标题：下一代防火墙
简介
2009年，著名咨询机构Gartner介绍为应对当前与未来新一代的网络安全威胁认为防火墙必需要再一次升级为“下一代防火墙”。第一代防火墙已基本无法探测到利用僵尸网络作为传输方法的威胁。由于采用的是基于服务的架构与Web2.0使用的普及，更多的通讯量都只是通过少数几个端口及采用有限的几个协议进行，这也就意味着基于端口/协议类安全策略的关联性与效率都越来越低。深层数据包检查入侵防御系统（IPS）可根据已知攻击对操作系统与漏失部署补丁的软件进行检查，但却不能有效的识别与阻止应用程序的滥用，更不用说对于应用程序中的具体特性的保护了。 
Gartner将网络防火墙定义为在线安全控制措施，即：可实时在各受信级网络间执行网络安全策略。Gartner使用“下一代防火墙”这一术语来说明升级防火墙的必要性，以应对业务程序使用IT的方法以及针对业务系统所发起的攻击方法所发生的改变。
2012年伊始，NGFW(Next generation firewall)即下一代防火墙已经成为业界的热点声音。云计算、WEB2.0及移动互联网等一系列新应用技术被广泛使用，Gartner2009年定义NGFW时的认知已经明显不足。NGFW商标持有者，也是中国国内最知名的信息安全品牌TOPSEC(天融信)给出了下一代防火墙必须具备六大特质：基于用户防护、面向应用安全、高效转发平台、多层级冗余架构、全方位可视化、安全技术融合。这也补充了Gartner2009年定义NGFW时，对于云计算、web2.0、移动互联等新技术的认知不足。 
传统防火墙可以缓解简单的网络攻击，而“新一代”防火墙可以应对企业数据中心的出站漏洞。但只有基于新型数据中心防火墙架构可以在确保基于标准的合规性的同时，通过消除防火墙设备和升级以及最大限度利用其它数据中心资源来显著降低资本支出。这种新型数据中心防火墙架构在网络边界拥有全代理、高连接能力的ADC。
下一代防火墙并不是简单的功能堆砌和性能叠加，下一代防火墙以全局的视角，从解决用户网络面临的实际问题出发来定义才更为妥当。 　
下一代防火墙并不是凭空而出的产品，也不会是防火墙的终极形态。下一代防火墙需要安全厂商不断的关注IT环境和客户需求的变化、持续专注的技术积累及创新，而厚积薄发的产品成果。 　
下一代防火墙还会有“下一代”，那会是性能更强，功能更加贴合网络环境与用户需求的产品[1]。
六大功能
业界的主流观点认为，下一代防火墙应该实实在在实现以下六大功能：
基于用户防护 传统防火墙策略都是依赖IP或MAC地址来区分数据流，不利于管理也很难完成对网络状况的清晰掌握和精确控制。此外还集成了安全准入控制功能，支持多种认证协议与认证方式，实现了基于用户的安全防护策略部署与可视化管控。
面向应用安全 在应用安全方面，下一代防火墙应该包括“智能流检测”和“虚拟化远程接入”两点。一方面可以做到对各种应用的深层次的识别;另外在解决数据安全性问题方面，通过将虚拟化技术与远程接入技术相结合，为远程接入终端提供虚拟应用发布与虚拟桌面功能，使其本地无需执行任何应用系统客户端程序的情况下完成与内网服务器端的数据交互，就可以实现了终端到业务系统的“无痕访问”，进而达到终端与业务分离的目的。
高效转发平台 为了突破传统网关设备的性能瓶颈，下一代防火墙可以通过整机的并行多级硬件架构设计，将NSE(网络服务引擎)与SE(安全引擎)独立部署。网络服务引擎完成底层路由/交换转发，并对整机各模块进行管理与状态监控;而安全引擎负责将数据流进行网络层安全处理与应用层安全处理。通过部署多安全引擎与多网络服务引擎的方式来实现整机流量的分布式并行处理与故障切换功能。
多层级冗余架构 下一代防火墙设备自身要有一套完善的业务连续性保障方案。针对这一需求，必须采用多层级冗余化设计。在设计中，通过板卡冗余、模块冗余以及链路冗余来构建底层物理级冗余;使用双操作系统来提供系统级冗余;而采用多机冗余及负载均衡进行设备部署实现了方案级冗余。由物理级、系统级与方案级共同构成了多层级的冗余化架构体系。
全方位可视化 下一代防火墙还要注意“眼球经济”，必须提供丰富的展示方式，从应用和用户视角多层面的将网络应用的状态展现出来，包括对历史的精确还原和对各种数据的智能统计分析，使管理者清晰的认知网络运行状态。实施可视化所要达到的效果是，对于管理范围内任意一台主机的网络应用情况及安全事件信息可以进行准确的定位与实时跟踪;对于全网产生的海量安全事件信息，通过深入的数据挖掘能够形成安全趋势分析，以及各类图形化的统计分析报告。
