打破砂锅

    如今，身份证号、银行卡号、电话号码等被盗成了许多人心中挥之不去的伤痛。伴随新的网络应用所带来的威胁，究竟需要怎样的防火墙技术？请关注——

    根据中国国家信息安全漏洞库(CNNVD)、国家互联网应急中心(CNCERT)的实时抽样监测数据，2013年3月份，新增信息安全漏洞数量比上个月增加了33.9%;境内被挂马网站数量比上月增加17.9%;境内被黑网站数量为7909个，境内被篡改网站数量为9215个，境内被木马或僵尸程序控制主机数量为129万台。面对我国网络信息安全问题日益严重的现状，国家层面在陆续出台相关专门保护的网络信息安全法律法规，各个行业也在不断完善自己的安全建设。

    下一代防火墙注重主动防御

    新的安全防护时代究竟需要怎样的防火墙？在工业和信息化部编制的《信息安全产业“十二五”发展规划》中，“信息安全技术”“信息安全产品”“信息安全服务”被列为重点发展方向，并着重指出“下一代防火墙”为首要发展产品类型。正如规划中对信息安全发展趋势的判断中指出的那样：“信息安全保障逐步由传统的被动防护转向‘检测—响应式’的主动防御，信息安全技术正朝着构建完整、联动、可信、快速响应的综合防御防护系统方向发展。”

    网康科技高级市场经理严雷认为，主动防御是下一代防火墙的灵魂，下一代防火墙技术与以往技术的不同区别在于使日常的风险管理由被动管理向主动的流程化管理转变。在新的网络威胁背景下，对防火墙技术提出了新的要求，不再仅仅追求速度更快，而是要从简单的串接变成深度集成，由功能组合变为数据整合，从基于特征的分析变为基于行为的分析，从防御外部应用为主向保护内部应用为主过渡，从网关位置的防护转为数据中心的防护。

    “总之，在新的环境下，网络安全的威胁也发生了诸多的变化，目前来看，下一代的主要安全问题是：僵尸网络、钓鱼网站、APT攻击和数据泄漏，由此对下一代防火墙技术提出了新的要求，下一代防火墙技术应具备应用识别、可视化、数据挖掘、云安全、行为分析等特征。”严雷说。

    云查杀成安全厂家的新选择

    目前基于云的安全技术已经成为越来越多安全厂家的选择，这是因为云安全技术确实有他的独到之处。从性能角度来看，云安全的安全扫描发生在云端，这样就减轻了本地的处理开销，达到了提升网络吞吐，降低安全扫描对性能影响的目的。因此，云端不会出现性能方面的瓶颈，随着样本库的增长安全厂商只需调整云中心的硬件配置就可以了。

    有专家提出，随着云落地和大数据的升温，信息安全形势越来越复杂，2013年不但要关注现有攻击的演进，也要注意过去不曾处理过的新型攻击、技术问题。

    据了解，网康NGFW下一代防火墙在提供本地安全引擎的同时，还提供了云安全引擎，支持通过云端计算中心对病毒和木马进行查杀，以及对网址信息进行扫描和过滤。“事实上，由于木马具有快速变种的特点，可以认为这种解决方案对于木马是唯一有效的检测方案。”网康下一代防火墙产品经理陈天航介绍说，“采用云安全技术，同样的样本数据，检出率可提高20%。”

    目前，网康在云端的病毒和木马库的总特征数已达到5000万之多，而一般的网络安全设备的本地特征库都只在几十万的级别上，几百倍的特征数保证了检查的准确性。此外，木马的危害性远远超过病毒和蠕虫，它是僵尸网络、数据泄露的重要途径，是对企业安全的巨大威胁，而云安全技术是应对木马的有力武器。

    网络安全：防范于未然

    如今，网络安全威胁是现代企业面临的信息安全隐患之一，其中“僵尸网络”是当前网络最主要的威胁之一，企业内部的主机一旦被僵尸网络所控制，轻则引起网络阻塞，重则发生数据泄露，是许多企业安全负责人十分头疼的问题。

    网康曾对一些企业做了大量的BETA测试，在测试中，很多客户被企业内大量的僵尸主机所震撼，之后通过定位和清理，这一现状有了大大的改善。“僵尸网络素有‘养兵千日，用兵一时’的特点，因此需要通过早期诊断，使僵尸网络在发作之前将其铲除，这也是下一代防火墙‘主动防御’理念的体现。”陈天航说，“网康下一代防火墙新版本NGFW2.0通过对网络应用的行为分析，令诸多‘僵尸’无处遁形。”

    此外，随着大数据时代的来临，数据已成为企业的核心资产，数据泄露无疑将给企业带来巨大损失。所以，下一代安全技术中必须有针对数据泄露的防范措施。“当前的许多数据检测都是发生在协议层的，例如FTP、HTTP等。而实际上，数据泄露却有着很多的渠道，许多网络应用都可以进行数据传输，例如网盘、P2P、IM等等，这些应用都有自己独特的数据传输机制，这不是从协议层可以检测出来的。所以要进行有效的数据泄露检测，必须能够针对具体应用来进行。”陈天航表示。

    据介绍，在NGFW2.0中，网康科技针对300种能够进行数据传输的应用进行了检测，并支持64种文件类型的检查，同时还支持通过正则表达式的形式来进行关键字规则限定，并且预定义了许多数据类型例如“身份证号”、“银行卡号”、“电话号码”等。如果卡号、身份证号、电话号码等信息想通过邮件发出去，下一代防火墙会直接报警。

    “业界一直在争论什么是下一代？和传统防火墙到底有什么区别，其实从这点来看，传统防火墙在这个层面上无法实现下一代防火墙的功能。”严雷说。