“網(wǎng)絡(luò)隔離網(wǎng)關(guān)”對(duì)安全能力的訴求

　　在“零信任”模型中，所有的訪(fǎng)問(wèn)流量都是不可信的，隔離網(wǎng)關(guān)要保證網(wǎng)絡(luò)必須滿(mǎn)足兩個(gè)層次的要求：

　　首先，保證訪(fǎng)問(wèn)是合理合法的。最小授權(quán)原則始終是網(wǎng)絡(luò)安全的第一信條。無(wú)論訪(fǎng)問(wèn)來(lái)自哪里，必須遵循最嚴(yán)格的控制策略，只有業(yè)務(wù)必需的訪(fǎng)問(wèn)才被允許。這將大大縮減APT攻擊的通道，也防止了內(nèi)部人員有意、無(wú)意行為可能對(duì)安全的損害。移動(dòng)化和社交化的趨勢(shì)對(duì)管控粒度要求更加細(xì)致，隔離網(wǎng)關(guān)必須能夠基于應(yīng)用和用戶(hù)進(jìn)行訪(fǎng)問(wèn)控制，對(duì)非法的訪(fǎng)問(wèn)異常行為能夠及時(shí)發(fā)現(xiàn)。所有的訪(fǎng)問(wèn)行為的日志應(yīng)被記錄下來(lái)，便于日后的行為審計(jì)。

　　其次，被訪(fǎng)問(wèn)的數(shù)據(jù)是安全的。隔離網(wǎng)關(guān)要對(duì)合法的訪(fǎng)問(wèn)流量進(jìn)行檢測(cè)，不僅僅包括基本的IPS和AV檢測(cè)，對(duì)數(shù)據(jù)的保護(hù)更是重中之重。必須通過(guò)內(nèi)容過(guò)濾和DLP的功能防止關(guān)鍵信息資產(chǎn)外泄。再次，保證訪(fǎng)問(wèn)的通道是安全的。當(dāng)前，企業(yè)溝通、協(xié)作的強(qiáng)烈需求使網(wǎng)絡(luò)邊界變的模糊，合作單位、客戶(hù)和供應(yīng)商對(duì)網(wǎng)絡(luò)的訪(fǎng)問(wèn)通常來(lái)自Internet。無(wú)論訪(fǎng)問(wèn)來(lái)自哪里，隔離網(wǎng)關(guān)必須通過(guò)VPN加密數(shù)據(jù)，保障數(shù)據(jù)在整個(gè)傳輸過(guò)程中的安全。

　　“網(wǎng)絡(luò)隔離網(wǎng)關(guān)”對(duì)管理和性能的訴求

　　傳統(tǒng)網(wǎng)絡(luò)中，網(wǎng)絡(luò)安全是由眾多分離設(shè)備來(lái)共同保障的。設(shè)備間的信息同步是一個(gè)嚴(yán)重的管理問(wèn)題。例如：當(dāng)網(wǎng)絡(luò)中的某臺(tái)設(shè)備IP需要變更時(shí)，管理人員可能需要同步修改防火墻、IPS、AV、Anti-DDoS、DLP等眾多設(shè)備上的配置，這將是非�？膳碌墓ぷ髁俊Ｒ坏┡渲眯薷牟煌耆�，出現(xiàn)設(shè)備間信息不一致的情況，整個(gè)網(wǎng)絡(luò)的安全防護(hù)效率就會(huì)大打折扣。當(dāng)網(wǎng)絡(luò)中增加了新安全防護(hù)需求，又要增加新的獨(dú)立設(shè)備，網(wǎng)絡(luò)會(huì)變得更加復(fù)雜，管理成本和操作成本滾雪球般地增加。

　　SDN是解決網(wǎng)絡(luò)管理復(fù)雜性，保證業(yè)務(wù)敏捷、靈活的良藥。“網(wǎng)絡(luò)隔離網(wǎng)關(guān)”采用了類(lèi)似的思路：集中管理、集成和虛擬化。網(wǎng)絡(luò)隔離網(wǎng)關(guān)將安全功能集成到一個(gè)設(shè)備上，各個(gè)安全防護(hù)功能間的共用信息（如IP、應(yīng)用、用戶(hù)）自然地保持了一致，通過(guò)統(tǒng)一調(diào)度安全功能對(duì)流量的處理，避免了獨(dú)立設(shè)備功能重疊所造成的額外時(shí)延。同時(shí)，極大簡(jiǎn)化了網(wǎng)絡(luò)結(jié)構(gòu)，有效降低管理復(fù)雜性。通過(guò)Web的集中式管理將“網(wǎng)絡(luò)隔離網(wǎng)關(guān)”資源池化，以統(tǒng)一的視圖管理所有的安全資源。

