Palo Alto：携三驾马车步入安全新时代

对很多关注美国科技股的人而言，Palo Alto是一家光芒闪耀的明星公司。这不仅因为它飞快的股价上涨速度，更因为它有着可期待的未来。在信息安全领域，作为下一代防火墙的先驱企业，Palo Alto为防火墙定义了一个新的时代，也为自身带来了高速发展的动力。

[[111786]]

不过，尽管NGFW为Palo Alto带来了很多，但这并不是它的全部。

NGFW先驱的安全新视角

自Palo Alto提出下一代防火墙(NGFW)并付诸实践以来，国内外安全厂商纷纷跟进，企业防火墙产业步入新的轨迹。

[[111787]] 

Palo Alto 大中华区销售总裁徐涌

谈到Palo Alto 在这一领域的先驱角色，Palo Alto 大中华区销售总裁徐涌称，在安全“攻”“防”战中，安全防御方应该像打冰球一样，重点关注冰球运行的轨迹，而不是它在某个时点所在的位置，在对未来轨迹的认知基础上，决定下一步走向。

今天，IT技术的变革在持续进行中，很大的一个改变是：移动互联网改变了网络架构，引入了移动应用。这一改变也带来了安全设备的变革：传统防火墙是开关式的，与应用端口密切相关。在新的移动应用场景下，如果还是通过旧有方式保守地进行安全防护，则会牺牲效益。在移动环境下解决固网出现的问题，也曾经出现了很多办法，如：通过固网接入应用业务后，通过打补丁、装IPS来对付防火墙不能应对的子应用威胁，这可以解决一部分问题，但这种方法的先天不足是：硬件架构仍然是基于网络防火墙的，当所有应用打开，性能必然下降。徐涌将这种方法类比为在2G手机上安装APP，2G手机硬件的设计是基于通话，要在上面安装APP，用户体验不好是必然的。

在徐涌看来，就像APP应用需要安装在专门的3G手机一样，应对新的移动威胁，需要更新换代的安全产品。而Palo Alto的创业者们早在2005年就看到了移动应用的新变化及其带来的安全产业变革：停留在端口进行技术革新，或通过补丁方式应对未来的安全需求远远不够，我们需要全新的下一代防火墙(NGFW)。NGFW与上一代防火墙最大的区别是：没有任何网络和端口概念，而是以应用感知为基础，应用一进来就会对其进行检查，跟从哪个端口进来没有关系(应用感知);除此以外，同一个应用，对不同用户也有不同授权(用户感知)。应用检查通过后，还要检测其内容是否合法(内容感知)。

NGFW的先驱者Palo Alto从以上三个角度定位安全，他们的NGFW产品对安全、通讯、管理的处理都是在不同CPU上实现，所以所有功能打开的话，其性能不会降低。

三驾马车并行：PA不只有NGFW

在今天的网络世界中，攻击手段变得比过去更先进，任何企业和信息都有可能成为攻击者的目标，威胁也进入了一个新的阶段：高级威胁阶段。在此阶段，有组织的犯罪(定制化攻击和恶意软件)和国家政府之间的网络攻击(具有针对性、持续性和创造性)变得更加普遍，前者常常使用逃避技术，需要沙箱等智能检测;后者采用被动网络或主机探针，通过智能的连续检测，一旦发现某项指标，就会开展全面调查，防御这种攻击需要高度的协调。而此前的日常威胁，大多数用防毒或IPS即可应对的。

面对新的安全威胁和趋势，Palo Alto也逐步找到了自己的定位和未来的发展方向。对很多安全从业者而言，Palo Alto几乎是NGFW的代名词。但今天的Palo Alto要做的远不止此。

徐涌告诉记者，未来，Palo Alto将步入新的信息安全防护时代，其下一代安全平台(Next-Generation Security Platform)架构将包含：下一代防火墙(NGFW)、下一代威胁云(NG Threat Cloud)、下一代端点防护(NG Endpoint)。其中，NG Threat Cloud主要提供自动安全云服务，通过收集潜在的网络威胁，进行关联分析，这些分析成果可以被其他网络和终端分享。NG Endpoint平台则源于Palo Alto最近收购的一家公司：Cyvera。Cyvera是以色列一家提供零日攻击端点解决方案的公司，它在2012年推出了旗舰产品Cyvera TRAPS——“远程定位的攻击保护系统”，该产品可提供对安全弱点的最终管理和中央控制。徐涌表示，“尽管漏洞和恶意软件层出不穷，攻击者能用它们来攻击的技术却不多，目前黑客可用的技术有几十种，平均每年新增加2至4项新技术。Cyvera的新方案致力于了解攻击者的技术，再通过障碍和陷阱措施防止攻击者利用漏洞进行攻击。”通过收购Cyvera，Palo Alto下一代安全平台获得了下一代端点保护的能力。

徐涌还透露，今年，Palo Alto在中国将进行大规模扩张，销售和技术力量都将大幅度增强。