下一代防火墙标准的全新诠释

下一代防火墙标准的全新诠释

2014年9月，全球最知名的独立安全研究和评测机构NSS 实验室，对业界几乎所有主流的下一代防火墙厂商提供的总计12个型号的下一代防火墙[注]产品，进行了统一的测评。在测试过程中，NSS实验室模拟用户真实应用场景，主要关注在安全性测试和性能测试，对参测产品进行了严格的评测和详细的分析。

NSS实验室在安全测试中，提出了全新的衡量下一代防火墙的标准：安全效率。这个安全效率值，结合了参测产品的多个功能特性，如防火墙策略执行，应用识别与控制，用户分组与授权，入侵事件的阻挡率，防攻击逃逸等，也包括了系统自身的稳定可靠性等因素。对下一代防火墙的安全能力提出了一个整体的考量。

在所有参测产品中，Cisco的ASA下一代防火墙的三个型号，均以99.2%的成绩，获得了最高安全效率评分，这也充分体现了Cisco ASA下一代防火墙的设计理念：关注威胁，真正保护用户网络的安全。

测试过程中，Cisco的ASA下一代防火墙，全面的体现了其对网络威胁和攻击的超强防御能力，针对测试方提供的微软、IBM、苹果、Adobe以及oracle等多种应用，提供了高达99%的全面安全防护，而同时又可以100%的防范攻击逃逸。

而在性能测试当中，NSS实验室也并不是采用理想的UDP大数据[注]包的测试方法，而是模拟用户真实应用场景，以互联网边界、数据中心、教育园区网[注]、移动运营商等多种环境下的混合流量来对设备进行测试，以便更准确的得到设备在用户环境下的真实性能表现。而Cisco参测的ASA下一代防火墙，也都在性能测试中表现优异，均比Cisco自身对设备的标称性能高出了50%以上。

Cisco ASA下一代防火墙

随着信息化技术的发展，企业的业务模型发生了很大的变化，越来越多的智能终端，接入用户类型，以及越来越广的接入位置，使我们传统的网络朝着一个无边界的方向发展;从应用端来看，虚拟化技术和各种新应用大量出现。所有的这些，都让我们传统的网络边界变得模糊，如何更好的实施边界控制和威胁防御，是企业CIO[注]们面临的一个棘手问题。

近日频繁出现的诸如OpenSSL/Bash的网络安全漏洞披露，导致了大量零日威胁的出现，这种威胁往往具有很大的突发性与破坏性，对企业的网络安全和重要数据造成了越来越大的威胁。而近期包括好莱坞艳照门、Target和家得宝信息泄露等事件，也把网络安全问题再次推上了风口浪尖。

近几年被热炒的下一代防火墙概念(+本站微信networkworldweixin)，具备了网络应用分析能力，可以认出了用户，也可以认出了行为，为企业用户提供了更细粒度的控制手段，但在面对日益频繁的网络攻击和恶意软件，面对目标明确的高级持续攻击(APT[注])，也显得有些力不从心。

Cisco推出的下一代防火墙技术，在原有的高性能ASA平台上，加入了Firepower服务模块，真正实现了思科在收购Sourcefire后，提出的“better together”的承诺。将业界最为领先的威胁防御Sourcefire技术与市场领先、久经证明、具备应用控制功能的Cisco ASA 5500X/5585X系列防火墙完美的结合在一起。

Cisco ASA下一代防火墙，不仅继续强调了终端/应用/身份的识别和控制能力，关键又可以将这些识别的信息与威胁关联，结合深度检测、云智能以及零日自动安全响应技术，真正实现对用户网络的威胁防御。其提供的智能识别与控制技术、下一代威胁防御技术、URL过滤技术以及高级恶意软件防护技术等，将能够在攻击发生前、攻击进行中和攻击后的整个过程中，为企业提供全面的威胁防御保证。

思科ASA下一代防火墙关键特性

· 全面的网络可见

孙子兵法曰：知己知彼，百战不殆，只有对网络有了全面的了解，我们才能够提供安全防护的准确依据。思科ASA下一代防火墙，提供了针对用户、移动设备、客户端应用、虚拟机、通信、漏洞、威胁等完整的情景感知功能。其企业级管理功能可针对发现的主机、应用、威胁和被攻击指标(IoC)等为用户提供仪表板和详细报告，让用户获得全面的可见性和事件处理的有效依据。

·专注于威胁防御

采用领先的下一代入侵防御NGIPS来全面防御已知和高级威胁，同时采用恶意软件防护(AMP)来抵御零日和持久型攻击。结合最新的大数据分析、连续分析和思科安全智能一起提供检测、拦截、跟踪、分析和修复功能，以防御各种已知和未知攻击。被攻击指标(IoC)的显示，通过主机状态和安全事件的关联，给用户提供了切实可行的安全事件分析指导;而恶意软件防护(AMP)提供的可追溯的安全性，也帮助了用户能够在攻击发生后，快速的定位攻击来源和攻击范围。

.