AF防火墙参数全系列型

1、国内下一代防火墙第一品牌深信服下一彳t防火墙(Next-GenerationApplicationFirewall ) NGAF1面向应用层设计，能够精确识别用户、应用和内容，具备完整安全防护能力，能够全面替代传统防火墙，并具有强劲应用层处理能力的全新网络安全设备。NGAFW决了传统安全设备在应用识别、访问控制、内容安全防护等方面的不足，同时开启所有功能后性能不会大幅下降。区别于传统的网络层防火墙，NGAFM备L2-L7层的协议的理解能力。不仅能够实现网络层访问控制的功能，且能够对应用进行识别、控制、防护，解决了传统防火墙应用层控制和防护能力不足的问题。区别于传统DPI技术的入侵防御系统，深信

2、服 NGAFM备深入应用内容的威胁分析能力，具备 双向的内容检测能力为用户提供完整的应用层安全防护功能。同样都能防护web攻击，与web应用防火墙关注 web应用程序安全的设计理念不同，深信服 下一代防火墙NGA改注web系统在对外发布的过程中各个层面的安全问题，为对外发布系统打造坚实的防御体系。性能参数产品型号AF-520AF-1020AF-1110AF-1120AF-1210AF-1320AF-1520三层吞吐300Mbps400Mbps500Mbps600Mbps800Mbps1Gbps1.5Gbps七层吞吐80Mbps120Mbps150Mbps200Mbps250Mbps300Mbp

3、s350Mbps并发连接数200,000200,000200,000300,000300,000400,000400,000网络3个千兆4个千兆4个千兆4个千兆6个千兆6个千兆4个千兆接口电口电口电口电口电口电口电口2个千兆光口安装空间桌回式1U1U1U1U1U1U电源单电源单电源单电源单电源单电源单电源单电源产品型号AF-1620AF-1720AF-1820AF-2020AF-3020AF-4020三层吞吐2Gbps3Gbps3.5Gbps4Gbps6Gbps8Gbps七层吞吐500Mbps700Mbps900Mbps1.2Gbps2Gbps2.5Gbps并发连接数500,000600,00

4、0800,000800,0001,000,0001,000,000网络接口6个千兆电口8个千兆电口10个千兆电口4个千兆光口8个千兆电口2个千兆光口6个千兆电口4个千兆光口10个千兆电口4个千兆光口安装空间1U1U2U2U2U2U电源单电源单电源冗余电源冗余电源冗余电源冗余电源产品AF-6020AF-7020AF-8020型号三层吞吐12Gbps16Gbps20Gbps七层吞吐8Gbps10Gbps12Gbps并发连接数4,000,0004,000,0008,000,000网络8个千兆8个千兆8个千兆接口电口电口电口4个千兆4个千兆2个万兆光口光口光口安装空间2U2U2U电源冗余电源冗余电源冗

5、余电源功能列表项目具体功能要求部署方式支持网关、网桥和混杂模式；实时监控实时提供CPU内存、磁盘占用率、会话数、在线用户数、网络接口的鞫设备资源信息；提供安全事件信息，包括最近安全事件、服务器安全事件、终端安全事件等，事件信息提供发生事件、源 IP、目的IP、攻击类型以及攻击的URL等；提供实时智能模块间联动封锁的源IP以便实现动态智能安全管理；网络适应性支持静态路由、RIPv1/2、OSPF策略路由；支持 ARP域名解析、DHC冲继、DHCPI艮务器、DHC陶户端等IP服务；包过滤与状态检测提供静态的包过滤和动态包过滤功能；支持的应用层报文过滤，包括：应用层协议：FTP HTTP SMTP

6、RTSP H.323 (Q.931 , H.245 , RTP/RTCP、SQLNETMMS PPTP?;传输层协议：TCP UDPNAT地址转换支持多个内部地址映射到同一个公网地址、多个内部地址映射到多个公网地址、内部地址到公网地址映射、源地址和目的地址同时转换、外部网络主机访问内部服务器、支持 DNS央射功能；可配置支持地址转换的有效时间；支持多种 NATALG包括 DNS FTR H.323、SIP等抗攻击特性支持防御 Land、Smurf、Fraggle、WinNuka PingofDeath、TearDrop、IPSpoofing 、SYNFlood、ICMPFlood、UDPFlo

7、od DNSQueryFloodk ARP欺骗攻击防范、ARP主动反向查询、TCP报文标志位不合法攻击防范、支持 IPSYN速度限制、超大ICMP报文攻击防范、地址/端口扫描的防范、DoS/DDo触击防范、ICMP重定向或不可达报文控制等功能，此外还支持静态和动态黑名单功能、MACF口 IP绑定功能；IPSECVPN支持AES DES 3DES MD5 SHA! DH RC4等算法，并且支持扩展国密办 SCB2 等其他加密算法支持 MD吸SHA-1验证算法；支持各种NAT网络环境T的VPN 组网；支持第三方标准IPSecVPN进行对接；*总部与分支有多条线路，可在 线路间 进行IPSecVPN

8、隧道建立，并设置主隧道及备份隧道，对主隧道可 进行带宽叠加、按包或会话进行流量平均分配，主隧道断开备份隧道自动启 用，保证IPSecVPN连接不中断；可为每一分支单独设置不同的多线路策略； 单臂部胃下同样支持多线路策略；应用访问控制策略支持应用2000种以上的应用动作的应用识别；支持应用更新版本后的主动识别和控制的应用智能识别；提供基于应用识别类型、用户名、接口、安全域、IP地址、端口、时间进行应用访问控制列表的制定；威胁检测支持基于特征匹配、协议异常检测、智能应用识别等方式针对已知威胁进行检测；支持基于威胁关联分析的检测机制，针对未知威胁进行分析检测；IPS入侵防护微软“MAPP计划会员，漏

