NSS嘗試室比來(lái)的一份陳述表白，下一代防火墻(NGFW)的治理功能一般都比較差。那么當(dāng)企業(yè)在評(píng)估供給商時(shí)，對(duì)NGFW治理功能，他們應(yīng)當(dāng)如何評(píng)估?
Brad Casey：治理任何設(shè)備，我們存眷的重點(diǎn)都應(yīng)當(dāng)是掌控治理員的等閑拜候程度與其他用戶的難以拜候程度之間的均衡。當(dāng)企業(yè)在研究NGFW的治理功能時(shí)，最首要的是，企業(yè)起首需要肯定治理員是不是被承諾從收集鴻溝外部拜候治理界面。對(duì)這個(gè)標(biāo)題問(wèn)題，沒(méi)有準(zhǔn)確或弊端的謎底：這取決于每個(gè)企業(yè)是不是愿意接管長(zhǎng)途防火墻治理帶來(lái)的相干風(fēng)險(xiǎn)。
假定你的企業(yè)決定承諾治理員從外部拜候治理界面，你必需做出以下三個(gè)額外的治理決定：
下一代防火墻是不是有內(nèi)置的Web辦事器用于治理目標(biāo)?假定有的話，對(duì)web辦事器的拜候是不是加密?良多治理員喜好圖形用戶界面的便捷性，企業(yè)可以選擇這類編制，但前提是對(duì)GUI的連接必需是經(jīng)由過(guò)程SSL進(jìn)行。
治理員必需要拜候web辦事器嗎?企業(yè)最好讓治理員經(jīng)由過(guò)程號(hào)令行來(lái)拜候界面。如許的話，你就不需要擔(dān)憂web辦事器建設(shè)中的安然縫隙標(biāo)題問(wèn)題;只需要成立一個(gè)shell便可。
治理界面的現(xiàn)成的建設(shè)足夠好嗎?仍是需要額外的建設(shè)?良多時(shí)辰，系統(tǒng)治理員忽視了這個(gè)標(biāo)題問(wèn)題，而這常常會(huì)導(dǎo)致安然泄漏變亂。例如，安然人員必需肯定在默許環(huán)境下開(kāi)啟加密，仍是需要勾選一些框格來(lái)激活加密。你會(huì)詫異地發(fā)現(xiàn)，默許建設(shè)常常被忽視，而這類標(biāo)題問(wèn)題常常會(huì)導(dǎo)致災(zāi)害性的后果，這本來(lái)是很等閑可以避免的，前提是你需要在默許建設(shè)上多花點(diǎn)時(shí)候。
但是，對(duì)NGFW利用治理，筆者建議企業(yè)中有人可以或許研究每個(gè)供給商編寫(xiě)的不合利用的簽名的靠得住性。這可能需要高程度的手藝，是以沒(méi)有那么等閑。在企業(yè)有益用簽名闡發(fā)師的環(huán)境下，筆者建議將不合類型的流量扔到防火墻，并利用數(shù)據(jù)包捕獲東西(例如Wireshark)來(lái)肯定防火墻可以或許禁止應(yīng)當(dāng)禁止的東西.