当前位置:文档之家› 下一代防火墙

下一代防火墙

下一代防火墙
下一代防火墙

1下一代防火墙概述

1.1传统防火墙

在网络安全的实际应用中,单一的安全防护技术并不足以构筑一个安全的网络安全体系,多种技术的综合应用才能够将安全风险控制在尽量小的范围内。一般而言,安全防范体系具体实施的第一项内容就是在内部网和外部网之间构筑一道防线,以抵御来自外部的绝大多数攻击,完成这项任务的网络边防产品我们称其为防火墙。类似于建筑大厦中用于防止火灾蔓延的隔断墙,Internet 防火墙是一个或一组实施访问控制策略的系统,它监控可信任网络(相当于内部网络)和不可信任网络(相当于外部网络)之间的访问通道,以防止外部网络的危险蔓延到内部网络上。防火墙是一类防范措施的总称,它使得内部网络与Internet之间或者与其他外部网络互相隔离、限制网络互访用来保护内部网络。防火墙简单的可以只用路由器实现,复杂的可以用主机甚至一个子网来实现。设置防火墙目的都是为了在内部网与外部网之间设立唯一的通道,简化网络的安全管理。传统防火墙可以分为四种类型,分别为包过滤、应用级网关、代理服务器和状态检测。总体的功能是防火墙自诞生以来,在网络安全防御系统中就建立了不可替代的地位。作为边界网络安全的第一道关卡防火墙经历了包过滤技术、代理技术和状态监视技术的技术革命,通过ACL访问控制策略、NAT地址转换策略以及抗网络攻击策略有效的阻断了一切未被明确允许的包通过,保护了网络的安全,过滤不安全服务、阻止非法用户和控制对特殊站点的访问、提供监视Internet安全和预警的方便端点。状态检测防火墙是应用最广泛的防火墙产品,但是它们面对新一代的安全威胁的作用越来越小。状态检测防火墙是通过跟踪会话的发起和状态来工作的。状态检测防火墙通过检查

数据包头,分析和监视网络层(L3)和协议层(L4),基于一套用户自定义的防火墙策略来允许、拒绝或转发网络流量,然而随着网络的发展,黑客已经研究出大量的方法来绕过防火墙策略。如今黑客能利用传统防火墙开放的端口,巧妙躲过网络防火墙的监测,直接针对目标应用程序。他们想出复杂的攻击方法,能够绕过传统网络防火墙。传统网络防火墙存在着以下不足之处:1、无法检测加密的Web流量;2、普通应用程序加密后,也能轻易躲过防火墙的检测;3、对于Web应用程序防范能力不足;4、应用防护特性只适用于简单情况;5、无法扩展深度检测功能。

1.2网络的巨大变革

以太网标准现在已经由万兆开始向40G/100G迈进,网络带宽的增长十分迅猛。另外,数据量也在成爆炸性增长。据统计,我国各类数据中心和机房总量已经达到50余万个。无论是带宽增长还是数据增长,都对网关安全产品的性能和功能提出了新的要求。网络环境趋于复杂,致使用户需要寻找新的安全解决方案来满足除了抵挡外部攻击以外的安全需求。以往,网络攻击手段基本停留在第三层的网络层,而随着Web2.0时代的到来,大量的应用程序都建立在了http和https等协议之上,传统的防火墙对应用层望尘莫及。基于网络层的操作就意味着传统防火墙只能根据与数据包源地址和目标地址有关的信息来检测流量,但是对于上述的http和https流量却是无能为力。虽然现在有针对应用层的IPS设备,但是IPS却无法识别具体的应用,达不到目前用户所需的精细力度的应用层控制,因而也无法对特定应用进行防护。自防火墙的概念诞生以来已经经过了十几年的发展,防火墙的功能并没有变革性的改进,相比网络的飞速发展,防火墙的功能、性能与网络的飞速前进并不匹配,网络环境的新需求迫使防火墙进行根本性的变革,因而催生出革命性的防火墙产品—下一代防火墙。