安全技术融合 动态云防护和全网威胁联防是技术融合的典范。下一代防火墙的整套安全防御体系都应该是基于动态云防护设计的。一方面可以通过“云”来收集安全威胁信息并快速寻找解决方案，及时更新攻击防护规则库并以动态的方式实时部署到各用户设备中，保证用户的安全防护策略得到及时、准确的动态更新;另一方面，通过 “云”，使得策略管理体系的安全策略漂移机制能够实现物理网络基于“人”、虚拟计算环境基于“VM”(虚拟机)的安全策略动态部署。[2]
属性
下一代防火墙需具有下列最低属性：
· 支持在线BITW（线缆中的块）配置，同时不会干扰网络运行。 
· 可作为网络流量检测与网络安全策略执行的平台，并具有下列最低特性： 
1）标准的第一代防火墙功能：具有数据包过滤、网络地址转换（NAT）、协议状态检查以及VPN功能等。 
2）集成式而非托管式网络入侵防御：支持基于漏洞的签名与基于威胁的签名。IPS与防火墙间的协作所获得的性能要远高于部件的叠加，如：提供推荐防火墙规则，以阻止持续某一载入IPS及有害流量的地址。这就证明，在下一代防火墙中，互相关联作用的是防火墙而非由操作人员在控制台制定与执行各种解决方案。高质量的集成式IPS引擎与签名也是下一代防火墙的主要特性。所谓集成可将诸多特性集合在一起，如：根据针对注入恶意软件网站的IPS检测向防火墙提供推荐阻止的地址。 
3）业务识别与全栈可视性：采用非端口与协议vs仅端口、协议与服务的方式，识别应用程序并在应用层执行网络安全策略。范例中包括允许使用Skype但禁用Skype内部共享或一直阻止GoToMyPC。 
4）超级智能的防火墙: 可收集防火墙外的各类信息，用于改进阻止决策，或作为优化阻止规则的基础。范例中还包括利用目录集成来强化根据用户身份实施的阻止或根据地址编制黑名单与白名单。 
· 支持新信息流与新技术的集成路径升级，以应对未来出现的各种威胁。
应用
下一代防火墙的执行范例包括阻止与针对细粒度网络安全策略违规情况发出警报，如：使用Web邮件、anonymizer、端到端或计算机远程控制等。仅仅根据目的地IP地址阻止对此类服务的已知源访问再也无法达到安全要求。细粒度策略会要求仅阻止发向其它允许目的地的部分类型的应用通讯，并利用重新导向功能根据明确的黑名单规则使其无法实现该通讯。这就意味着，即使有些应用程序设计可避开检测或采用SSL加密，下一代防火墙依然可识别并阻止此类程序。而业务识别的另外一项优点还包括带宽控制，例：因为拒绝了无用或不允许进入的端到端流量，从而大幅降低了带宽的耗用。
仅有不到1%的互联网连接采用了下一代防火墙保护。但是随着下一代网络的来临，下一代防火墙的应用已然是不可抗拒的趋势，有理由相信到2014年年末使用这一产品进行保护的比例将上升至35%，同时，其中将有60%都为重新购买下一代防火墙。 
大型企业都将随着正常的防火墙与IPS更新循环的到来逐渐采用下一代防火墙代替其现有的防火墙，或因带宽需求的增高或遭受了攻击而进行防火墙升级。许多防火墙与IPS供应商都已升级了其产品，以提供业务识别与部分下一代防火墙特性，且有许多新兴公司都十分关注下一代防火墙功能。Gartner的研究报告说明，认为随着威胁情况的变化以及业务与IT程序的改变都促使网络安全经理在其下一轮防火墙/IPS更新循环中寻求具有下一代防火墙功能的产品。而下一代防火墙的供应商们成功占有市场的关键则在于需要证明第一代防火墙与IPS特性既可与当前的第一代功能相匹配，又能同时兼具下一代防火墙功能，或具有一定价格优势。
在2011年，国外厂商梭子鱼和国内厂商深信服科技，先后推出了下一代防火墙产品。
网康下一代防火墙
网康下一代防火墙（NGFW）[3]是一款可以全面应对应用层威胁的高性能防火墙。通过深入洞察网络流量中的用户、应用和内容，并借助全新的高性能单路径异构并行处理引擎，NGFW能够为用户提供有效的应用层一体化安全防护，帮助用户安全地开展业务并简化用户的网络安全架构。
  网康下一代防火墙产品介绍
相对传统防火墙
网康下一代防火墙除了拥有传统防火墙的所有防护功能外，还可以识别网络流量中的应用和用户信息，实现用户和应用级别的访问控制；能够识别不同应用所包含的内容信息中的威胁和风险，防御应用层威胁；可识别和控制移动应用，防止BYOD带来的风险；能通过主动防御技术识别未知威胁，让用户对网络威胁构成一览无余。　
相对UTM产品
网康下一代防火墙全面解决应用端口跳变引起的威胁逃逸，支持对未知威胁的感知并进行主动防御，支持对移动应用的识别和控制，采用高性能单路径异构并行处理引擎的一体化安全策略架构，在所有防护功能开启的前提下仍然能够保证设备的高性能运转。　
