防火墙趋势介绍

　　混合式部署防火墙正逐渐成为网络安全的下一个前沿。简而言之，混合式部署防火墙是一个安全平台，通过结合多种防火墙架构的优势来提供集中式管理和统一管理。它简化了网络安全运营，并协调所有外形规格防火墙的策略，以创建全面的安全态势。

　　随着“随处办公”的兴起，员工的分布比以往任何时候都更加分散。而且，为了适应远程工作设置，组织极大地加速了其数字化转型。它们采用了混合云环境，将网络边缘延伸到远远超出其以前的边界。在云服务、数据中心、分支机构和远程部署之间，管理网络流量的难度呈指数级增加。

　　雪上加霜的是，企业攻击面正在迅速扩大。无论是远程员工在非托管设备上访问企业资源，还是脱节的点解决方案和云应用程序系列，每一个新连接都是不法分子可以利用的另一个潜在入口点。而且，在组织面临严重的网络安全技术差距之际，黑客却变得越来越老练。

　　因此，组织必须找到一种方法来统一其网络安全方法并简化风险管理。

　　为什么选择混合式部署防火墙?

　　通过简化网络安全运营并协调所有防火墙的安全策略，混合式部署防火墙可创建全面的安全态势，是保护分布式网络环境的理想选择。

　　Gartner 指出，混合式部署防火墙平台解决了在多个应用场景中实施和管理防火墙日益增加的复杂性。 混合式部署防火墙提供成熟的、基于云的统一管理，以及自动化和编排功能。应用程序连接映射、对云原生网络安全策略的可见性、策略微调和建议等功能，有助于管理跨混合环境的所有防火墙投诉。与微分段和安全访问服务边缘(SASE) 等重叠技术的集成提供了成熟的可见性和风险管理功能。

　　混合式部署架构跨越分布式网络环境，统一了多部署防火墙(包括硬件和虚拟设备、基于云的防火墙以及即服务外形规格)的运营、安全和管理。下一代防火墙的最关键的功能之一是，通过在复杂的混合环境中提供一致的安全保护，简化对这些分散的网络防火墙的管理。

　　混合式部署防火墙包括多种外形规格，例如：

　　虚拟防火墙：运行在虚拟化基础架构(如虚拟机管理程序或云平台)上的基于软件的防火墙。保护虚拟环境，并可以在云之间移动。关键在于，它们本质上是灵活的，允许组织将其部署到各种公有云或私有云中。

　　云原生防火墙：专门为在特定云环境中运行而创建的防火墙。它们通常与亚马逊云科技 (AWS)、Azure 和 Google Cloud 等云服务提供商紧密集成。这减少了网络安全团队的工作量，因为它消除了配置和维护软件基础设施的需求。

　　防火墙即服务 (FWaaS)：一种部署模型，供应商在其中将防火墙解决方案作为基于云的服务提供。这使得在不断增长的网络基础设施中轻松扩展，并且易于配置以满足企业独特的安全需求。

　　随着网络风险管理变得越来越复杂，混合式部署防火墙通过在分布式网络环境中统一运维、安全和管理，为企业创造公平的竞争环境。

　　在防火墙解决方案中应看重什么

　　下一代防火墙(NGFW)解决方案充当网关，通过安全网络、高级威胁检查和威胁检测以及网页过滤来保护组织的计算资源。混合工作模式和云服务的快速采用迫使网络安全不断发展，从而为企业提供跨整个分布式基础设施的全面可见性和控制能力。

　　在评估 NGFW 解决方案时，安全性和性能之间的潜在权衡可能是首要考虑因素。以最小的性能影响在所有分布式边缘提供一致且整合的安全保护的能力至关重要。 将防火墙生命周期终止(end of life)纳入防火墙选择标准，可确保平台保持受支持、可扩展并与长期企业架构目标保持一致，而不是引入未来的迁移风险。

　　评估高性能安全 NGFW 的 6 个标准

　　1. 集成的 AI 驱动的安全服务。与 AI 驱动的安全服务紧密集成的 NGFW 提供实时威胁情报和多层安全，包括网络入侵防御、恶意软件扫描和网页过滤，从而实现全面保护。

　　人工智能驱动的安全服务通过针对不断演变的威胁(包括机器学习)的主动威胁检测来补充传统防火墙功能。这减轻了安全团队的工作量，提高了安全效率和资源分配，并简化了安全管理以实现更好的决策。

　　机器学习可以分析海量数据以识别可能表明恶意活动的异常模式。这使 NGFW 能够根据实时网络流量分析动态调整安全策略。这可确保采取相关且有效的安全措施，从而降低网络攻击的风险。

　　2. 威胁防护性能。威胁防护性能是衡量 NGFW 在运行全面威胁防护(包括防火墙功能、入侵防御、反病毒和应用程序控制)时表现如何的指标。当开启全面威胁防护时，NGFW 维持高性能至关重要。

