下一代防火墻國內首先沖擊上網行為管理市場
下一代防火墻的定義目標比較明確，針對應用安全。在功能模塊組成上，Gartner并未明確規定功能細節組成，定義的功能覆蓋比較合理。我們認為NGFW的發展訴求應該是，把傳統防火墻將訪問控制對象從網絡層、傳輸層(L3~L4)調整為應用層(L7)協議。因此，對于NGFW的主要基礎不再是各個模塊協同工作，而是依托于網絡應用的識別能力來實施安全訪問控制措施。從這一點上，雖然技術和知識上存在相通性，但由于訪問控制對象的不同，使NGFW與UTM在系統設計方面會存在本質差異。NGFW定義更強調應用識別能力、用戶行為管理和應用安全，提供面向應用控制的網關安全防護，但UTM針對整個內網強調全方位的安全能力，提供比較適中的，具有更高性價比的網關安全防護。UTM與NGFW相比，還可提供VPN、SSL、反垃圾郵件、防病毒、防攻擊、內網管理等針對于內網的安全防護能力。從目前來看，還沒有一個廠商可以實現UTM、NGFW特性高效融合的案例，更多還是在應用、安全分別各自見長。
NGFW與FW、UTM最大的不同在于，NGFW更多的考慮了用戶在上網行為管理方面的訴求，加強了應用識別、細粒度控制和展示，適合于關注上網行為管理的用戶群。就目前了解到的市場情況而言，NGFW在其他功能方面和性能方面并未有足夠多的差異化優勢，表現出來的情況就是，NGFW集成的功能越來越多，已經完全超過了Gartner的定義，與UTM也越來越像(盡管前面提到“NGFW與UTM在系統設計方面會存在本質差異”，但二者在功能方面卻越來越類似)，對最終用戶而言，選擇一款適合自己業務需求的產品才是硬道理。
NGFW從功能上滿足了用戶多個層次的安全需求(如FW、IPS及應用訪問控制)，可以簡化企業邊界安全部署。從架構上來說，NGFW仍屬于邊界安全產品，對于傳統安全架構影響不大。對于新建網絡來說，部署NGFW比較簡單;但是在網絡改造過程中的替代部署，則需要企業與廠商仔細評估NGFW對原設備功能的替代度。這里舉一個例子，原有FW系統支持VPN，這就需要評價NGFW的VPN協議的支持、隧道數的支持、用戶數的支持、算法的支持、認證模式等多項指標。企業在向NGFW遷移時，首先要考慮自身的邊界安全需求，包括性能及功能兩個方面，現有的NGFW是否能夠替代原有多個安全設備，能否滿足新的安全需求?如果不能完全替換，則需考慮跟NGFW如何配合使用，以及在配合使用下的綜合運營成本，不能簡單考慮只是設備的替換。
NGFW在性能方面的追求對硬件平臺的專業化提出了更高的要求，國內安全廠商對專用硬件平臺的駕馭能力會一定程度影響NGFW產品在國內市場化的發展。不論是UTM還是NGFW，其硬件平臺的選擇大致雷同，比如多核、X86、ASIC等承載平臺。在沒有顛覆性軟硬件技術革新網關商用模式的前提下，UTM、NGFW之間還難以形成替代關系，只是會出現用戶更迫切解決什么問題。而二者差異的存在，使其在部署上反而會存在一定的互補性，在網絡邊界形成安全網關網發揮各自優勢，滿足用戶的多維度需求。
回到下一代防火墻的核心功能，面對網絡入侵的表現。啟明星辰邊界安全產品部副經理馬駿告訴記者，網絡入侵往往包含了多種攻擊手段，從攻擊過程來看，是一個動態的、長期的、變化的過程，涉及人員、網絡、設備、操作系統、應用系統多個方面。從縱深防御體系來看，NGFW是定位在邊界防御，考量NGFW的重要指標在于其全面防御能力以及事件庫的更新速度，這方面取決于廠商在漏洞研究、漏洞驗證、入侵檢測、快速響應、硬件整合等多方面的能力，是廠商綜合能力的體現。專業設備在這方面目前做得很成熟，并已經獲得市場和用戶的認可。在NGFW上還需要時間和市場應用的檢驗。
在問到NGFW在國內市場的應用前景時，馬駿表示，NGFW將對傳統FW市場、UTM市場、上網行為管理市場和IPS市場產生沖擊，國內各傳統安全設備廠商會根據NGFW的沖擊不斷調整自身產品形態，將一定程度影響到國內網關市場的調整與分布。NGFW的出現是緊跟應用安全需求下的產物，NGFW的應用層訪問控制跟上網行為管理沒有本質區別，在國內最可能首先沖擊上網行為管理市場，最終替代上網行為管理產品，與FW、UTM和IPS產品形成新的市場布局。
【編輯推薦】