产品功能价值
深度应用层洞察与控制企业内使用的应用已经不再是简单的“黑”与“白”的区分，“灰色”应用大量存在。只有全方位和多维度的应用层洞察能力，才能保证企业对黑色应用和灰色应用的有效控制。 
  网康下一代防火墙深度应用层洞察与控制
1、深度的应用洞察能力　
网康NGFW[4]采用深度识别技术，有效解决了传统防火墙和IPS设备无法识别的逃逸手段，例如端口跳变、代理、隧道技术和SSL加密等。使客户有能力对各种应用进行识别、检测和控制。 
2、全面的用户识别手段　 
网康NGFW能够支持通过多种认证系统（MS AD、Radius、LDAP等）进行用户认证和多种应用系统（POP3、SMTP、Kerberos等）的用户识别，同时提供完善的用户组织管理和导入功能。 
3、精细的应用控制策略　 
不同于传统防火墙的五元组访问控制策略，网康NGFW可基于应用和用户进行访问策略控制。区别于传统的允许和禁止的简单手段，网康下一代防火墙还可以对策略内的流量进行阻塞、多维度的安全扫描以及精细的流量管理。 
4、丰富的流量管理功能　 
网康NGFW提供了包括虚拟链路管理、多级流量通道管理、带宽控制和借用、用户带宽平均分配等丰富的流量管理功能。在实现安全防护的同时保障了关键应用，提升带宽价值。 　一体化应用层威胁防护网康NGFW通过应用的洞察能力保证对采用动态端口、隧道、代理和SSL加密等技术手段的应用的可见性，防止威胁逃逸，并通过基于应用的全方位安全检测手段（入侵防御、防病毒、URL过滤等）来防御威胁。 
  网康下一代防火墙一体化应用层威胁防护
1、防逃逸的入侵防御　
网康NGFW基于深度应用识别，有效解决了传统入侵防御技术无法应对端口逃逸带来的威胁。提供漏洞、木马、蠕虫、后门、缓冲区溢出、扫描和SQL注入等多种攻击或威胁方式的检测和防御，支持2500条以上的威胁特征库，并及时更新。 
2、低时延的病毒检测　　 
网康NGFW基于流技术提供高效的病毒防护功能，流技术的低延迟效果，能给用户保证良好的网络使用体验。支持对多种协议（HTTP、FTP、SMTP、POP3和IMAP等）流量和压缩文件（gzip，zip，rar等）中病毒的查杀，提供近10万条实时更新的病毒特征库。 
3、基于云的URL过滤　 
网康NGFW的URL过滤功能，采用了基于云的主动扫描预防和在线内容识别的方法，快速发现并识别可疑网站，能有效的防御挂马网站、钓鱼网站；识别已被植入木马的傀儡主机，切断其与外界的通信，消除风险；通过对高风险网站如色情、赌博等类别网站的控制，减少与挂马、钓鱼网站的接触机会，降低风险。 
4、一体化的安全策略　
网康NGFW提供基于应用的一体化安全策略，给用户带来了基于应用的全面安全功能和简单、灵活的安全策略配置。在传统防火墙的五元组策略基础上，增加了应用、用户、内容的三个维度，一条策略可同时对应用、用户和内容进行匹配，减少了策略配置条目、降低了维护成本。 智能化主动防御网康NGFW的主动威胁防御体系提供基于行为分析、多种类型日志的智能关联和威胁分析可视化的防护手段，帮助用户有效发现网络中存在的未知威胁并加以控制、及时调整安全策略增强安全防御。
1、应用威胁可视　
网康NGFW根据应用的具体特性，例如“已知漏洞”、“技术特点”和“被攻击利用情况”等，对应用进行安全风险划分和识别。对“灰色”应用进行更精细的应用安全风险划分和识别，能够帮助用户对“灰色”应用进行有效的安全风险认识和控制，安全地开展业务。
网康NGFW支持根据国家和地区绘制网络流量和威胁统计分布图，对去往和来源于不同国家和地区的流量与威胁做到可视化。
网康NGFW基于僵尸网络的行为进行分析并发现网络中的傀儡主机，用户可以通过隔离控制，保障用户网络不被僵尸网络渗透。
2、安全基线对比分析　
网康NGFW不仅提供针对用户网络中应用及威胁的排名统计分析，还提供基线分析，能够帮助用户对比前一天、前一周或前一个月相同时段的应用和威胁情况。网康NGFW支持4个维度（新增、消失、增长明显和减少明显）的基线对比方法，帮助用户直观感受网络中应用和威胁的变化，有效预测和防御潜在威胁。
3、威胁集成关联分析　
网康NGFW具备多维度的数据分析功能，如扫描到的威胁、URL分类过滤、文件类型过滤、源和目的用户、地域国家的分布等。同时支持对每一种维度内的数据进行过滤再分析，为用户提供数据广度的关联和深度的挖掘分析呈现，进而协助用户分析出潜在的威胁，并能够基于应用进行风险控制。