1.3下一代防火墙

防火墙作为一款历史悠久的经典产品,在IP/端口的网络时代,发挥了巨大的作用,合理的分隔了安全域,有效的阻止了外部的网络攻击。然而面对网络应用的高速发展以及网络规划的复杂化,传统防火墙显得力不从心。对于使用僵尸网络等传播方式的威胁,第一代防火墙基本上是看不到的。随着面向服务的架构和Web 2.0使用的增加,更多的通信通过更少的端口(如HTTP和HTTPS)和使用更少的协议传输,这意味着基于端口/协议的政策已经变得不太合适和不太有效。深度包检测入侵防御系统(IPS)的确是检查针对没有打补丁的操作系统和软件的已知攻击方法,但不能有效地识别和阻止应用程序的滥用,更不要说应用程序中的特殊性了。Gartner在2009年发布了一份名为《Defining the Next-GenerationFirewall》,将下一代防火墙(NGFW)定义为在不同信任级别的网络之间实时执行网络安全政策的联机控制。Gartner使用“下一代防火墙”这个术语来说明防火墙在应对业务流程使用IT的方式和威胁试图入侵业务系统的方式发生变化时应采取的必要的演进。根据Gartner的理论,NGFW 应该是一个线速(wire-speed)网络安全处理平台,至少应当具备以下几个属性:1、联机“bump-in-the-wire”配置,不中断网络运行。2、发挥网络传输流检查和网络安全政策执行平台的作用,至少具有以下特性:(1)标准的第一代防火墙能力:包过滤、网络地址转换(NAT)、状态性协议检测、VPN等等。(2)集成的而非仅仅共处一个位置的网络入侵检测:支持面向安全漏洞的特征码和面向威胁的特征码。IPS与防火墙的互动效果应当大于这两部分效果的总和。例如提供防火墙规则来阻止某个地址不断向IPS加载恶意传输流。这个例子说明,在NGFW中,应该由防火墙建立关联,而不是操作人员去跨控制台部署解决方案。集成具有高质量的IPS引擎和特征码,是NGFW的一个主要特征。(3)应用意识和全栈可见性:识别应用和在应用层上执行独立于端口和协议,而不是根据纯端口、纯协议和纯服务的网络安全政策。例子包括允许使用Skype,但关闭Skype中的文件共享或始终阻止GoToMyPC。

(4)额外的防火墙智能:防火墙收集外来信息来做出更好的阻止决定或建立优化的阻止规则库。例子包括利用目录集成将阻止行为与用户身份绑在一起,或建立地址的黑白名单。Gartner认为,随着防火墙和IPS更新周期的自然到来,或者随着带宽需求的增加和成功的攻击,促使更新防火墙,大企业将用NGFW替换已有的防火墙。不断变化的威胁环境,以及不断变化的业务和IT流程将促使网络安全经理在他们的下一个防火墙/IPS更新周期时寻找NGFW。Gartner预计到2014年底,用户采购防火墙的比例将增加到占安装量的35%,60%新购买的防火墙将是NGFW。

1.5下一代防火墙的革新

应用识别是防火墙未来发展的重要技术方向,基于应用的攻击不断变化,也要求防御技术必须有所提升。对于这样的变化,传统防火墙只能望而兴叹。因为它在应用层无法起到良好的防御效果,而IPS仅关注应用层检测,防火墙功能较弱,这也是有些用户把IPS当做IDS使用的一个原因。UTM则是一个集大成的产品,能够很好地融合各种安全技术。下一代防火墙在性能、安全性、易用性、可管理性等方面有了质的飞跃,满足用户新的防御和管理需求。相比传统防火墙和UTM,下一代防火墙与它们的主要区别在于: 1)传统防火墙局限于IP地址、接口层面的安全防护。从基于简单包过滤技术防火墙到基于状态检测技术的防火墙,重点的防护还仅仅是停留在OSI模型的四层以内; 2)UTM是在“瘦防火墙”基础上发展而来的,集防火墙、IPS、VPN等安全功能于一体的集成安全网关,其不足之处在于处理机制烦琐,效率低下,内部安全模块间缺少智能关联;