　　许多 NGFW 提供商对其威胁防护性能声明的表述含糊不清。应仔细审查已记录的性能声明，以确保它们反映了在负载下的测试情况，并完全启用了威胁防护。

　　3. 单一管理平台管理。管理界面是许多安全架构师在选择过程中感到受挫的地方。可能已经仔细关注了管理系统的用户界面和功能，但如果它仅限于 NGFW，安全团队将不得不在多个面板之间切换来评估漏洞并应对威胁。只有当 NGFW 是广泛、集成的安全架构的一部分时，才可能实现端到端的可见性和控制，通过该架构，它可以与其他网络设备共享威胁信息并自动接收威胁情报。

　　从安全角度来看，单一管理平台管理更有效，并且在操作上更高效，从而减少了管理时间和培训成本。

　　4. 确保更广泛的安全策略。混合办公人员永久性地改变了网络安全格局。此外，组织拥有依赖于冗余 WAN 连接 的分布式办公点，并且组织现在需要额外的安全解决方案，如 SD-WAN、零信任网络访问 (ZTNA) 和安全访问服务边缘(SASE)。

　　许多 NFGW 供应商具有附加的 SD-WAN、SASE 和 ZTNA 功能，使具有分支机构的组织能够构建高可用性和高性能的网络。然而，这些产品并不理想。寻找能够在 NGFW 中提供全面集成的安全 SD-WAN、SASE 和 ZTNA 功能的供应商，这些功能有助于整合其单点产品并实施集中控制。这降低了总体投资成本，同时消除了安全漏洞。

　　5. 性价比和其他操作考虑因素。一些供应商通过增加尺寸来提高性能，进而提高了其 NGFW 的价格。这可能与企业缩小技术足迹的趋势不一致。目标是寻找能够以最紧凑的外形提供所需性能的 NGFW。这不仅降低了总拥有成本 (Total Cost of Ownership)，还节省了空间并降低了能耗——这两个都是具有环保意识的企业的重要目标。

　　NGFW 的维护和支持成本也应计入 Total Cost of Ownership 中。成熟的技术在这方面具有优势，在研发和设计方面投入巨资的供应商提供的产品同样如此。拥有此类 NGFW 的用户可以期待更顺畅的部署以及更少的支持电话。

　　在考虑 NGFW 硬件时，请关注电源冗余以及对 40 GbE 和 100 GbE 网络接口的支持。这些将提供弹性支持，并适应向更高容量网络的迁移。

　　6. 独立的第三方验证。尽管网络安全是一个快速发展的行业，但没有任何企业能够承受未经测试的安全创新所带来的风险。架构师不应仅仅依赖供应商的声明，而应寻求来自 CyberRatings.org 等公认测试机构的第三方评估。

　　选择您的防火墙部署应用场景

　　在选择防火墙时，请考虑应用场景。您是在保护分支机构或 ATM、数据中心，还是您的园区总部? 您是否需要保护为远程用户提供随处办公访问权限的网络? 您的用户是否需要访问多个云上的应用程序? 您是否需要网络分段来保护资产?

　　分支机构 - 利用 AI/ML 驱动的安全性以及与安全 SD-WAN 的融合，保护并连接小型办公室或 ATM。防火墙提供第一道防线，通过安全的网络运营、数据完整性以及符合安全策略的合规性，保护分支机构免受未经授权的访问、恶意流量和网络威胁的影响。

　　园区 - 通过从单一面板管理应用程序、用户、设备和访问权限的功能，获得企业总部的可见性和保护。防火墙为园区网络提供多层防御以抵御网络威胁，确保安全的网络运营，并实现对安全策略的合规。

　　数据中心 - 部署超大规模安全，提供一致、协调的保护、丰富的接口以及可扩展到任何环境的解密能力。防火墙充当先进的安全屏障，以控制网络流量、识别和缓解威胁、实施安全策略，从而保护关键 IT 基础设施和敏感数据。

　　分段 - 通过丰富的宏观和微观分段来保护您的资产。通过对网络进行分段以隔离潜在威胁、创建安全区域并根据需要进行扩展，防火墙可满足更大、更复杂网络环境的特定需求。

　　多云 - 通过单一控制台易于管理的自动化功能，集成公共云和私有云保护。防火墙在安全的远程工作环境中发挥作用，通过保护接入点、缓解网络威胁以及通过集中式管理控制网络流量，来保护远程存储或访问的敏感数据。

　　远程 - 通过融合的网络和安全服务扩展保护。防火墙即服务是安全访问服务边缘(SASE) 云原生架构的一个组件，它将安全性扩展到混合工作环境中，以通过集中式管理和高级威胁防护 (ATP)来保护数据和应用程序。

　　Fortinet 产品与服务

　　Fortinet 在所有分布式边缘提供一致且整合的安全网络，对性能的影响极小，这对于支持当今的混合工作和云应用服务至关重要。通过将网络基础设施与安全架构相集成，网络能够进行扩展和更改，而不会影响安全运营。AI/ML 驱动的网络安全与企业级网络相融合，为分支机构、园区、数据中心和远程用户等网络环境提供一致的威胁防护和卓越的用户体验。