网康NGFW提供了流量日志、威胁日志、URL过滤日志、文件过滤日志等多种日志信息，支持从一种日志的内容钻取到其他日志的相关内容。比如，从扫描到威胁的日志条目可以查看相关流量日志，并进一步查看URL过滤的日志内容。完备的基础防火墙特性1、基于五元组的ACL　 
网康NGFW支持基于五元组（源地址、目的地址、源端口、目的端口、协议类型）的访问控制。 
2、传统攻击防护　 
网康NGFW可防护端口扫描、DDOS攻击、SYN Flood、ICMP Flood、UDP Flood、TearDrop、LAND、WinNuke、Smurf、Fraggle和Ping Of Death等传统攻击方式。 
3、基础网络功能　　 
网康NGFW提供了多种地址转换能力、静态路由、基于IPsec的VPN、动态路由协议（RIP、OSPF）、HA、ALG等组网功能。 BYOD识别与管理1、移动终端的识别和管理　
网康NGFW可以智能识别用户的移动终端类型，结合对移动应用的识别更好地控制由移动设备引入网络所带来的安全风险。
2、移动应用的识别和管理　
网康已率先支持超过500种移动互联网应用。覆盖苹果、安卓、塞班等多种移动平台，涵盖聊天、微博、视频、地图等多种主流应用类型。确保网络管理无盲区，全面实现对PC、移动终端的全面管控。高性能单路径引擎1、数据流的单路径处理引擎　
网康NGFW在数据报文转发过程中，从网络L2-L7层仅作单次报文和协议的解析，报文依次经过转发引擎、应用引擎和内容引擎，一次完成报文的单次网络解析、应用用户洞察和安全扫描等；网康NGFW提供统一策略框架，做到多种安全策略的一次匹配过程，同时在单路径处理过程中，网络L2-L7层数据信息可集成输出并完整可视化。
  网康下一代防火墙
2、高性能异构并行框架　
网康NGFW基于Intel的高性能硬件平台和其DPDK软件技术，使用较少的核就可达到小包万兆的报文高转发能力。同时，网康NGFW通过异构并行架构，不但提供高性能的网络转发，而且提供高性能的应用和内容的并行处理，保证全方位安全特性开启的高可用。[5]
F5 下一代防火墙
产品介绍全球领先的应用交付网络厂商F5Networks公司下一代防火墙能提供更好的保护当今企业的应用和服务。F5的解决方案有助于整合不同的技术，以便更好地控制基础架构，提高应用交付和数据管理能力，并使用户能够通过企业桌面系统和智能设备无缝、安全并更快速地接入应用.F5 BIG-IP解决方案大大超越了传统网络防火墙的种种限制.
TrafficShield应用防火墙可为web服务器与web应用系统提供全面的保护——既可防范已知的对web应用系统及基础架构漏洞的攻击也可抵御更多的恶意及目标攻击。TrafficShield可阻止市场上其它解决方案无法阻止的攻击。TrafficShield解决方案中应用了与网络防火墙、入侵探测系统（IDS）及其它安全设备中使用的消极安全逻辑（仅可防御已知的安全攻击）相反的积极安全模型。TrafficShield产品在阻止黑客篡改系统的同时，还可确保用户安全、无限制的访问所需要的信息。TrafficShield软件与4100硬件平台是F5安全产品的关键部件，该安全产品可帮助企业组织实现端到端的应用层安全。TrafficShield优势安全应用与身份盗用保护：TrafficShield精细的应用流程模型将利用一个积极的安全模型进行访问控制，并且更新身份信息使其成为每个HTTP请求/响应的一部分，以确保身份信息的保密性与完整性。TrafficShield的清除记录功能可清除网页上的身份信息，以防止在web应用响应中泄露机密信息。
利用主动全面的web应用安全降低攻击危险：TrafficShield的应用流程模型（AFM）为企业web应用提供精细、全面的保护，防御针对web应用及动态应用系统的普通及目标攻击（包括：缓冲区溢出、SQL注入、跨网站指令码攻击、参数篡改及零日攻击）
标准符合性：TrafficShield为web应用提供全面的保护，防止诸如客户名称、社会保险号码（SSNs）、及患者病历等机密信息泄露，并保证符合业界及官方相关规定（如HIPAA，GLBA及SB1386）。
低廉的拥有总成本（TCO）：TrafficShield可在提高企业用户的应用及网络安全性的同时，降低企业的拥有总成本。TrafficShield可为企业应用提供包括一个安全反向代理、SSL加速（终止及web服务器重新加密）、密钥管理、故障切换处理、及基本网络防火墙等功能在内的全面的网络安全保护。