　　如上所述，“網(wǎng)絡(luò)隔離網(wǎng)關(guān)”需要適配SDN網(wǎng)絡(luò)對(duì)安全的訴求。它被部署在網(wǎng)絡(luò)的核心層靠近數(shù)據(jù)的位置，自然要求密集的高速接口（當(dāng)前是萬(wàn)兆接口）和強(qiáng)大的處理能力。為了保證性能，通常要求“網(wǎng)絡(luò)隔離網(wǎng)關(guān)”采用一體化處理的軟件架構(gòu)和專(zhuān)用的業(yè)務(wù)處理硬件。

　　華為下一代防火墻USG6000：“網(wǎng)絡(luò)隔離網(wǎng)關(guān)”的最佳選擇

　　在Forrester對(duì)“網(wǎng)絡(luò)隔離網(wǎng)關(guān)”的21項(xiàng)評(píng)判標(biāo)準(zhǔn)中，華為USG6000系列下一代防火墻滿(mǎn)足其中20項(xiàng)評(píng)判標(biāo)準(zhǔn)，在參與評(píng)估的15家國(guó)際主流安全廠(chǎng)家中，能力匹配度排名TOP3。

　　在安全能力方面，USG6000不僅集成了Forrester報(bào)告中要求“網(wǎng)絡(luò)隔離網(wǎng)關(guān)”所具備的全部安全功能，并且在訪(fǎng)問(wèn)控制的精細(xì)程度上做得更好：從6個(gè)維度感知網(wǎng)絡(luò)業(yè)務(wù)環(huán)境并進(jìn)行訪(fǎng)問(wèn)控制，識(shí)別6000+以上的應(yīng)用，為業(yè)界最多；能夠區(qū)分應(yīng)用的不同功能，滿(mǎn)足用戶(hù)更精準(zhǔn)的控制需求（例如：區(qū)分微信的文字和語(yǔ)音，區(qū)分網(wǎng)盤(pán)類(lèi)應(yīng)用的上傳和下載）；依托華為遍布全球的安全中心，在云端采用沙箱技術(shù)，監(jiān)控可疑樣本的運(yùn)行，高效發(fā)現(xiàn)未知威脅，抵御APT攻擊。

　　在管理能力方面，USG6000支持基于Web的集中式管理和硬件虛擬防火墻。作為華為敏捷網(wǎng)絡(luò)中的重要組件，配合大數(shù)據(jù)分析技術(shù)進(jìn)行安全的智能聯(lián)動(dòng)和協(xié)同。值得一提的是，憑借獨(dú)家的“智能策略生成”技術(shù)，USG6000可以主動(dòng)分析網(wǎng)絡(luò)中的實(shí)際流量，遵循最小授權(quán)原則對(duì)已部署的安全策略提出優(yōu)化建議，解決了策略管理復(fù)雜性的問(wèn)題。

　　在性能和接口方面，USG6000系列具備同級(jí)設(shè)備中最豐富的接口能力，并采用三種手段來(lái)保證設(shè)備的高性能：1，特征描述方面，采用華為自主研發(fā)的PCREX語(yǔ)言，來(lái)描述應(yīng)用、IPS和病毒等特征，在報(bào)文解析時(shí)使用統(tǒng)一的智能感知軟件引擎（IAE，Intelligence Awareness Engine）進(jìn)行特征匹配分析；2，軟件方面，采用一體化處理架構(gòu)，一次性識(shí)別應(yīng)用后共享信息，后續(xù)安全功能統(tǒng)一調(diào)度、并行處理；3，硬件方面，采用多核架構(gòu)，使用專(zhuān)有硬件對(duì)特定、重復(fù)的耗費(fèi)CPU性能的業(yè)務(wù)（如加解密、壓縮解壓縮和模式匹配等）進(jìn)行單獨(dú)處理，性能遠(yuǎn)高于采用串行處理機(jī)制的獨(dú)立安全設(shè)備或UTM設(shè)備。

　　USG6000系列下一代防火墻發(fā)布于2013年9月的HENC（Huawei Enterprise Network Congress）大會(huì)，面向園區(qū)和企業(yè)提供高性能、全方位的下一代安全防護(hù)能力。發(fā)布以來(lái)，成功突破歐洲多個(gè)行業(yè)，德國(guó)多特蒙德體育場(chǎng)，阿姆斯特丹地鐵，葡萄牙教育部等項(xiàng)目陸續(xù)簽單，并獲得西班牙最大集成商Indra青睞，中標(biāo)沙特高速鐵路項(xiàng)目；在中國(guó)，USG6000也憑借優(yōu)異的產(chǎn)品能力，迅速拿下深圳廣電，廣州電網(wǎng)，舞陽(yáng)鋼鐵等多個(gè)行業(yè)項(xiàng)目。