9、洞特征库：2800+并获得CVE ”兼容性认证证书”， 能够自动或者手动升级；防护类型包括蠕虫 /木马/后门/DoS/DDoS攻击探测/扫描/间谍软件/利用漏洞的攻击/缓冲区溢出攻击/协议异常/IPS逃逸攻击 等；防护对象分为保护服务器和保护客户端两大类，便于策略部署；漏洞详 细信息显示：漏洞ID、漏洞名称、漏洞描述、攻击对象、危险等级、参考信 息、地址等内容；支持自动拦截、记录日志、上传灰度威胁到“云端”服务器防护支持web攻击特征数量1000+;支持Web网站隐藏，包括HTTP响应报文头出 错页面的过滤，web响应报文头可自定义；支持 FTP服务应用信息隐藏包括： 服务器信息、软件版本信息

10、等；支持OWASP义10大web安全威胁，保护服务器免受基于Web应用的攻击，如SQL注入防护、XSSa击防护、CSR或击 防护、支持根据网站登录路径保护口令暴力破解；支持web站点扫描、web站点结构扫描、漏洞扫描等扫描防护；可严格控制上传文件类型，检查文件头 的特征码防止有安全隐患的文件上传至服务器，并支持结合病毒防护、插件 过滤等功能检查文件安全性；支持指定URL的黑名单、加入排除 URL目录，ftp弱口令防护、telnet弱口令防护等功能；敏感信息防泄漏内置常见敏感信息的特征，且可自定义敏感信息特征，如用户名、密码、邮箱、身份证信息、MD转码等，可自定义具有特殊特征的敏感信息；支持正常

11、 访问http连接中非法敏感信息的外泄操作；支持数据库文件敏感信息检测， 防止数据库文件被“拖库”、“暴库”；风险评估支持服务器、客户端的漏洞风险评估功能，支持对目标IP进行端口、服务扫描；支持 ftp、mysql、oracle、mssql、ssh、RDP 网上邻居 NetBIOS、VNC等多种应用的弱口令评估与扫描；风险评估可以实现与FW IPS、服务器防护模块的智能策略联动，自动生成策略；网页篡改防护网关型网页防篡改，无需在服务器中安装任何插件；支持文件比对、特征码 比对、网站元素、数字指纹比对多种比对方式，保证网站安全；全面保护网 站的静态网页和动态网页，支持网页的自动发布、篡改检测、应

12、用保护、警 告和自动恢复，保证传输、鉴别、地址访问、表单提交、审计等各个环节的 安全，完全实时杜绝篡改后的网页被访问的可能性及任何使用Web方式对后台数据库的篡改；支持各级贞白模糊框架匹配、精确匹配的方式适用小同的 网页类型；支持提供管理员业务操作界面与网管管理界面分离功能，方便业 务人员更新网站内容；支持通过替换、重定向等技术手段，防护篡改页面； 网站维护管理员必须通过短信认证才可进行网站更新业务操作（选配）；支 持短信报警、邮件报警、控制台报警等多种篡改报警方式；病毒防护支持基于流引擎查毒技术，可以针对 HTTP FTR SMTP POP舞协议进行查杀；能实时查杀大量文件型、网络型和混合型

13、等各类病毒；并采用新一代虚拟脱壳和行为判断技术，准确查杀各种变种病毒、未知病毒；内置10万条以上的病毒库，并且可以自动或者手动升级；检测到病毒后支持记录日志、阻断连接；We族全防护对用户web行为进行过滤，保护用户免受攻击；支持只过滤HTTPGETHTTPPOSTHTTP翁应用行为；并进行阻断和记录日志；支持针对上传、下载等操作进行文件过滤；支持自定义文件类型进行过滤；支持基于时间表的策略制定；支持的处理动作包括：阻断和记录日志；支持基于签名证书的ActiveX过滤；支持添加白名单和合法网站列表；支持基于应用类型的ActiveX过滤，如视频、在线杀毒、娱乐等；支持基于操作类型的脚本过滤，如注册

14、表读写、文件读写、变形脚本、威胁对象调用、恶意图片等；支持同时连接多条外网线路，且支持多线路复用和智能选路技术；支持将多条外网线路虚拟映射到设备上，实现对多线路的分别流控；支持基于应用类流量管理型、网站类型、文件类型的带宽划分与分配；支持时间和IP的带宽划分与分配；支持基于用户名/密码、单点登陆以及基于IP地址、MACM址、计算机名的识 别等多种认证方式；支持 AD域结合、Proxy、POP3 web表单等多种单点登陆 方式，简化用户操作；*可强制指定用户、指定IP段的用户必须使用单点登 录；支持添加到指定本地组、临时账号和不允许新用户认证等新用户认证策用户管理 略；支持强制AD域认证，指定用户必须用 AD域账户登录操作系统，否则禁止上网；认证成功的用户支持页面跳转， 包括最近请求页面、管理员制定URL注销页面等；支持 CSV&式文件导入、扫描导入和从外部LDAP服务器上导入等账户导入方式；用户分组支持树形结构，支持父组、子组、组内套组等组织结构；支持SSL加密WEBf式管理设备；支持邮件、短信（可扩展）等告警方式，可提供管理员登陆、病毒、IPS、web攻击以及日志存储空间不足等告警设置；提供图形化排障工具，便于管理员排查策略错误等故障；提供路由、网桥、网关管理旁路等部署模式的配置引导，提供保护服务器、保护内网用户上网安全、保证内网用户上网带宽、保证遭到攻击