下一代防火墻屬于第三代防火墻技術(shù)，旨在通過智能的上下文感知安全功能解決應(yīng)用程序級別的高級安全威脅。NGFW 將包過濾和狀態(tài)檢查等傳統(tǒng)防火墻功能與其他功能相結(jié)合，以更好地決定允許哪些流量。
下一代防火墻能夠根據(jù)應(yīng)用程序過濾數(shù)據(jù)包并檢查數(shù)據(jù)包中包含的數(shù)據(jù)（而不僅僅是它們的 IP 標頭）。換句話說，它在 OSI 模型中最高運行在第 7 層（應(yīng)用層），而以前的防火墻技術(shù)只運行在第 4 層（傳輸層）。發(fā)生在 OSI 模型第 4-7 層的攻擊正在增加，這使其成為一項重要的能力。
什么是下一代防火墻功能？
下一代防火墻規(guī)范因提供商而異，但它們通常包括以下功能的某種組合：
- 應(yīng)用程序感知，或基于應(yīng)用程序（而不僅僅是基于端口）過濾流量和應(yīng)用復(fù)雜規(guī)則的能力。這是下一代防火墻的一個關(guān)鍵特性：它們可以阻止來自某些應(yīng)用程序的流量，并保持對單個應(yīng)用程序的更大控制。
- 深度包檢測，檢查包中包含的數(shù)據(jù)。深度數(shù)據(jù)包檢測是對傳統(tǒng)防火墻技術(shù)的改進，傳統(tǒng)防火墻技術(shù)僅檢查數(shù)據(jù)包的 IP 標頭以確定其來源和目的地。
- 入侵防御系統(tǒng) (IPS)，它監(jiān)視網(wǎng)絡(luò)中的惡意活動并在發(fā)生的地方阻止它。這種監(jiān)控可以基于簽名（將活動與已知威脅的簽名相匹配）、基于策略（阻止違反安全策略的活動）或基于異常（監(jiān)控異常行為）。
- 高性能，允許防火墻監(jiān)控大量網(wǎng)絡(luò)流量而不會減慢。下一代防火墻包括許多需要處理時間的安全功能，因此高性能對于避免中斷業(yè)務(wù)運營非常重要。
- 外部威脅情報，或與 威脅情報 網(wǎng)絡(luò)的通信，以確保威脅信息是最新的并幫助識別不良行為者。
除了這些基本功能之外，下一代防火墻可能還包括其他功能，例如防病毒和惡意軟件保護。它們還可以實現(xiàn)為防火墻即服務(wù) (FWaaS)，這是一種基于云的服務(wù)，可提供可擴展性和更易于維護。使用 FWaaS，防火墻軟件由服務(wù)提供商維護，資源自動擴展以滿足處理需求。這將企業(yè) IT 團隊從處理補丁、升級和調(diào)整大小的負擔中解放出來。
下一代防火墻有什么好處？
與傳統(tǒng)防火墻相比，下一代防火墻提供了更好、更強大的安全性。傳統(tǒng)防火墻的功能有限：它們可能能夠阻止通過特定端口的流量，但不能應(yīng)用特定于應(yīng)用程序的規(guī)則、防止惡意軟件或檢測和阻止異常行為。因此，攻擊者可以通過非標準端口進入來逃避檢測，這是下一代防火墻會阻止的。由于其上下文感知特性和從外部威脅情報網(wǎng)絡(luò)接收更新的能力，下一代防火墻能夠防御范圍廣泛且不斷變化的高級威脅，甚至可以使用智能自動化來保持安全策略迄今為止，無需繁忙的 IT 人員干預(yù)。
此外，下一代防火墻提供了簡化的安全基礎(chǔ)設(shè)施，更易于維護、更新和控制，成本更低。他們將多個安全功能組合到一個解決方案中，并通過單個報告系統(tǒng)報告事件。維護許多不同的安全產(chǎn)品的替代方案給 IT 員工帶來了額外的負擔，并增加了安全漏洞的可能性。
下一代防火墻與傳統(tǒng)防火墻
傳統(tǒng)防火墻依靠端口/協(xié)議檢查和阻止來保護數(shù)據(jù)鏈路和傳輸層（OSI 模型的第 2 層和第 4 層）的企業(yè)網(wǎng)絡(luò)。這種靜態(tài)方法在過去很有效，當時 IT 環(huán)境不像現(xiàn)在那么動態(tài)，并且可以通過端口識別應(yīng)用程序。但隨著虛擬化網(wǎng)絡(luò)的日益復(fù)雜和更高級的安全威脅，這已經(jīng)不夠了。下一代防火墻更智能：它們可以基于應(yīng)用程序（OSI 模型的第 7 層）甚至基于行為過濾數(shù)據(jù)包，從而進行比傳統(tǒng)防火墻使用的通用方法更有效的細粒度區(qū)分。他們還參考外部數(shù)據(jù)來識別威脅。這種動態(tài)，
為什么需要下一代防火墻？
有針對性和復(fù)雜的安全威脅對內(nèi)部網(wǎng)絡(luò)造成的破壞比以往任何時候都大。傳統(tǒng)的防火墻技術(shù)嚴重依賴端口/協(xié)議檢查，這在動態(tài)分配地址和端口的虛擬化環(huán)境中是無效的。相比之下，下一代防火墻使用深度包過濾來檢查包的內(nèi)容，提供第 7 層應(yīng)用程序過濾，甚至可以監(jiān)控和阻止可疑活動。這些功能是確保復(fù)雜、動態(tài)環(huán)境中的安全性所必需的。
防火墻有哪五種類型？
- 包過濾防火墻： 查看包的 IP 頭并丟棄標記的包。
- 電路級網(wǎng)關(guān)： 基于 TCP 握手和其他網(wǎng)絡(luò)協(xié)議會話啟動消息標記惡意內(nèi)容，而不是查看數(shù)據(jù)包本身。
- 狀態(tài)檢測防火墻： 將數(shù)據(jù)包過濾與會話監(jiān)控相結(jié)合，以提高安全性。
- 應(yīng)用級網(wǎng)關(guān)： 按目的端口和 HTTP 請求字符串過濾數(shù)據(jù)包。也稱為代理防火墻。
- 下一代防火墻： 采用應(yīng)用級、上下文感知、智能技術(shù)來防御高級威脅。