灵活的部署方式：TrafficShield可根据客户需要部署各种安全级别。通常一日之内即可完成一个标准部署。可保护服务器/应用系统免受绝大多数针对应用系统的普通攻击。另外，TrafficShield中的“高级自定义安全策略”模型允许用户根据自己的需要自定义适合自己的安全策略，可为用户提供精密的安全保护。
深信服下一代防火墙
概述[6]深信服下一代防火墙是面向应用层设计，能够精确识别用户、应用和内容，具备完整安全防护能力，能够全面替代传统防火墙，并具有强劲应用层处理能力的全新网络安全设备。NGAF解决了传统安全设备在应用管控、应用可视化、应用内容防护等方面的巨大不足，同时开启所有功能后性能不会大幅下降。 
深信服下一代防火墙不但可以提供基础网络安全功能，如状态检测、VPN、抗DDoS、NAT等；还实现了统一的应用安全防护，可以针对一个入侵行为中的各种技术手段进行统一的检测和防护，如应用扫描、漏洞利用、Web入侵、非法访问、蠕虫病毒、带宽滥用、恶意代码等。NGAF可以为不同规模的行业用户的数据中心、广域网边界、互联网边界等场景提供更加精细、更加全面、更高性能的应用内容防护方案。 　应用层安全控制当前网络环境中，应用已成为网络的主要载体，而网络安全的威胁更多的来源于应用层，这也使得用户对于网络访问控制提出更高的要求。如何精确的识别出用户和应用、阻断有安全隐患的应用、保证合法应用正常使用、防止端口盗用等问题，已成为现阶段用户对网络安全关注的焦点。但IP不等于用户、端口不等于应用，传统防火墙基于IP/端口的五元组访问控制策略已不能有效的应对现阶段网络环境的巨大变化。 
深信服下一代防火墙采用独创的应用可视化技术，可以根据应用的行为和特征实现对应用的识别和控制，而不仅仅依赖于端口或协议，摆脱了传统设备只能通过IP地址来控制的尴尬，即使加密过的数据流也能应付自如。 
深信服下一代防火墙可以识别700多种应用及其1000多种应用动作，还可以与多种认证系统（AD、LDAP、Radius等）、应用系统（POP3、SMTP等）无缝对接，自动识别出网络当中IP地址对应的用户信息，并建立组织的用户分组结构；既满足了普通互联网边界行为管控的要求，同时满足了在内网数据中心和广域网边界的部署要求，可以识别和控制丰富的内网应用，如Lotus Notes、RTX、Citrix、Oracle EBS、金蝶EAS、SAP、LDAP等，针对用户应用系统更新服务的诉求，NGAF还可以精细识别Microsoft、360、Symantec、Sogou、Kaspersky、McAfee、金山毒霸、江民杀毒等软件更新,保障在安全管控严格的环境下，系统软件更新服务畅通无阻。 
因此，通过应用可视化技术制定的L3-L7一体化应用访问控制策略，可以为用户提供更加精细和直观化控制界面，在一个界面下完成多套设备的运维工作，提升工作效率。 　内容级安全防护网络安全与黑客技术的发展使得用户面临的威胁不再单单是一个病毒一个木马、一次DOS攻击这样的简单攻击。黑客可采用丰富的工具，利用众多的漏洞，结合多种攻击手段进行混合型的破坏性攻击，具有代表性的如Slammer、Blaster等。而信息获取和攻击代码往往也隐藏在正常的应用访问中，这种混合型安全威胁的出现也给网络安全建设提出新的要求：需要采用更全面的防护手段，防止安全短板被利用；需要深入到应用内容的安全防护，以识别和预防潜在威胁。 
NGAF融合了漏洞防护、web安全防护、病毒防护等多种安全技术，具备2000+条漏洞特征库、数十万条病毒、木马等恶意内容特征库、1000+Web应用威胁特征库，可以全面识别各种应用层和内容级别的各种安全威胁。通过灰度威胁关联分析技术将数据包还原的内容进行全面的威胁检测，并可以针对黑客入侵过程中使用的不同攻击方法进行关联分析，从而精确定位出一个黑客的攻击行为，有效阻断威胁风险的发生。灰度威胁识别技术改变了传统IPS等设备防御威胁种类单一，威胁检测经常出现漏报、误报的问题，可以帮助用户最大程度减少风险短板的出现，保证业务系统稳定运行。 
此外，深信服凭借在应用层领域6年以上的技术积累，组建了专业的安全攻防团队，可以为用户定期提供最新的威胁特征库更新，以确保防御的及时性。 　应用层处理能力性能和安全往往是传统安全设备是无法权衡的问题。尤其在应用层安全防护功能开启时，该问题尤为明显。在带宽不断提升、威胁不断增多的网络环境下，用户不得不在两者做出艰难的选择。 
