防火牆的進化：認識次世代防火牆

隨著資安威脅的手法越來越多，傳統防火牆功能早就已經有鞭長莫及之感。在這樣的狀況下，逐漸出現稱作次世代防火牆（Next Generation Firewall，NGFW）的產品，不少調查機構與研究單位，也開始發表對於NGFW的定義。

這讓人不禁開始想探究，到底什麼樣的設備，才能被稱為NGFW？而NGFW又會替企業的網路架構帶來什麼樣的改變？目前NGFW還沒有一個肯定的定義，但是對於企業來說，很多現有產品和研究報告所歸納出來的線索，或許已經可以提供給企業使用者在選購符合未來需求的設備時，一條明路。

NGFW沒有統一定義，但功能已有明確方向

雖然目前NGFW還沒有一個統一的定義，不過很多功能已經是眾所公認為NGFW應該要具備的功能。其中最重要的，就是NGFW必須要有能力辨識應用層，看到不同應用程式的流量；在這之後，還必須要能夠針對不同應用內細部的不同功能，做到控管的能力。舉例來說，可以把Skype的檔案傳輸功能關閉，但保留其他的功能。

或許透過不同研究機構的報告，可以更貼切的描述NGFW該具備的功能。2009年10月，調查機構Gartner推出了一份名為「Defining the Next Generation Firewall」報告，裡面對於他們心目中的次世代防火牆，就提供了幾個應該具備功能的定義。Gartner列出的幾點NGFW該具備的功能如下：能夠做為封包檢測或安全政策執行的據點；並且擁有傳統防火牆的功能，如NAT、封包過濾、VPN、傳輸協定檢測等。除此之外，NGFW還需要具備有IDP的功能，並且有能力和防火牆的功能互相溝通，必要時可以透過防火牆阻斷危險的流量。

在這些功能之外，Gartner在報告中也特別提到了應用程式流量辨識的能力，並且把這項能力視為NGFW的重點之一。也就是說，NGFW必須提供可視度（Visibility），不光是像過去的防火牆一樣，只是透過特徵和連接埠的號碼來管控流量，還必須有能力看得懂第七層應用層，辨識流經的不同流量，分別屬於哪些應用、哪些人使用、透過什麼裝置使用等資訊。

因此，該份報告中還指出，NGFW必須有能力取得其他設備提供的資訊，進而透過這些資訊達到阻斷惡意流量的效果。舉例來說，NGFW可能要能夠和身分辨識的AD架構、RADIUS等設備溝通，取得使用者身分的資訊，然後輔以應用辨識的能力，將不合企業內資安政策與可能的惡意威脅流量阻斷，並且能夠快速的辨識出使用者位在何方。

最後，報告中談到，NGFW還必須具備客製化擴充的能力，如此一來，在面對新威脅時，才能快速的反應。Gartner這份報告，排除了傳統UTM和中小企業，並且也不列入DLP（Data Leakage Prevention）、Web安全閘道器、訊息安全閘道器等功能，報告中認為，這些功能都不算是NGFW需要必備的功能。

不過另一個安全訓練與研究機構SANS（SysAdmin、Audit、Network、Security）協會，所定義的NGFW，則又是另一番面貌。SANS在2009年2月發表了一份探討NGFW功能的報告，在其中指出，NGFW應該是除了具備傳統防火牆功能外，還能提供包括基礎DLP、NAC（Network Access Control）、IDP、防蠕蟲、防中介軟體、網站過濾、VPN、SSL Proxy、QoS等功能。

SANS還在該份報告中指出，現有市面號稱為NGFW的產品，在DLP、NAC、SSL Proxy這三項功能的提供上比較欠缺，未來NGFW的發展，應該要往增加這些功能的方向前進。

同時，報告中也指出NGFW所能帶來的優勢與可能面臨的挑戰。首先，由於NGFW能夠整合了多種不同功能在單一設備上，於是部分對於時效性要求特別高的功能，如IPS與防火牆的聯防，就能更有效率，也比較不會有互通上的難度。舉例來說，當網站過濾的功能偵測到有使用者連上惡意的網站，就能快速的透過防火牆阻斷連線，或是導引到其他地方。報告中也指出，這一點優勢是十分重要的能力，因為根據研究，當使用者連上惡意位址而感染了惡意程式後，一般來說網路上的資安設備，如IDP等，要發現這項威脅，往往都在感染已經發生了數天或數月之後，無法防範於未然。此外，這樣的做法也可以省下多數設備的投資，提供企業經濟上的效益；並且管理和控管上也更為簡便。

不過SANS的報告中也明白的指出，反過來看，這會讓企業的網路資安防護更容易傾向只依賴少數的廠商，因為功能都整合到單一設備上，有可能會是一個隱憂。另外就是效能的問題，要提供這麼多功能，效能很有可能會是瓶頸。SANS的報告中並沒有排除DLP功能和UTM設備，從這一點來看，該份報告所描述的功能細節比起Gartner更為詳細，但相對的包含的功能也比較發散。

更靈活的架構與擴充性，也將成為重點

由上述兩份針對NGFW所做的報告內容，應該已經可以掌握NGFW大概的方向。不過畢竟這些報告主要針對的還是網路上單點設備的描述，事實上，隨著虛擬化技術的發展，網路安全的需求已經越來越需要從網路架構的整體面來考量。因此，我們還可以再進一步歸納出報告中沒有談到的重點，那就是靈活的架構與擴充性。

更靈活的架構除了前述報告中談到的客製化能力，還有一點很重要的就是硬體資源透過虛擬化技術進行分配的能力。舉例來說，NGFW很有可能有能力可以將多臺防火牆串連虛擬為單一的防火牆設備，或是將單臺防火牆虛擬為多臺小型的防火牆，達到分開處理流量的效果。而同時這些虛擬技術，都將讓NGFW在分配硬體資源上更靈活，而不再受限於實體的限制。目前已經有不少網路安全設備廠商，已經在往這個方面發展，或是已經有類似的功能，如Juniper、Fortinet等。

而為了達到更靈活分配硬體資源的目標，NGFW其實還有一個發展趨勢很值得注意，那就是軟、硬體功能臍帶割離的趨勢。未來的NGFW，功能將不會再受到硬體的限制，取而代之的，將會逐漸轉向以「空白的硬體」的方式，讓設備的擴充性更佳。

接下來我們將列出NGFW應具備的6項重要功能，這些功能都是透過歸納市面上的產品現狀，輔以各家調查機構所列出重點的整理而成。Gartner在報告中，建議企業現在在選擇防火牆這樣的設備時，已經可以逐漸往NGFW的功能考量。而整理出的這6項功能，也同樣希望能夠提供讀者對NGFW這個概念有一定的認識。

次世代防火牆能協助建立更靈活的網路架構

透過虛擬化等技術，次世代防火牆將有能力更靈活的分配硬體資源，而不需要受限於硬體與控管的位置，而使用多臺防火牆達到管控的效果。取而代之的，透過多臺虛擬為一臺或單臺虛擬為多臺的方式，讓硬體擴充能力更強，架構更靈活。

相關報導請參考「次世代防火牆」