3)下一代防火墙除了具备传统防火墙功能外,更关注针对应用层面的安全防护。实时性、准确性、高效性也成为下一代防火墙的主要特点。它会根据深度包检测引擎的检测结果,自动识别到该流量在应用层执行的安全策略。流量控制需要更“精细化”的管理,不仅仅能够对异常攻击流量进行阻止或允许动作,更可用来进行基于应用层的QoS控制,控制粒度更为细致。例如,可允许用户使用Netmeeting会议,但禁止其白板功能等,检测顺序也更为高效。设备对数据流仅需进行一次检测,IPS、FW模块并行进行识别判断。

2WINFUN下一代防火墙方案

2.1系统简介

基于对下一代防火墙技术的深入研究,以及多年来对我国网络特征的准确把握,WINFUN为中国用户推出了革命性的WINFUN下一代防火墙产品。 WINFUN下一代防火墙面向应用层设计,建立并强制执行基于身份的应用使用策略。融合VPN技术;能够精确识别用户、应用和内容,能够对流量执行入侵防御扫描,具备完整的安全防护能力。WINFUN下一代防火墙是针对当今网络特征的全方位网络防护产品,F解决了传统安全设备在应用管控、应用可视化、应用内容防护等方面的巨大不足,开启了防火墙应用的新篇章。 WINFUN下一代防火墙不但可以提供基础网络安全功能,如状态检测、VPN、抗DDoS、NAT等;还实现了统一的应用安全防护,整合了多种检测技术,有效应对系统漏洞、Web入侵、非法访问、蠕虫病毒、带宽滥用、恶意代码等网络安全问题,为不同规模的行业用户提供细粒度的应用内容防护方案。

2.2网络部署

WINFUN下一代防火墙可以替换传统防火墙,部署在网关处。WINFUN下一代防火墙基于应用层设计和开发的防火墙产品,拥有7层应用层数据过滤的功能,同时具有VPN、防病毒及IPS入侵检测的功能,并且保留了传统防火墙的所有功能。基于应用的类型实现可视化管控。NG Firewall可以恢复安全设备对应用的可视化感知,对同一端口上运行的不同应用类型进行区分,在根据客户需要对同一端口的不同应用进行管理。

WINFUN下一代防火墙可以提供更加完整的应用防护功能:终端防护(AV、Web安全过滤等)、服务器防护(IPS、WAF、DDoS防护等)。其中WAF(web application firewall)的各种功能包括了:对弱密码的保护、对数据注入攻击的保护、服务器信息隐藏等。 WINFUN下一代防火墙能够基于应用的内容实现更精确的安全防护。她既能让用户访问各种应用,又能对其中的内容进行信息过滤和危险流量拦截,还可以通过关联分析技术识别出未知威胁,并及时处理。在飞速发展的网络环境下,WINFUN下一代防火墙实现了对应用层的保护。用户可以看见网络管道中跑着那些应用,有哪些内容,存在哪些风险,并且均可以一一进行控制和记录。WINFUN 下一代防火墙通过多核并行计算技术、数据包一次扫描技术、深度内容识别及快速还原等技术,使其在全功能开启后最高性能依然非常强劲。

