你的企业打算部署下一代防火墙（NGFW）吗？你知道NGFW是以何种魅力打动购买者的吗？本文有你想知道的有关NGFW采购前需要掌握的所有答案，赶紧get起来~

防火墙是最基本的网络安全控制机制之一，在过去二十年里，防火墙已从一个简单的包过滤设备发展成为一个能够同时管控大量网络通信状态的复杂系统。然而尽管与以前相比功能更为先进、吞吐量更高，防火墙还是不可避免地遭遇到了发展瓶颈。

新兴威胁瞬息万变，而传统的端口和IP地址的过滤不再适用。在此背景下，越来越多的企业把希望寄托于能够提供更多更新功能的下一代防火墙（NGFW）上。

NGFW“自带撩妹技能”

当你打算进行NGFW采购时（不管是出于替代现有防火墙/入侵检测系统还是用作单独的安全控制点的目的），都有一些你将会用得上的且能发挥最大效用的功能。具体有：

应用识别和控制。任何NGFW最重要的功能就是要能够正确地理解、解码以及分析应用流量来检测已知或未知威胁。绝大部分关键业务应用的策略变化设计的很微妙，用以支持不同类型的功能。防火墙需要能够察觉到这些细微的变化以做出恰当的策略决策。任何高效的NGFW必须支持细颗粒度的应用策略部署及管控，同时，也要能更新至允许设备评估规则和持续应用它们的分析和处理引擎，而无论流量模式怎样随时间变化。

协议解析和异常检测。任何NGFW必须要能快速地将协议解析至现有组成部件中去。很多攻击者使用复杂的隧道技术，将指定协议或敏感数据嵌入其他协议中。这样一来，NGFW需要判断出ICMP、HTTP以及其他协议类型是真实的还是攻击者人为制造的。

用户识别。所有的企业级NGFW产品都应该具备与各类目录资源（比如说Active Directory以及现有环境中的相关活动）连接的功能用以进行用户识别。理想情况下，系统应该能将IP地址映射到系统名称以及用户登录上去。防火墙上基于角色的策略能用于特殊用户检测。这就使得防火墙能够判断出是否有与协议和应用有关的不寻常的流量出现，即使它追踪的使用模式是基于特定的用户和组的也无妨。此种情形下，对于打算进行采购的企业来说，需要考虑的最重要的一点就是产品对于用户资源库类型的支持。

速度和性能。除理解和过滤流量之外，评价NGFW的另一项关键的因素就是速度。考虑到对于任何一台NGFW设备来说，数据包的处理和分析都非常密集，因而流量延迟是一个主要的关注点。很多厂家鼓吹其产品可以保持10 Gbps或更快的速度，不过在决定购买之前企业还是要进行彻底地检测以得出实际的速度。

NGFW“撩妹高手进阶”

与NGFW必备的功能不同，有一些是只有某些NGFW产品才具有的优异的特性：

URL过滤。一些防火墙可以执行基于URL的内容过滤以及站点信誉分析。尽管不如单独的内容过滤产品那样强大、特征明显，但URL过滤能将应用及流量分析方面的功能添加至已经运行的入侵检测过程中。

SSL终止和检验。攻击者非常聪明，他们制作恶意软件和攻击套件，使用像SSL之类的加密通道来运送敏感数据和机器命令。一些组织可能会认为这应该是下一代防火墙的一项必备功能，不过很多企业还没有准备好对SSL进行监管或者因为某些与隐私相关的原因无法做到。

恶意软件虚拟沙盒。一些更新的下一代防火墙产品已经开始将恶意软件沙盒和分析集成在产品中，这将有益于检测出更为高级的恶意软件感染。 此外，也可以将易于使用和部署、与现有环境中的工具和技术集成以及可以默认设备的用户登录等特性考虑在内。

戴尔NGFW自有“撩法”

在功能和性能方面，戴尔SonicWALL NGFW在自备传统防火墙的功能外，也有自己的一套。戴尔SonicWALL NGFW会对所有流量进行扫描，在确保检测每个数据包中的每个字节的同时保证网络所需的高性能和低延时。同时，其可提供实时SSL解密和检测、采用先进防规避技术的IPS以及可利用云的基于网络的恶意软件防御系统功能，以保护网络对最新威胁也有抵抗力。

如今，市场上流行的NGFW正变得越来越强大，并在大多数情景中都能补足或替代传统的防火墙技术。那么在通读全文后，小伙伴们有木有觉得NGFW的采购有了一个大写的“清晰”了呢？

本文转自d1net（转载）