天融信NGFW下一代防火墙彩产品说明-v

天融信NGFW®下一代防火墙新应用技术带来的新威胁ﻩ随着云计算、WＥB２.0、移动互联等一系列新技术的广泛应用,无论是在工作方面还是在日常生活当中都为我们带来了巨大便利并拉近了人与人之间的距离，使我们深切的感受到信息科技的发展推动着整个人类社会的进步并已全面的渗透到我们日常生活当中的每一个角落。然而，当我们沉浸在一系列新技术所带了的全新体验的同时,其背后附加带来的安全风险也与日俱增。云计算使我们节省了部分本地计算资源并且提升了工作效率，但也使传统网络边界的定义日渐模糊.数据由原来的本地存储转而向云端存储，而在需要时再将其取回至本地，在这个过程中数据的安全性及完整性是我们一定要考虑的问题.另外,随着虚拟化技术的快速发展,在云端的计算资源池内充斥着大量虚拟机系统，而不同的虚拟机又往往给不同的云使用者来提供服务。因此，虚拟计算环境下带来的虚拟边界安全同样也是我们必须要关注的问题。在注重“互动与资源分享”的WEB2.０时代，博客、社会网络、论坛、视频分享等相关应用悄然成为了我们生活当中的一部分。然而“互动与资源分享”方便了大家进行资源共享并提供了多元化沟通渠道的同时，也为病毒／木马的传播以及黑客的经验交流提供了一个较为理想的平台。因此,在WEB2.０相关技术被广泛应用的今天，我们会发现病毒/木马的种类相比以往要多而传播速度也更迅速.随着3G、ＷＩFI等无线网络接入技术的普及，为智能终端操作系统提供了广阔的用武之地.我们也许会越来越多的将个人及商业信息存储在我们的手机、PＤA或是平板电脑当中,并在需要时通过无线网络进行数据传输。但由于智能终端操作系统自身的漏洞以及相关网络协议的缺陷，使恶意软件及木马程序在整个智能终端领域疯狂传播。此时，我们又习惯性的使用各类智能终端通过传统的ＶＰN技术完成到企业内网之间的数据交互,而使智能终端本地存储或缓存了大量重要的业务信息，为信息泄露埋下了重大隐患。日趋严重的安全威胁部署更多的防护设备ＵTＭ难以应对传统防护技术需要新的突破随着互联网应用类型的不断增加以及应用形式的不断变化,层出不穷的安全威胁时刻发生在我们身边,而传统的安全防护手段则必须经过进化来应对各种新的安全威胁的不断挑战。在这种情况下，防火墙做为边界安全防护手段的核心技术,在经历了多次的技术变革后，早已不是传统防火墙所诠释的概念了。而为了区别于传统型的防火墙技术,下一代防火墙的概念孕育而生。著名市场分析咨询机构Gａrtnｅr曾于２００9年发表文章《定义下一代防火墙》，文章指出下一代防火墙在具有传统防火墙功能与特点的同时,还要具有“支持联动的集成化ＩＰS”、“应用管控与可视化"以及“智能化联动”相关特性。但在“云计算"、“WEＢ2.0”及“移动互联”等一系列新应用技术被广泛使用的今天,单纯从解决传统防火墙技术缺陷的角度去定义下一代防火墙产品则显得过于片面,而需要的是站在一个全局的视角从解决用户网络面临的实际问题出发去定义下一代防火墙产品。天融信公司将多年的安全产品研发经验以及对用户需求深刻的理解融入到下一代防火墙设计理念中，使天融信NGＦW®下一代防火墙产品具有“基于用户防护”、“面向应用安全”、“高效转发平台”、“多层级冗余架构”、“全方位可视化”及“安全技术融合”六大产品特性。天融信ＮGＦW®产品系列天融信公司作为国内网络安全提供商的领军企业,一直以来注重为用户提供高品质的网络安全产品及解决方案,而下一代防火墙产品更是引领技术前沿。全新的ＮＧFW®下一代防火墙产品线,不论是在性能方面还是在功能方面都完全符合用户对下一代防火墙产品的各种需求.(需配产品线图片)核心技术NGTOS下一代安全系统平台天融信ＮGFW®系列产品基于天融信公司十余年高品质安全产品开发经验结晶的NＧＴOS(Nｅxt-GeneratioｎTopｓecOperaｔiｎgSysteｍ）系统平台。随着多核技术的广泛应用,NGＴＯS以多核硬件架构为基础,分为系统内核层、硬件抽象层及安全引擎层。在安全引擎层内,根据安全功能模块协议特性的不同,分为数据引擎组（ＤATAEngines）与应用引擎组(ＡPPEngｉneｓ）。通过将引擎组与多核硬件架构的完美整合，使NGＴＯS在系统层面实现了全功能多核并行流处理。而在硬件抽象层则可利用多种加速技术，根据各个核心的实时负载情况，将流量以动态的方式均衡到CPＵ的各个核心,从而保证了整个ＣPU效率执行的最大化。TopTuｒｂo数据层高速处理技术TopTｕｒbｏ数据层高速处理技术是一套用于将数据进行快速转发的综合解决方案。通过与Intｅl的深入合作，利用ＴoｐTurbo技术将数据包高速处理解决方案快速迁移到最新的Intel架构平台上，与Ｉntel多核平台合而为一，以获得最大的网络处理性能。天融信NGTOＳ系统平台通过在硬件抽象层引入TｏpTｕｒｂo技术使单块安全引擎卡的网络吞吐能力获得了重大突破,而在天融信的并行多级硬件架构下通过部署多安全引擎卡将使ＮＧFW®下一代防火墙系列的旗舰机型整机网络吞吐达到３20Ｇbｐｓ。