北海防火墙设备-华思特-防火墙设备选型

防火墙的部署方式防火墙有多种部署模式，每个部署模式适用于不同的应用场景。主要的应用场景分为以下几种：

1、部署透明模式

适用于用户不希望改变现有网络规划和配置的场景。透明模式中，防火墙是“不可见的”，不需配置新的IP地址，只利用防火墙做安全控制。

2、部署路由模式

适用于需要防火墙提供路由和NAT功能的场景。路由模式中，防火墙连接不同网段的网络，通常为内部网络和互联网，且防火墙的每一个接口都分配IP地址。

3、部署混合模式

如果防火墙在网络中既有二层接口，又有三层接口，那么防火墙处于混合模式。

4、部署旁路（Tap）模式

用户希望试用防火墙的监控、统计、防御功能，暂时不将防火墙直连在网络里，可以选用旁路模式。

安全区域

在学习防护墙之前先要了解关于安全区域的概念，安全区域是一个或多个接口的集合，是防火墙区别于路由器的主要特性。防火墙通过安全区域来划分网络、标识报文流动的“路线”，当报文在不同的安全区域之间流动时，防火墙设备选型，才会触发安全检查。

华为防火墙默认情况下提供了三个安全区域，分别是Trust、DMZ和Untrust，光从名字看就知道这三个安全区域很有内涵。Trust区域，该区域内网络的受信任程度高，通常用来定义内部用户所在的网络。DMZ区域2，该区域内网络的受信任程度中等，通常用来定义内部服务器所在的网络。Untrust区域，该区域代表的是不受信任的网络，通常用来定义Internet等不安全的网络。

UTM产品当开启应用层防护时性能下降明显，无法满足当前应用层防护的性能要求。下一代防火

墙要求在多重防护的情况下仍保持高性能。

USG6000系列下一代防火墙采用全新架构的智能感知引擎（IAE， Intelligence Awareness Engine），

采用了一次解析多业务并行处理的架构，确保多重防御下的高性能体验。IAE使用了三大核心技术：

1，一体化描述语言：应用识别、IPS、***采用统一的描述语言，一次性处理，一次性分析，北海防火墙设备，减少重复

的操作；

2，一体化处理架构：不同于UTM对各个安全功能串行处理，USG6000在完成统一解析后，各安全业

务检查是并行的，***后做统一处理。每个步骤一次性做好，确保多安全业务开启情况下，对整体

性能影响降到***少；

3，软硬结合一体化：对有规律、大批量、高运算能力要求的报文处理，例如：报文解加密、特征匹

配，采用专用多核平台由专用的协处理器硬件处理。对小规模的运算，仍然用软件处理。软硬结

合一体化的处理方式让整体性能更高。

防御系统(简称IPS)

下一代防火墙供应商正将越来越多IPS功能添加至产品当中。不过需要强调的是，初期的IPS能力往往并不成熟，但如今其不仅更加强大、还与下一代防火墙的其它能力紧密对接。在不少下一代防火墙中，内置IPS甚至足以挑战***的IPS方案。

买家提示：防御系统属于企业防御体系中的重要组成部分，因此我们必须考虑自己选定的下一代防火墙是否具备IPS功能，或者有必要选择***的IPS产品。如果大家需要将IPS与下一代防火墙相结合，Gartner建议我们通过现实威胁与网络负载环境利用第三方测试评估IPS方案的有效性。

网络沙箱

网络沙箱能够提供保护以抵御恶意软件，具体方式包括将文件发送到云环境中的受隔离沙箱当中。在这里，各文件能够加以运行，企业级防火墙设备，且执行结果将经过检测以判断其是否属于恶意性质。

网络沙箱往往被下一代防火墙供应商或者合作伙伴以订阅服务的形式推出。2014年***网络沙箱市场总价值超过5亿美元，网络防火墙设备报价，而这一数字预计将在2019年增长至35亿美元。

买家提示：网络沙箱正迅速成为一项主流功能，所以我们在考量供应商时必须要求其当前或者有计划在不久的未来提供相关解决方案。

威胁情报供给

威胁情报供给旨在交付一套包含恶意IP地址、恶意签名以及其它恶意指标的清单，帮助防火墙与IPS方案检测威胁并预防攻击。

买家提示：检查下一代防火墙方案是否只能接收自家威胁情报供给，或者可以对接多种数据源。