2.3应用层安全

如今近三分之二的流量都是HTTP和HTTPS流量,就设置和执行安全策略而言,协议和端口细节实际上已毫无用处。随着Web 2.0、社交媒体、移动互联及云计算等新技术和新模式的飞速发展,通过协议和端口号分类来检测流量已不能有效阻止新型的威胁。WINFUN下一代防火墙基于应用层设计和开发的防火墙产品,拥有七层应用层数据过滤的功能,能够根据深度包检测(DPI)引擎识别到的流量在应用层执行网络安全策略。流量控制不再是单纯地阻止或允许特定应用,而是可用来管理带宽或优先排序应用层流量,执行细粒度策略。 WINFUN 下一代防火墙可以根据应用的行为和特征实现对应用的识别和控制,而不仅仅依赖于端口或协议,摆脱了过去只能通过IP地址来控制的尴尬,即使加密过的数据流也能应付自如。目前,WINFUN下一代防火墙可以识别上千种内外网应用及行为,还可以与多种应用系统(POP3、SMTP等)无缝对接,自动识别出网络当中IP地址对应的用户信息,并建立组织的用户分组结构;既满足了普通互联网边界行为管控的要求,同时还满足了在内网数据中心和广域网边界的部署要求,可以识别和控制丰富的内网应用,保障在安全管控严格的环境下,系统软件更新服务畅通无阻。WINFUN下一代防火墙的七层应用控制策略,加上可视化管理引擎,可以为用户提供精细和直观的控制界面,并能够在一个界面下完成多套设备的运维工作,提升工作效率。

2.4应用代理

WINFUN下一代防火墙能够代理FTP、SSH、DHCP、DNS、SMTP、POP3等应用,进而实现应用级安全。SSH代理用于认证执行,这样用户在连接远程目标前在统一接受认证。WINFUN下一代防火墙支持基于每个用户定义访问目标策略,操作简单,每个会话活动均可按要求进行记录。

2.5网络应用识别

WINFUN下一代防火墙提供的庞大的近千种网络应用特征,使系统能对网络应用进行快速准确的判断。同时,WINFUN下一代防火墙能够根据行为特征、数据流特征、关联特征等,

融合了逻辑学和统计学技术,对网络行为进行准确判断,使系统能够适应爆发式增长的新型网络应用,从而降低对传统URL地址库及行为特征库的依赖,实现了网络行为的智能化识别。WINFUN下一代防火墙的应用识别有以下几种方式:第一,类似传统防火墙的基于协议和端口的检测。固定端口小于1024的协议,其端口通常是相对稳定,可以根据端口快速识别应用。第二,基于应用特征码的识别,深入读取IP包载荷的内容中的OSI七层协议中的应用层信息,将解包后的应用信息与后台特征库进行比较来确定应用类型。第三,基于流量特征的识别,不同的应用类型体现在会话连接或数据流上的状态各有不同,例如,基于P2P下载应用的流量模型特点为平均包长都在450字节以上、下载时间长、连接速率高、首选传输层协议为TCP 等;基于这一系列流量的行为特征,通过分析会话连接流的包长、连接速率、传输字节量、包与包之间的间隔等信息来鉴别应用类型。WINFUN下一代防火墙对应用的智能识别已经贯穿到整个产品中。例如,针对SIP的控制,已经细化到命令级,控制粒度可以做到允许视频但不允许其中作共享。另外,针对加密的应用,WINFUN下一代防火墙同样可以进行精准检测。例如可以准确识别基于SSL 加密应用。高度的识别能力,可以确保对各类应用进行准确的管控。

2.6 内容分析引擎

WINFUN下一代防火墙采用WINFUN独特的内容分析引擎和高效的索引算法。WINFUN下一代防火墙能够对各类协议的具体内容进行实时分析处理,能对论坛发言、网络信息发布,以及QQ、MSN、YAHOO等即时通讯软件的聊天内容进行实时过滤和监控,并依据策略报警或阻挡。WINFUN内容分析引擎的特点是处理速度非常快,相比同类产品有极大地提高,因此能够实时监控,实时防范。WINFUN下一代防火墙通过快速的内容分析,实现了事前预防,即在分析出敏感信息或涉密信息时就能够对目标计算机下发防御策略,避免了信息在互联网上的扩散。高速及高效凸显出WINFUN下一代防火墙极高的应用价值和竞争力,WINFUN下一代防火墙能够适应日益巨增的大流量或规模庞大的用户环境。

