取代UTM？下一代防火墙势不可挡

互联网的普及，云计算的浪潮，我们越来越离不开网络环境。这种依赖，让网络犯罪分子们看到了巨大的机会，有针对性的攻击越来越多，网络安全形势严峻。

其中最为严重的是WEB应用安全问题。现在的攻击超过75%甚至80%以上都是针对WEB应用的。黑客一般要攻击一个网站，目的不再是刚开始的炫耀，而是为了获取信息、获取利益，这种攻击行为通常是来无影、去无踪的。最好的实例就是近日的索尼被黑事件，影响之严重，我们有目共睹。

如何更好的实现网络安全已迫在眉睫。目前，防火墙仍是很多企业最重要的安全设备之一。但随着新型威胁造成的危害日益严重，传统防火墙越来越力不从心，下一代防火墙顺势而来。

很多厂商都提出了各自下一代防火墙的概念，概念的不统一让我们对下一代防火墙充满疑惑，什么才是下一代防火墙？下一代防火墙究竟是干什么的？它比传统防火墙强在哪里？

前段时间，编者参加了梭子鱼2011年度战略新品发布会，会上推出了一款下一代防火墙，并就梭子鱼下一代防火墙概念进行了讲解。对于其中一些解释，编者认为值得借鉴。

梭子鱼技术总监谷新表示，“传统防火墙在设计之初就带有一个缺陷，可能在几年之前没什么问题，但是现在，这种缺陷越来越暴露出来。三大本质缺陷：第一是安全方面的缺陷，传统防火墙是控制三层，就是OSL的协议模型里，对应用层没办法进行控制和识别，它不知道到底是哪一种应用通过了防火墙，所以也没有办法防御。第二个缺陷，是流控方面的缺陷，如果你只有一条链路，但是你不同的应用在用不同带宽的时候，重要的应用怎么提取出来，在这个方面传统防火墙是没有办法做到的。”

还有一个缺陷是运维管理的缺陷。可能一台、两台没关系，但是当你的公司遍布全国，甚至全球有很多店，传统的防火墙没有办法去控制，它没有通过的策略管理。这就导致你部署的时候可能要花费大量的人力，在维护的阶段，也同样要花大量的人力，”他补充道。

传统防火墙的缺陷通常都能理解，那么可不可以部署一台RPS，或者部署其他的来改善，或者可不可以用UTM？

“到底是改良还是改革？改革就是要更新换代，改良就是修修补补。下一代是一个革新的东西，我们这里说革新，不是要改良，改良是解决不了更多问题的。”谷新说道，他举了个例子，“手机经历到现在已经是第三代了，第一代是大哥大，第二代是没有彩屏的，只能有简单的电话和短消息功能。当我们用这个手机的时候，很多人要拍照了，我这个手机不能拍照，那我就要买一台照相机，你可能还要听音乐、看电影，再买一台MP3或者MP4。但是当机型发展到三代的时候，很多人就用这种手机了，比如iPhone：这种手机具备前面所说的三种功能，除了这些功能之外，iPhone还有很多其他功能，远远不只前面这三种。”

一个大哥大加上一个相机，再加上一个MP4小于一台iPhone。

这个就是UTM和下一代防火墙的区别，下一代防火墙，不仅仅是UTM，很多东西UTM实现不了，所以必须要改革，必须要革新，要更新换代，才能满足现代网络发展的需要。”谷新这样表示道。

梭子鱼下一代防火墙采用的是一个单引擎的技术。什么叫单引擎呢？就是当数据包过来以后，要把它打开，只要打开一次，不仅仅是端口要访问，应用要访问，所有该控制的模块都要来进行访问，一次性就完成了，不需要采用串联的方式。这是单引擎的工作模式，是一个本质的区别。UTM要组合很多功能，它的工作模式是，通过防火墙过了一关，再过IPS，IPS过了，可能过WEB安全网关，是一个串联的形式，要一关一关的过，所以效率很低，因此UTM的性能很差。

NG防火墙会在未来的一段时间替代掉所有的网络防火墙，这是趋势。它自身有个应用安全的优势，这个产品或者这一类的产品会成为市场主流。NG防火墙最大的一个贡献在于，原来网络防火墙更多的给用户的是一个物理感觉，端口，IP地址，非专业人士还真不知道这是什么。”梭子鱼总经理何平表示，“但是我们每个用户应该知道自己的应用，QQ我知道，邮件我知道，我在公司里什么位置也知道，我是网管员还是部门经理，还是总经理，所以可以这么讲，大家会发现进入Windows，不同的帐号登录，配置是不一样的。NG防火墙就相当于未来的一个操作窗口，所以NG防火墙应该是未来防火墙的一个主流，它实际上是从DOS系统升级到Windows系统。”

何平预言，“不出三年，大家会看到所有的传统防火墙厂商，都会提出他们也是NG防火墙，他们也要进行产品上的升级。传统防火墙厂商会增加应用层，应用层导向的厂商会加入网络层，最终会走向NG防火墙。”

这个预言或许已经开始应验，我们现在看到一些厂商都推出了下一代防火墙产品。

下一代防火墙性能如何？是否能实现最初的目标？在不断的发展趋势中，让我们拭目以待！

【编辑推荐】