为了实现强劲的应用层处理能力，NGAF抛弃了传统防火墙NP、ASIC等适合执行网络层重复计算工作的硬件设计，采用了更加适合应用层灵活计算能力的多核并行处理技术；在系统架构上，NGAF也放弃了UTM多引擎，多次解析的架构，而采用了更为先进的一体化单次解析引擎，将漏洞、病毒、Web攻击、恶意代码/脚本、URL库等众多应用层威胁统一进行检测匹配，从而提升了工作效率，实现了万兆级的应用安全防护能力。 　安全防护方案只提供基于应用层安全防护功能的方案，并不是一个完整的安全方案。对于用户来说，还需要采购基础网络层的安全设备（FW、VPN），既增加了成本，也增加了组网复杂度、提升了运维难度。从技术角度来说，一个黑客完整的攻击入侵过程包括了网络层和应用层、内容级别等多个层次方式方法，如果将这些威胁割裂开处理进行防护，各种防护设备之间缺乏智能的联动，很容易出现“三不管”的灰色地带，出现防护真空。 
深信服下一代防火墙涵盖传统防火墙、IPS的主要功能，内部能够实现内核级联动，是一个“L2-L7完整的安全防护产品”。这也是Gartner定义的“额外的防火墙智能”实现的前提，做到真正的内核级联动，才能为用户的业务系统提供一个安全防护的“铜墙铁壁”。 　功能价值多种功能融合、纵深安全防御、一体化安全防护
技术功能
功能价值
IPS漏洞防护
基于漏洞以及攻击行为的特征库，提供自动或手动升级方式。防御包括蠕虫、木马、后门、应用层DOS/DDOS、扫描、间谍软件、漏洞攻击、缓冲区溢出、协议异常、IPS逃逸攻击等
服务器防护
针对OWASP提出的WEB安全威胁的防护，如SQL注入、XSS、CSRF等；提供网站路径保护，暴力破解防护；WEB服务隐藏FTP隐藏、FTP、telent弱口令防护；文件上传过滤、URL黑名单等多种服务器防护功能
病毒防护
基于流引擎查毒技术，可以针对HTTP、FTP、SMTP、POP3等协议进行查杀；可实时查杀大量文件型、网络型和混合型等各类病毒；并采用新一代虚拟脱壳和行为判断技术，准确查杀各种变种病毒、未知病毒
WEB安全防护
提供URL过滤、文件过滤、ActiveX过滤、脚本过滤等多种WEB安全防护手段
透视网络应用、精细控制策略、规避应用安全风险
技术功能
功能价值
可视化应用管控
拥有国内最大的应用规则识别库，可识别数百种互联网应用，上千种应用规则策略
可识别丰富的内网应用如：Lotus Notes、RTX、Citrix、Oracle EBS、金蝶EAS、SAP、LADP等
精确识别Microsoft、360、Symantec、Sogou、kaspersky、金山毒霸、江民杀毒等软件更新保障严格管控下系统软件更新畅通无阻
提供基于应用识别类型、用户名、接口、安全域、IP地址、端口、时间进行应用访问控制列表的制定
丰富日志报表、统一集中管理、最优运维成本
技术功能
功能价值
数据中心
提供内置数据中心和独立数据中心
详细报表
提供统计报表、趋势报表、汇总报表、汇总对比报表、指定对比报表危险行为报表、流速趋势报表等多种报表
统计分析
提供详细的IPS/服务器防护统计、病毒信息统计分析
智能风险报表
提供根据管理者自定义的风险行为特征自动挖掘并输出风险行为智能报表
限制无关应用、保障核心业务、优化带宽利用率
技术功能
功能价值
可视化流量管理
基于应用、网站、文件、时间、目标IP以及用户的多种流量控制
多线路技术、虚拟多线路技术、智能选路技术对多线路分别实现流控
保障核心业务、限制合法业务、阻断非法业务
适应复杂场景、抵御网络攻击、合理规划安全域
技术功能
功能价值
包过滤与状态检测
提供静态的包过滤和动态包过滤功能
抗攻击
能够防御DOS/DDOS、land,smurf,synflood,icmpflood等网络层攻击
NAT
提供一对一、多对一、多对多等地址转换方式；支持多种NAT ALG，包括DNS、FTP、H.323、SIP
VPN模块
内置VPN模块能实现VPN互联
IP协议/路由
支持静态路由、RIP v1/2、OSPF、策略路由等多种路由协议

梭子鱼下一代防火墙
梭子鱼下一代防火墙可以通过中央平台统一管理，无论企业信息管理人员身处何地——企业总部大楼、数据中心甚至远程在家或者分支机构都可以对整个企业的网络系统进行管理。信息管理人员通过梭子鱼控制中心的界面轻松制定安全、内容和流量管理政策。集中化的安全管理和内容政策有以下优势： 
1、 整个企业贯彻统一的安全态势和政策执行 
2、 多重网关的即时报告 
3、 整个网络的配置和政策改变的综合历史和回顾 
4、 对反垃圾邮件、病毒防护、安全网关和网络接入管理更新的统一视图 
