隨著網絡活動的逐步上升，企業面臨的威脅正在成倍增長。作為企業的IT管理人員，應該如何選擇下一代防火墻。近三分之二的網絡流量是基于Web的應 用程序，隨著這類應用新的安全威脅以及占用的網絡帶寬的情形大幅增加。今天的網絡流量需要下一代防火墻(NGFW)的適當控制。

　　據Gartner稱，NGFW“是一個線速的綜合網絡平臺，進行流量的深入檢查和阻止攻擊。”一個合格的NGFW包括所有在第一代防火墻的標準功能(例如，網絡地址轉換，包過濾和狀態包檢測，以及其他通用的網絡功能)。

　　當你的防火墻和或入侵防御設備接近更新周期時，Gartner建議要對NGFW能力進行全面的了解。因為你會發現，一些網絡安全廠商聲稱自己的 產品，擁有與NGFW重疊的功能，但其實他們并不能算真的下一代防火墻。所以，你應該尋找一個真正合格的企業級NGFW。那么我們這里給你以下這些標準：

　　1、掃描檢測能力

　　2、應用智能

　　3、性能

　　4、可管理性

　　掃描

　　同第一代防火墻一樣，NGFWs包括狀態的檢測能力。但是，他們除了能夠像傳統防火墻那樣，還需要有深度包檢測(DPI)能力。許多NGFW廠 商宣傳自己擁有DPI功能，但仔細檢查其產品，你會發現他們對此進行限制，最大限度地減少保護。許多NGFW廠商使用代理，讓流量通過惡意軟件掃描網關。 這會嚴重降低網絡性能，甚至有一些防火墻高達95%。

　　一些大型文件或中等數量的更小的文件傳輸的時候，基于代理的防火墻有限的內存很快就會被耗盡。當所有的內存被消耗掉，這些防火墻會阻止所有文件 傳輸。許多廠商會采取未經檢驗通過文件，就是說對所有文件可以不進行檢查。即為了避免使網絡停止，選擇不對其進行掃描，以允許數據包通過。

　　有些所謂的下一代防火墻廠商還無法掃描大型文件或某些協議。按文件大小，文件掃描的能力是有限的，他們只掃描惡意軟件的協議的一小部分。當評估 NGFW的時候，應該尋找一個可以掃描各種大小文件、病毒和惡意軟件，僵尸網絡及其他威脅，解密、掃描和重新加密SSL數據包，能夠掃描所有端口廣泛的協 議，除了原始的TCP流量。

　　應用智能

　　NGFW的一個根本能力是控制應用程序和優化的網絡運行的能力。不同的NGFW解決這些問題的能力在不同程度上有一定的差距。一個可靠的NGFW應該：

　　針對不斷增長的應用程序數據庫的簽名，掃描應用程序應該能夠提供實時的可視化的操作。企業可以考慮采取定制的應用程序，將應用智能和控制擴展到網絡上的無線終端。

　　一個NGFW的控制有效性同樣重要，它可以檢測和控制應用程序的數量。一個擁有強大的簽名數據庫的NGFW，應包括成千上萬的、獨特的應用程序 和應用程序組件，并每天更新新的簽名。此外，NGFW應該超越簡單地允許管理員“允許”，“阻止”或“登錄”應用程序，應該提供一套全面的應用管理功能， 如應用帶寬管理。

　　另外，用戶還可以控制和優化你看不到的東西。當你評估NGFW的時候，你必須考慮他們的產品是否集成讓你看到應用程序和用戶流量的實時功能，可 視化取證分析工具和儀表盤。隨著應用的增多，你需要自定義應用程序控制，大多數NGFW可能不再那么容易實現。一個可行的NGFW，應該能夠識別和優化公 司里的自定義應用程序。此外，它應該允許你為特定應用程序制定自定義特征，以便于這些應用通過基礎的流量屬性或者控制協議。

　　越來越多的企業正面臨著不斷擴散的無線終端，這些設備散布在網絡的邊緣。這時候，企業應該考慮一個，提供強大的無線應用智能控制的NGFW。要 有足夠的智能、控制能力和可視化的操作?，F在許多安全設備只有有線用戶的流量控制，而忽略了大量依靠無線網絡的筆記本電腦、智能手機、平板電腦。

　　企業應該尋找這樣的NGFW，它集成了無線交換機及控制器，允許分布式無線部署的配置和管理，同時提供WiFi邊緣的應用智能和控制。在理想的情況下，NGFW應該能夠控制所有的無線通信應用智能政策，以保持無線帶寬效率。

　　性能

　　Gartner指出，NGFW“支持在線管理，通過網絡進行沒有中斷的操作配置。”換句話說，他們應該盡可能的做到最小延遲。IPS與其他功能 的緊密集成是實現這一點的關鍵。單通機制實現了無縫政策的實施和執行，不會引起延遲或性能下降到不可接受的水平。這是很重要的，因為啟用NGFW服務不應 該讓一個網絡陷入癱瘓。

　　使用代理的防火墻，為每個文件和每個網絡連接進行DPI狀態數據包檢測，顯著降低性能。相反，選擇合格的NGFW，他們能夠提供實時DPI。

　　可管理性

　　一個可擴展的和可靠的分布式管理解決方案，實現安全保障和強大的投資回報率，企業部署到多個站點的安全性是非常重要的。

　　例如，一些下一代防火墻廠商管理平臺，缺乏大規模的分布式管理解決方案，大范圍的部署往往是一個易于管理的證明。還有其他一些下一代防火墻廠商缺乏一個有凝聚力的分布式管理平臺。這個復雜的管理流程和解決方案都會影響企業總擁有成本(TCO)。

　　其他

　　選擇的NGFW應提供NetFlow / IPFIX支持，NetFlow和IPFIX是兩種行業標準。傳統上部署交換機和路由器的NetFlow出口數據，如IP源地址和目標地址，源端口和目的 端口，3層協議類型和服務類。然而，這兩種IPFIX和NetFlow版本都可以擴展到網絡的移動設備，如應用程序數據，用戶數據和URL數據的附加數據 導出。

　　編輯點評：

　　NGFW承諾通過集成的入侵防御，狀態檢測和深層數據包檢測能力，幫助企業重新控制在他們的網絡。但廠商的產品有很大的不同，他們使用自己的方法來掃描網絡流量，就會得到不同的性能、功能，會對網絡造成不同的影響。你要花時間來確認，NGFW能夠提供你所需要的。