2.7上网行为检测与审计

WINFUN下一代防火墙能够对各种应用层协议进行解析,对用户使用互联网过程中的各种网络服务和应用进行分析,实现用户上网的行为审计、用户访问的内容审计,能够对用户上网行为进行控制,根据不同的策略封堵各种网络应用,还能够针对用户的上网行为进行实时监控和流量分析。 WINFUN下一代防火墙提供网络行为数据报表和图表。在对数据统计时,本系统可从多方面进行了统计,给网络管理者提供方便的网络管理平台,帮助用户在网络管理、预防信息泄密、了解员工需求、规范员工行为等方面取得更高成效。

2.8 带宽管理

应用防火墙允许对穿越防火墙的应用和数据进行分类、控制和管理。例如,企业许可员工访问如视频类网站的带宽高消耗型网站,但仅限于在工作中需要访问这类网站的员工。同时,企业可根据媒体或时间限制速率,为关键业务应用预留带宽。另外,员工通过企业网开展各种社会交往,与工作无关的行为耗费了大量带宽,对关键商务活动造成了极大影响。假如某公司有100名员工使用PC观看网络视频,就无疑会造成网络拥塞,从而降低商务应用的性能。要解决此问题,就需要对策略进行细粒度管理。访问流视频或音频网站有时是工作需要,但有时候会被滥用。拦截网站本身可能有效,但最好是限制分配给流音/视频网站的带宽。管理员可根据预先定义的逻辑类别(如社交媒体或流视频网站)、个别应用或用户和用户组轻松创建带宽管理策略。例如,使用深度包检测引擎在HTTP报头中搜索HTTP网址https://www.doczj.com/doc/f28485347.html,,继而将带宽限制应用于带此报头的流量,在特定时间段内限制应用的带宽。当然,也可以创建一份希望管理的音频文件扩展名列表,通过文件扩展名进行控制,一旦“检测”出符合搜索条件的网站或扩展名,即可阻止流音频或对流音频进行带宽管理。对流视频网站可以运用带宽限制。但还有一个更好的方法,即进行分组带宽管理。将此策略应用于LDAP服务器导入的“管理”组,使用深度包检测引擎在HTTP报头中搜索HTTP网址https://www.doczj.com/doc/f28485347.html,,确保包含“管理”报头的流量具有足够的带宽,从而创建不限制管理层浏览流视频的策略。

不管是为关键应用优先分配带宽还是限制生产力不高的用户组带宽,以最大程度地提高工作效率,用户均可在每用户/用户组基础上结合所有控制能力,创建详细的策略。WINFUN下一代防火墙可以屏蔽各种通工具等程序,如BT、emule、QQ、MSN等。它能根据检测数据包的特征,按组禁止用户使用P2P工具。SiteView EIM可以完全封死BT下载和emule,对用户正常下载有没有任何影响。通过配置上网内容过滤服务器和上网过滤黑白名单表,该系统可以实时进行网页内容扫描并通过自定义策略屏蔽页面,还可屏蔽网页中的各种弹出窗口及广告窗口,禁止用户通过http下载指定的文件。可以实时控制和限制游戏和流媒体程序,帮助用户减少带宽占用,并解决工作时间因游戏、电影等网络娱乐而导致的“工作效率低下”问题。网络应用过滤的目的是为了保障关键核心业务的正常运转,越来越多的业务已经离不开网络的支持,视频会议、网上定单、在线交流、网上交易系统等等,无一不需网络高效、稳定运行做保障。而上述行为不仅严重挤占了关键业务正常运转的带宽,还为带来巨大的网络安全隐患,网络应用过滤能够解决这些问题,让网络管理者“高枕无忧”。

2.9身份认证

WINFUN下一代防火墙将用户身份与IP地址关联构建基于角色的访问控制体系,制定面向用户的访问策略。网络用户并不需要平均对待。通常,许多企业或单位执行的网络策略仅允许认证用户访问;或者给重要的用户或用户组分配更多的带宽,而限制一般用户一般应用的带宽。WINFUN下一代防火墙支持多种认证方式,进而可以制定面向用户的策略。