除了强大的防火墙和VPN技术，梭子鱼NG防火墙集成了一系列的下一代防火墙技术，包括了7层应用防护，入侵防护，安全网关，病毒防护，反垃圾邮件和网络接入控制等。产品拥有多种硬件型号和相应软件平台，适用于从小型分支机构到大型企业总部或数据中心不等。
天融信下一代防火墙
随着互联网应用类型的不断增加以及应用形式的不断变化，层出不穷的安全威胁时刻发生在我们身边，而传统的安全防护手段则必须经过进化来应对各种新的安全威胁的不断挑战。在这种情况下，防火墙做为边界安全防护手段的核心技术，在经历了多次的技术变革后，早已不是传统防火墙所诠释的概念了。而为了区别于传统型的防火墙技术，下一代防火墙的概念孕育而生。著名市场分析咨询机构Gartner曾于2009年发表文章《定义下一代防火墙》，文章指出下一代防火墙在具有传统防火墙功能与特点的同时，还要具有“支持联动的集成化IPS”、“应用管控与可视化”以及“智能化联动”相关特性。但在“云计算”、“WEB2.0”及“移动互联”等一系列新应用技术被广泛使用的今天，单纯从解决传统防火墙技术缺陷的角度去定义下一代防火墙产品则显得过于片面，而需要的是站在一个全局的视角从解决用户网络面临的实际问题出发去定义下一代防火墙产品。
天融信公司将多年的安全产品研发经验以及对用户需求深刻的理解融入到下一代防火墙设计理念中，使天融信NGFW®下一代防火墙产品具有“基于用户防护”、“面向应用安全”、“高效转发平台”、“多层级冗余架构”、“全方位可视化”及“安全技术融合”六大产品特性。
核心技术
NGTOS下一代安全系统平台
天融信NGFW®系列产品基于天融信公司十余年高品质安全产品开发经验结晶的NGTOS（Next-Generation Topsec Operating System）系统平台。随着多核技术的广泛应用，NGTOS以多核硬件架构为基础，分为系统内核层、硬件抽象层及安全引擎层。在安全引擎层内，根据安全功能模块协议特性的不同，分为数据引擎组（DATA Engines）与应用引擎组（APP Engines）。通过将引擎组与多核硬件架构的完美整合，使NGTOS在系统层面实现了全功能多核并行流处理。而在硬件抽象层则可利用多种加速技术，根据各个核心的实时负载情况，将流量以动态的方式均衡到CPU的各个核心，从而保证了整个CPU效率执行的最大化。
TopTurbo数据层高速处理技术TopTurbo数据层高速处理技术是一套用于将数据进行快速转发的综合解决方案。通过与Intel的深入合作，利用TopTurbo技术将数据包高速处理解决方案快速迁移到最新的Intel架构平台上，与Intel多核平台合而为一，以获得最大的网络处理性能。天融信NGTOS系统平台通过在硬件抽象层引入TopTurbo技术使单块安全引擎卡的网络吞吐能力获得了重大突破，而在天融信的并行多级硬件架构下通过部署多安全引擎卡将使NGFW®下一代防火墙系列的旗舰机型整机网络吞吐达到320Gbps。
一体化的智能过滤引擎天融信NGFW®下一代防火墙产品，采用高度集成的一体化智能过滤引擎技术。其能够在一次数据拆包过程中，对数据进行并行深度检测，从而保证了协议深度识别的高效性。另外，天融信NGFW®下一代防火墙产品基于八元组高级访问控制设计，除传统的五元组控制以外，实现了用户身份信息、应用程序指纹及内容特征的识别与控制，充分体现了下一代防火墙“基于用户防护”与“面向应用安全”的设计理念。
产品特点
基于用户防护
传统防火墙中，策略都是依赖IP或MAC地址来区分数据流，这种描述方式非常不利于管理，很多场景也很难完成对网络状况的清晰掌握和精确控制。天融信NGFW®下一代防火墙积累了多年的产品研发经验，总结并实现了一套灵活且强大的用户身份管理系统，支持RADIUS、TACACS、LDAP 、NT域、邮件、证书、Ukey等等多种认证协议和认证方式。在用户管理方面，实现了分级、分组、权限、继承关系等功能，充分考虑到各种应用环境下不同的用户需求。
天融信NGFW®下一代防火墙集成了强大的安全准入控制功能。在针对终端到网关的认证支持多种认证协议与认证方式的同时，通过对认证终端的操作系统环境进行系统服务、软件、文件、进程、注册表等细粒度的合规性检查，使NGFW®下一代防火墙实现了基于用户的安全防护策略部署与可视化管控。
