜度數(shù)量級(jí)的晉升。Gartner的陳述指出：“鎖定方針報(bào)復(fù)打擊正不竭滲入尺度的安然控管，讓安然控管原封不動(dòng)的企業(yè)承受巨大年夜的商業(yè)損掉…”。面對(duì)日趨卑劣的安然環(huán)境，企業(yè)必需遵守最小授權(quán)原則，不竭調(diào)劑安然策略才能包管安然。若何有效地做到這一點(diǎn)，對(duì)NGFW的治理和利用提出了新的挑戰(zhàn)。
端口防護(hù)策略若何優(yōu)化為利用防護(hù)策略？
每個(gè)從傳統(tǒng)防火墻過(guò)渡到NGFW的企業(yè)城市道對(duì)這個(gè)標(biāo)題問(wèn)題。一方面，企業(yè)利用NGFW就是因?yàn)榭梢曰蛟S對(duì)利用進(jìn)行更精準(zhǔn)的管控。在NGFW上利用遺留的端口防護(hù)策略，其實(shí)不克不及帶來(lái)更多的安然性。必需將其優(yōu)化為更安然的、基于利用的防護(hù)策略。另外一方面，傳統(tǒng)防火墻遺留了大年夜量汗青策略，某些大年夜型企業(yè)的防火墻策略數(shù)量乃至超越一萬(wàn)。這些遺留策略都顛末端企業(yè)的合法性審批，在利用中證實(shí)了其營(yíng)業(yè)合理性。端口防護(hù)策略到利用防護(hù)策略的優(yōu)化必需以原有策略作為基準(zhǔn)，不成能完全推倒重來(lái)。這類端口策略的優(yōu)化意味著海量的工作，優(yōu)化后策略的有效性也難以保障。
若何遵守最小授權(quán)原則進(jìn)行防護(hù)？
尋求極致安然的企業(yè)會(huì)遵守最小授權(quán)原則擬定企業(yè)的安然策略。最小授權(quán)原則是指僅承諾企業(yè)營(yíng)業(yè)必需的利用，超出范圍的利用拜候必需額外申請(qǐng)。但面對(duì)數(shù)以千計(jì)的利用，若何將企業(yè)營(yíng)業(yè)映照為設(shè)備定義的利用，一向是個(gè)堅(jiān)苦。今朝，大年夜部門NGFW的利用者基于利用類別進(jìn)行利用管控。例如，假定企業(yè)有對(duì)外即時(shí)通信(Instant Message，IM)的需求，就會(huì)承諾IM類別的所有軟件。如許做治理起來(lái)比較簡(jiǎn)單，卻引進(jìn)了極大年夜的安然隱患。因?yàn)闋I(yíng)業(yè)需求以外的利用很可能包含縫隙、攜帶歹意代碼和后門法度，被報(bào)復(fù)打擊者所操縱。即便是營(yíng)業(yè)必需的利用，一樣也可能存在安然風(fēng)險(xiǎn)，應(yīng)當(dāng)進(jìn)行進(jìn)侵防御、防病毒、數(shù)據(jù)防泄漏等進(jìn)一步的防護(hù)。
遵守最小授權(quán)原則擬定安然策略，NGFW的利用者需要大年夜量的闡發(fā)報(bào)表，找出企業(yè)營(yíng)業(yè)必需的利用;還要掌控各類利用存在何種安然風(fēng)險(xiǎn)，和對(duì)應(yīng)的防護(hù)編制。這些無(wú)疑對(duì)利用者的手藝和工作時(shí)候提出了更高的要求，大年夜幅進(jìn)步了NGFW的整體具有成本。
若何精簡(jiǎn)策略，簡(jiǎn)化治理？
跟著企業(yè)營(yíng)業(yè)的成長(zhǎng)，為了延續(xù)包管安然性，需要不竭調(diào)劑防火墻策略。安然東西廠商Skybox的查詢拜訪發(fā)現(xiàn)，有58%的企業(yè)在他們的下一代防火墻上擺設(shè)了100條以上的法則，而有35%的公司每個(gè)月履行100次以上變動(dòng)。頻繁的變動(dòng)導(dǎo)致防火墻策略數(shù)量不竭增加，存在大年夜量冗余、無(wú)效的策略。因?yàn)橹卫韱T很難鑒定哪些策略有標(biāo)題問(wèn)題，即便鑒定出來(lái)也因?yàn)閾?dān)憂影響營(yíng)業(yè)不敢等閑調(diào)劑。今朝，大年夜型企業(yè)經(jīng)由過(guò)程采辦昂貴的第三方東西來(lái)精簡(jiǎn)防火墻策略。對(duì)中小型企業(yè)，這個(gè)標(biāo)題問(wèn)題因?yàn)轭A(yù)算有限沒(méi)法解決。
NGFW需要額外的智能，實(shí)現(xiàn)簡(jiǎn)單治理
Gartner公司研究副總裁Greg Young說(shuō)：“防火墻法則老是處處泛濫，可是進(jìn)侵防御和利用節(jié)制使標(biāo)題問(wèn)題加倍復(fù)雜。此刻恰是利用下一代防火墻降落復(fù)雜性的機(jī)會(huì)，可是假定實(shí)施不當(dāng)，則可能會(huì)拔苗助長(zhǎng)?！崩镁S度的增加使管控更精準(zhǔn)，也帶來(lái)了更多的治理復(fù)雜性。市場(chǎng)初期的NGFW產(chǎn)品，基于威脅進(jìn)行防護(hù)，安然更多依托于安然治理員。NGFW更多的是一個(gè)響應(yīng)者，對(duì)安然員不克不及發(fā)現(xiàn)的威脅不會(huì)做出防護(hù)。在實(shí)際的利用過(guò)程中，因?yàn)榘踩徊呗圆环髧?yán)格，暗藏風(fēng)險(xiǎn)常常被操縱。直到造成了損掉被發(fā)現(xiàn)，進(jìn)行“亡羊補(bǔ)牢”式的防護(hù)?？梢灶A(yù)感到，“人”主導(dǎo)的安然防護(hù)很難持久包管質(zhì)量。是以， NGFW需要具有額外的智能。要可以或許將原有防火墻上的端口防護(hù)策略快速的優(yōu)化為更能闡揚(yáng)NGFW能力的利用防護(hù)策略;要可以或許提早發(fā)現(xiàn)風(fēng)險(xiǎn)，按照收集環(huán)境遵守最小授權(quán)原則，動(dòng)態(tài)調(diào)劑防護(hù)策略或提出策略優(yōu)化建議;要可以或許主動(dòng)發(fā)現(xiàn)冗余和無(wú)效的策略，簡(jiǎn)化治理。讓安然更多依托于“設(shè)備”，有益于持久保持不變的安然質(zhì)量。智能化和主動(dòng)化將是NGFW產(chǎn)品的一個(gè)成長(zhǎng)趨勢(shì)。只有解決了簡(jiǎn)單治理的標(biāo)題問(wèn)題，NGFW才能真正地保障企業(yè)下一代安然。