一体化的智能过滤引擎天融信ＮGＦW®下一代防火墙产品，采用高度集成的一体化智能过滤引擎技术。其能够在一次数据拆包过程中,对数据进行并行深度检测,从而保证了协议深度识别的高效性。另外，天融信NＧFW®下一代防火墙产品基于八元组高级访问控制设计,除传统的五元组控制以外，实现了用户身份信息、应用程序指纹及内容特征的识别与控制,充分体现了下一代防火墙“基于用户防护"与“面向应用安全"的设计理念。产品特点基于用户防护传统防火墙中,策略都是依赖IP或MAC地址来区分数据流，这种描述方式非常不利于管理，很多场景也很难完成对网络状况的清晰掌握和精确控制。天融信NGFW®下一代防火墙积累了多年的产品研发经验,总结并实现了一套灵活且强大的用户身份管理系统，支持RADＩＵS、TACＡCS、LDAＰ、NT域、邮件、证书、Ukey等等多种认证协议和认证方式。在用户管理方面，实现了分级、分组、权限、继承关系等功能,充分考虑到各种应用环境下不同的用户需求。天融信NGFW®下一代防火墙集成了强大的安全准入控制功能。在针对终端到网关的认证支持多种认证协议与认证方式的同时,通过对认证终端的操作系统环境进行系统服务、软件、文件、进程、注册表等细粒度的合规性检查，使NＧFW®下一代防火墙实现了基于用户的安全防护策略部署与可视化管控.面向应用安全智能流检测天融信NGFＷ®下一代防火墙可以做到对各种应用的深层次的识别。例如可以在识别出用户使用的即时通讯软件是MＳN、QQ、Yahｏo！Meｓｓengｅr还是网易泡泡等客户端的基础上,准确捕捉到用户正在进行的是文字通讯、语音视频、文件传输还是音乐播放等行为，从而有目的、有针对性地加以拦截和限制.近期备受关注的ＷEB2。0技术，也是天融信NGＦW®下一代防火墙中重点关注的一类协议。例如可以精细的区分微博中转发、评论、私信、加关注等等内部的细微动作。另外，由于天融信NGFW®下一代防火墙采用了８元组的策略部署思想,在安全策略中整合了用户身份、应用程序指纹识别与内容特征检测技术,使NGFW®下一代防火墙能够基于用户身份实现IPS、ＡV、URＬ过滤、DOS／DDoS防护及应用识别等多种安全特性，从而构建了全方位立体化的安全防御体系.虚拟化远程接入在传统ＶPＮ接入的应用形式中,通常是由远程终端本地运行的应用系统客户端程序与内网服务器端程序直接进行数据交互，往往会使远程终端本地存储大量的业务数据，从而带来了数据安全性问题.天融信NGFＷ®下一代防火墙通过将虚拟化技术与远程接入技术相结合,为远程接入终端提供虚拟应用发布与虚拟桌面功能,使其本地无需执行任何应用系统客户端程序的情况下完成与内网服务器端的数据交互，实现了终端到业务系统的“无痕访问”，进而达到终端与业务分离的目的。高效转发平台为了突破传统网关设备的性能瓶颈,对于下一代防火墙来说具备一套设计完善的硬件架构体系是必不可少的。天融信ＮGFW®下一代防火墙整机基于并行多级硬件架构设计，将NSE(网络服务引擎）与SＥ（安全引擎)独立部署。网络服务引擎完成底层路由/交换转发，并对整机各模块进行管理与状态监控；而安全引擎负责将数据流进行网络层安全处理与应用层安全处理。通过部署多安全引擎与多网络服务引擎的方式来实现整机流量的分布式并行处理与故障切换功能。多层级冗余架构作为下一代防火墙,一个十分重要的特性就是设备自身如何提供一套完善的业务连续性保障方案。针对这一需求，天融信NGFW®下一代防火墙采用了多层级冗余化设计。在设计中，通过板卡冗余、模块冗余以及链路冗余来构建最底层的物理级冗余；使用双操作系统来提供系统级冗余;而采用多机冗余及负载均衡进行设备部署实现了方案级冗余.由物理级、系统级与方案级共同构成了多层级的冗余化架构体系。全方位可视化天融信ＮGFＷ®下一代防火墙提供丰富的展示方式,从应用和用户视角多层面的将网络应用的状态展现出来,包括对历史的精确还原和对各种数据的智能统计分析，使管理者清晰的认知网络运行状态.NGFW®下一代防火墙实施可视化所要达到的效果是对于管理范围内任意一台主机的网络应用情况及安全事件信息进行准确的定位与实时跟踪,而对于全网产生的海量安全事件信息通过深入的数据挖掘能够形成安全趋势分析以及各类图形化的统计分析报告。安全技术融合动态云防护天融信ＮGFＷ®下一代防火墙的整套安全防御体系基于动态云防护设计,利用天融信的安全云服务中心通过互联网收集各类安全威胁信息并快速寻找解决方案,最终形成全面、精准的攻击防护规则库,而非传统的攻击特征库.此时，通过天融信安全云平台将更新后的攻击防护规则库以动态的方式实时的部署到各用户设备中，在安全威胁层出不穷的网络应用环境下保证用户的安全防护策略得到及时、准确的动态更新.全网威胁联防天融信NGＦＷ®下一代防火墙强大的策略管理体系通过安全策略漂移机制实现了物理网络基于“人”、虚拟计算环境基于“VM”（虚拟机）的安