防火墻特征-數(shù)據(jù)必經(jīng)之地

內(nèi)部網(wǎng)絡和外部網(wǎng)絡之間的所有網(wǎng)絡數(shù)據(jù)流都必須經(jīng)過防火墻。這是防火墻所處網(wǎng)絡位置特性，同時也是一個前提。因為只有當防火墻是內(nèi)、外部網(wǎng)絡之間通信的通道，才可以覆蓋、有效地保護企業(yè)網(wǎng)部網(wǎng)絡不受侵害。根據(jù)美國制定的《信息保障技術框架》，防火墻適用于用戶網(wǎng)絡系統(tǒng)的邊界，屬于用戶網(wǎng)絡邊界的安全保護設備。所謂網(wǎng)絡邊界即是采用不同安全策略的兩個網(wǎng)絡連接處，比如用戶網(wǎng)絡和互聯(lián)網(wǎng)之間連接、和其它業(yè)務往來單位的網(wǎng)絡連接、用戶內(nèi)部網(wǎng)絡不同部門之間的連接等。防火墻的目的就是在網(wǎng)絡連接之間建立一個安全控制點，通過允許、拒絕或重新定向經(jīng)過防火墻的數(shù)據(jù)流，實現(xiàn)對進、出內(nèi)部網(wǎng)絡的服務和訪問的審計和控制。

服務器防火墻措施

有些人以為只要他們保護了自己的電子郵件網(wǎng)關和內(nèi)部的桌面計算機，就無需基于電子郵件服務器的防病毒解決方案了。這在幾年前或許是對的，但是目前隨著基于 Web 的電子郵件訪問、公共文件夾以及訪問存儲器的映射網(wǎng)絡驅動器等方式的出現(xiàn)，病毒可以通過多種方式進入電子郵件服務器。實際上，大多數(shù)電子郵件用戶并不需要接收帶這類文件擴展的附件，因此當它們進入電子郵件服務器或網(wǎng)關時可以將其攔截下來。

NGFW 應該是一個網(wǎng)絡安全處理平臺，至少應當具備以下幾個屬性：

（1）標準的代防火墻能力：濾、網(wǎng)絡地址轉換(NAT)、狀態(tài)性協(xié)議檢測、VPN等等；

（2）集成的而非僅僅共處一個位置的網(wǎng)絡檢測：支持面向安全漏洞的特征碼和面向威脅的特征碼。IPS與防火墻的互動效果應當大于這兩部分效果的總和。集成具有高質(zhì)量的IPS引擎和特征碼；

（3）應用意識和全?？梢娦裕鹤R別應用和在應用層上執(zhí)行的獨立端口和協(xié)議，而不是根據(jù)純端口、純協(xié)議和純服務的網(wǎng)絡安全政策；

（4） 額外的防火墻智能：防火墻收集外來信息來做出更好的阻止決定或建立優(yōu)化的阻止規(guī)則庫。例子包括利用目錄集成將阻止行為與用戶身份綁在一起，或建立地址的黑白名單。

下一代防火墻：簡單的日志報表呈現(xiàn)

下一代防火墻具備本地存儲日志與報表數(shù)據(jù)功能，可用于用戶日常運維，也可用于設備監(jiān)控、行為監(jiān)管、、安全審計等場景，既滿足相關法規(guī)對日志存儲不少于6個月的要求，又給客戶提供了簡單的日志和報表統(tǒng)計、查詢的手段，提升產(chǎn)品的價值。支持集中管理，借助HSM安全管理平臺，可對多設備進行統(tǒng)一策略管理、設備配置管理及實時安全監(jiān)控，從而實現(xiàn)網(wǎng)絡的快速部署以及發(fā)生安全事件的及時響應，提高管理效率，降低運維成本。