【IT168 资讯】随着互联网的发展以及IT/CT技术的深度融合，企业的运营模式发生了巨大改变，无论是生产还是营销都更多的依赖于互联网。利用新技术带来效率提升的同时，企业面临的安全形式也更加严峻。一方面，攻击数量快速增加，基于Web的攻击每年以600%的数量增长；另一方面，攻击的手段更加隐蔽，方法越来越多。除了传统的入侵、病毒、木马、蠕虫外，还出现了APT（Advanced Persistent Threat）攻击这种新的攻击形式。人们突然发现，传统的安全设备已经无法保障企业网络安全。

　　尽管业界不断推出新的安全产品，但很多是新瓶装旧酒，只是对传统设备某部分的优化，未从根本上解决问题。安全设备必须对ICT变化提出的新需求做出响应，重新设计。

　　下一代防火墙（Next-Generation Firewall，NGFW）在访问控制的精细度、威胁防护范围、易用性、性能四个方面对传统防火墙进行了革命性的改变，业界普遍认可对NGFW的这个定义。但满足NGFW的定义要求就足以应对风云变幻的ICT环境吗？业内厂商对于这一问题，纷纷交出了自己的答卷。华为对于自己的NGFW，提出了更高的要求，以满足下一代网络环境下的边界防护需求。

　　华为USG6500系列下一代防火墙面向中小企业、企业分支和连锁机构，提供精细的业务访问控制和加速。入侵防御（IPS）和防病毒（AV）等应用层深度防御与应用识别相结合，有效提高了威胁防御的效率和准确性。具备全面的防护功能，一机多能，有效降低管理成本。精细的带宽管理和QoS优化能力有效降低企业的带宽租用费，确保关键业务体验。持续、简单、高效地提供下一代网络安全。

　　精细的访问控制

　　华为USG6500系列能够基于应用、用户、时间、内容、威胁、位置6个维度进行对网络流量进行管控。在应用管控方面，能够准确识别超过6000种网络应用，数量业界最多。与其他厂商不同，华为NGFW不仅能识别出应用，更能对应用的不同功能进行区分。例如：对于Line应用，可以区分文字聊天和语音；对网盘类应用RapidShare，能够区分出上传和下载。

　　以前的应用为了避免被网关设备识别并控制，采用了很多躲避技术，例如：端口伪装、乱序、随机填充、加密等，如果仅仅依靠报文的特征码很难准确的识别。华为拓展了正则语法（PCRE, Perl Compatible Regular Expressions），开发出PCREX语言作为应用特征的描述语言，让应用特征变成可以运行在华为智能感知引擎(IAE,Intelligence Awareness Engin)上的一段代码。通过报文分片重组、协议去干扰、统计识别、行为识别等综合手段，准确的识别各类复杂应用。使用PCREX描述应用特征还带来另一优势，更新应用识别能力无需升级防火墙软件，不会中断企业的业务。这个特点使华为USG6500系列的识别能力更新速度远超其他厂家。

　　简单的管理

　　企业的传统网关上遗留了大量的基于端口的防护策略，需要将这些策略优化为基于应用的防护策略。市场上的一些NGFW产品，仅提供了有限的报表作为策略优化的参考，优化工作还是依赖于安全专家的经验和投入。尽管优化和策略的有效性验证耗费了巨大的时间和人力，策略的准确性还是难以保证。因此，很多企业即使采购了NGFW产品，依然部署着原有基于端口的策略，这无疑隐藏着巨大的风险。

　　华为华为USG6500系列的Smart Policy技术，采用人工智能的手段帮助安全人员维护安全策略。基于使用场景提供基础模板，实现策略快速部署；能根据网络流量环境给出建议的安全策略，帮助安全人员准确、快速地完成策略优化；识别出冗余和失效的策略，帮助安全人员精减无效策略，简化管理。通过华为的Smart Policy技术，安全管理员无需过多的技能和时间就能做好管理，降低安全设备的TCO。

　　全面的威胁防护

　　华为不仅实现了防火墙和IPS的深度集成，将病毒防护（AV，Anti-Virus）和内容过滤功能也深度集成到了NGFW中。应用特征、IPS特征、AV特征采用同样的PCREX语言进行描述，实现了三位一体的防护。此外，华为利用业界最全的沙箱——PE沙箱、Web沙箱、手机沙箱，建立安全信誉体系。网关受益于安全信誉，能够及时发现利用零日漏洞发起的攻击。

　　高威胁防护性能

　　华为在开启所有安全功能时，性能下降不超过50%，满足大企业场景的使用需要。保持高性能得益于三个核心技术：第一，所有的特征采用统一的描述语言，对网络流量的解析只做一次，解析的结果在后续的检测中可以共用。避免了重复解析的资源消耗。第二，不同于UTM中各个安全模块的串行处理，华为NGFW在应用识别后，多项安全功能的处理是并行的，缩短了整体时延。第三，华为NGFW针对大流量、大运算能力的配备了专门的协处理器，避免对防火墙访问控制性能的影响，也大幅提高了IPS等内容安全的性能。

　　现如今企业网络正向以移动宽带、大数据、社交化和云服务为核心的下一代网络演进。移动APP、Web2.0、社交网络让企业处于开放的网络环境，攻击者通过身份仿冒、网站挂马、恶意软件、僵尸网络等多种方式进行网络渗透，企业面临前所未有的安全风险，传统防火墙面对变革却无能为力。华为Secospace USG6500系列下一代防火墙应需而生，面向下一代网络环境，基于“ACTUAL”感知，实现安全管理自我优化，通过云技术识别未知威胁，高性能地为大型企业、数据中心提供以应用层威胁防护为核心的下一代网络安全。