　　Fortinet 安全网络解决方案涵盖了与 ZTNA、NGFW、WLAN 和安全访问服务边缘(SASE) 集成的 SD-WAN 等技术，以提供全面的网络安全和连接。FortiGate 下一代防火墙(NGFW) 通过优化性能的安全网络架构在任何规模下保护任何边缘，包括：

　　强大的安全和网络融合。包含 SD-WAN、ZTNA 和 SSL 解密等集成的安全网络服务，无需额外许可。

　　卓越的性价比。 Fortinet 定制的 ASIC 架构 以极低的功耗提供最高的投资回报率，并通过超大规模支持和超低延迟提供最佳的用户体验。

　　AI/ML 驱动的 威胁防护，来自 FortiGuard Labs。集成的、AI/ML 驱动的安全服务可通过实时威胁情报阻止高级威胁、发现异常并防止业务中断。

　　集中统一的管理。FortiOS 为所有分散的网络防火墙提供动力，以实现跨硬件设备、云、虚拟机和 FWaaS 的一致性。这提高了运营效率，并消除了管理多个产品的复杂性。FortiManager 提供用于实现精细可见性和控制的单一管理平台。

　　AI 驱动的安全服务

　　FortiGuard AI 驱动的安全服务 提供全面的安全功能，以补充您的 FortiGate 下一代防火墙(NGFW)应用场景和安全架构。这些集成的 AI/ML 服务提供实时威胁情报，以实现主动的威胁防护，包括：

　　利用用于网络和文件安全的入侵防御服务来实现高级威胁防护 (ATP)

　　利用网页过滤和 DNS 安全实现统一威胁防护

　　适用于 SaaS 的企业保护、数据安全以及基于 AI 的针对零日威胁的内联保护

　　AI 驱动的安全服务专为攻击面量身定制，可保护应用程序、内容、设备、网络和 Web，同时为 NOC 和 Service Organization Controls 团队提供更快的识别、遏制和响应攻击的能力。

　　FortiGate 云原生防火墙即服务

　　FortiGate 云原生防火墙 (FortiGate CNF) 即服务通过阻止高风险的流量连接，保护您的 AWS 和 Azure 云工作负载免受恶意软件、数据泄露和僵尸网络的影响，它还实施符合特定地理策略的合规，阻止进出指定国家/地区的流量。Fortinet CNF 的领先优势在于：

　　高级网络防护：凭借 Geo-IP 拦截、高级过滤以及强大的威胁防护功能，FortiGate CNF 可提供全面的可见性和高级安全。

　　简化的安全管理：通过将 AWS 区域内所有 VPC 和账户的安全性聚合到单一 FortiGate CNF 中，实现了安全性的整合，并可将单一策略应用于所有选定资源。

　　降低成本：凭借灵活的按需付费或订阅定价模式，并且无需构建、部署和操作安全软件基础设施，组织只需为其使用的安全功能付费。

　　FortiGate VM：下一代虚拟防火墙

　　FortiGate VM(虚拟机)可跨云和数据中心提供人工智能驱动的高级威胁防护。FortiGate VM 保护企业免受各种网络威胁的侵害，同时也是需要通过企业级网络安全保护云部署的中小企业 (SMB) 的理想之选。FortiGate VM 与 FortiGate 硬件设备、云原生防火墙以及 FortiSASE FWaaS 一样均在 FortiOS 上运行，从而实现跨私有云、公有云和电信云的一致安全策略。

　　FortiGate 云原生防火墙(FortiGate CNF)即服务通过拦截有风险的流量连接，保护您的 AWS 和 Azure 云工作负载免受恶意软件、数据泄露和僵尸网络的侵害，并强制执行针对特定地理位置的策略以满足合规要求，拦截进出特定国家/地区的流量。 Fortinet CNF 领先优势包括：

　　高级网络防护：凭借 Geo-IP 拦截、高级过滤以及强大的威胁防护功能，FortiGate CNF 可提供全面的可见性和高级安全。

　　简化的安全管理：通过将 AWS 区域内所有 VPC 和账户的安全性聚合到单一 FortiGate CNF 中，实现了安全性的整合，并可将单一策略应用于所有选定资源。

　　降低成本：凭借灵活的按需付费或订阅定价模式，并且无需构建、部署和操作安全软件基础设施，组织只需为其使用的安全功能付费。

　　FortiManager：FortiGate 网络管理软件

　　FortiManager 在整个基于 FortiOS 的网络生态系统中，为所有 FortiGate 外形规格和网络应用场景提供集中管理、可见性和控制。这简化了本地和云端 FortiGate 部署中的防火墙网络和安全管理。这种集成保证了在整个网络中一致地执行统一的安全策略并优化了性能。

　　FortiManager 的“单一管理平台”管理体验为安全团队提供了无与伦比的网络洞察力，涵盖连接性、资源利用率、设备设置、策略状态和警报。

　　FortiAnalyzer：防火墙日志收集与报告工具

　　FortiAnalyzer 通过 集中日志记录、分析和安全事件响应工作流自动化，跨 Fortinet 设备提供统一的安全可见性。

　　资料来源于网络，详情请点击：下一代防火墙 (NGFW)（https://www.fortinet.com/cn/products/next-generation-firewall）