面向应用安全智能流检测天融信NGFW®下一代防火墙可以做到对各种应用的深层次的识别。例如可以在识别出用户使用的即时通讯软件是MSN、QQ、Yahoo! Messenger还是网易泡泡等客户端的基础上，准确捕捉到用户正在进行的是文字通讯、语音视频、文件传输还是音乐播放等行为，从而有目的、有针对性地加以拦截和限制。备受关注的WEB2.0 技术，也是天融信NGFW®下一代防火墙中重点关注的一类协议。例如可以精细的区分微博中转发、评论、私信、加关注等等内部的细微动作。另外，由于天融信NGFW®下一代防火墙采用了8元组的策略部署思想，在安全策略中整合了用户身份、应用程序指纹识别与内容特征检测技术，使NGFW®下一代防火墙能够基于用户身份实现IPS、AV、URL过滤、DOS/DDoS防护及应用识别等多种安全特性，从而构建了全方位立体化的安全防御体系。
虚拟化远程接入在传统VPN接入的应用形式中，通常是由远程终端本地运行的应用系统客户端程序与内网服务器端程序直接进行数据交互，往往会使远程终端本地存储大量的业务数据，从而带来了数据安全性问题。天融信NGFW®下一代防火墙通过将虚拟化技术与远程接入技术相结合，为远程接入终端提供虚拟应用发布与虚拟桌面功能，使其本地无需执行任何应用系统客户端程序的情况下完成与内网服务器端的数据交互，实现了终端到业务系统的“无痕访问”，进而达到终端与业务分离的目的。
高效转发平台为了突破传统网关设备的性能瓶颈，对于下一代防火墙来说具备一套设计完善的硬件架构体系是必不可少的。天融信NGFW®下一代防火墙整机基于并行多级硬件架构设计，将NSE（网络服务引擎）与SE（安全引擎）独立部署。网络服务引擎完成底层路由/交换转发，并对整机各模块进行管理与状态监控；而安全引擎负责将数据流进行网络层安全处理与应用层安全处理。通过部署多安全引擎与多网络服务引擎的方式来实现整机流量的分布式并行处理与故障切换功能。
多层级冗余架构作为下一代防火墙，一个十分重要的特性就是设备自身如何提供一套完善的业务连续性保障方案。针对这一需求，天融信NGFW®下一代防火墙采用了多层级冗余化设计。在设计中，通过板卡冗余、模块冗余以及链路冗余来构建最底层的物理级冗余；使用双操作系统来提供系统级冗余；而采用多机冗余及负载均衡进行设备部署实现了方案级冗余。由物理级、系统级与方案级共同构成了多层级的冗余化架构体系。
安全技术融合动态云防护天融信NGFW®下一代防火墙的整套安全防御体系基于动态云防护设计，利用天融信的安全云服务中心通过互联网收集各类安全威胁信息并快速寻找解决方案，最终形成全面、精准的攻击防护规则库，而非传统的攻击特征库。此时，通过天融信安全云平台将更新后的攻击防护规则库以动态的方式实时的部署到各用户设备中，在安全威胁层出不穷的网络应用环境下保证用户的安全防护策略得到及时、准确的动态更新。
全网威胁联防天融信NGFW®下一代防火墙强大的策略管理体系通过安全策略漂移机制实现了物理网络基于“人”、虚拟计算环境基于“VM”（虚拟机）的安全策略动态部署。无论内部用户以任何方式接入网络任意区域，与其相关的安全防护策略通过TopPolicy管理平台以动态的方式下发至距离该用户接入最近的NGFW®下一代防火墙安全模块，实现了基于“人”的安全策略漂移并将安全威胁隔离到网络的最外层；而面对虚拟计算环境下虚拟资产进行的迁移动作，天融信NGFW®下一代防火墙的VFW扩展套件将瞬时感知并触发TopPolicy管理平台完成安全策略的同步迁移，最终实现基于“VM”的安全策略漂移机制。[7]
winfun下一代防火墙
winfun是深圳市万方盈科技有限公司的自主品牌，独立研发生产的下一代防火墙，
WINFUN下一代防火墙依托先进的应用识别技术，在性能、安全性、易用性、可管理性等方面有了质的飞跃，满足用户新的防御和管理需求。 WINFUN下一代防火墙可识别超过上千种应用程序，而不论应用程序使用何种端口、协议、SSL、加密技术或逃避策略，其有以下几种应用识别方式： 1）基于协议和端口的检测仅仅是第一步(传统防火墙做法)。固定端口小于1024的协议，其端口通常是相对稳定,可以根据端口快速识别应用。 2）基于应用特征码的识别，深入读取IP包载荷的内容中的OSI七层协议中的应用层信息，将解包后的应用信息与后台特征库进行比较来确定应用类型。 3）基于流量特征的识别，不同的应用类型体现在会话连接或数据流上的状态各有不同，例如，基于P2P下载应用的流量模型特点为平均包长都在450字节以上、下载时间长、连接速率高、首选传输层协议为TCP等；NGAF基于这一系列流量的行为特征，通过分析会话连接流的包长、连接速率、传输字节量、包与包之间的间隔等信息来鉴别应用类型。 WINFUN下一代防火墙具备多种不同形式的图形可视化工具，使查看应用程序及通信流变得简单而直观，简化了网络管理，提升了网络防护的效率。 相应的策略控制可以阻止恶意应用程序，并对正常使用网络的应用程序进行控制。[8]