2.10数据防泄密

据IDC调查报告显示,全球有近80%的企业存在着信息安全与风险问题。在报告所调查的公司中,进行网络常规安全检查的公司不到一半。报告显示:信息安全问题大都来自于企业内部,大多数信息泄密源于信息安全管理不善。在很多企事业单位的网络中,业务系统的操作没有明确授权人员,这导致非授权人员访问并修改内网服务器的重要数据;很多员工信息安全意识薄弱,将内网数据在公网上传播,导致严重后果。

WINFUN下一代防火墙通过高效的内容过滤和上网行为审计,有效遏制了内部数据泄密,

保证了信息发布和传播的安全。在一些公司内,外发电子邮件系统无法检查电子邮件附件内容,作为邮件附件的“公司机密”文件可被轻松带出公司。即使公司现有的垃圾邮件防护系统可检测和阻止包含“公司机密”信息的外发电子邮件,但如何阻止员工用邮件发送“公司机密”信息? WINFUN下一代防火墙增强了对加密流量的监管和控制,防止机密文件及数据外泄,避免敏感客户信息和知识产权被暴露而蒙受损失。首先,使用深度包检测引擎,阻止敏感邮件发送。WINFUN下一代防火墙还能够控制文件上载权限,利用深度包检测引擎验证用户,决定允许上传或者驳回FTP命令。

2.11入侵检测及防御

入侵检测和防御(IDS / IPS)可大力提升网络安全,通过提供完整而全面的实时网络保护,从而免遭受广泛的网络威胁,安全漏洞,操作系统漏洞,应用程序和数据库的漏洞,从而防御诸如SQL注入和溢出的网络攻击。此外,IDS / IPS阻止间谍软件和蠕虫进入网络,以防止欺诈和保护隐私。通过不断监测网络和系统活动的恶意或可疑行为,WINFUN下一代防火墙可以实时反应,阻止和防止这类活动。如果检测到攻击,WINFUN下一代防火墙可以一边允许传递流量或检测和记录入侵尝试,一边拖放违规数据包。根据威胁的严重程度并按照防火墙基本规则分配及下发策略。WINFUN下一代防火墙具有恶意软件防护功能,它采用双层病毒引擎扫描技术,防止内部网络感染恶意软件,能够扫描Web(HTTP和HTTPS)、email (SMTP和POP3)和FTP,WINFUN下一代防火墙综合采用了特征代码识别、高级启发式检测等技术,能识别病毒、蠕虫、木马、恶意java 插件,以及PDF、图片、office 文档中附着的程序、宏病毒等等,甚至能识别器伪装、变体。WINFUN下一代防火墙具备安全Web 代理功能,能够防护SSL加密的HTTP流量。这个功能允许用户将其安全策略覆盖到SSL流量,对SSL 加密的网站或应用进行URL过滤和病毒扫描。WINFUN下一代防火墙具有庞大的网址库,避免访问恶意网站。WINFUN下一代防火墙专门针对Web应用面临的各种最新的威胁提供额外的安全防护,包括SQL注入、XSS攻击、OS命令注入、CSRF攻击、口令爆破、弱口令探测、应用信息探测、非法上传威胁文件等,从根源上解决了Web系统被入侵、数据被篡改的可能性;

2.12安全VPN

WINFUN下一代防火墙具有强大的VPN功能,提供对内部网到内部网(Site-to-site)和远程用户接入企业内部网(Remote Access)这两种方式的安全保护,将SSL和IPSec VPN 功能有机地结合在一起,为用户提供了极高的安全连接灵活性。用户可以对所有网络流量实施基于身份的安全性和联网策略,以便为不同组提供适当的访问权限。

2.13典型应用

某企业网络应用了OA、WEB服务器、邮件服务器等多个信息系统,各系统均连接互联网平台,并建立在HTTP等基础协议之上,或者随机产生端口号,或者采用SSL加密等方式保护传输数据的安全。该企业现有的防火墙仅用作普通防火墙来做包过滤,近几年来,公司每年都会出现病毒风暴,从而影响公司内网网络。此外,PC管理一直未纳入管理体制中,多数PC由于私自安装陌生的程序而感染到病毒,接入企业办公内网时,影响整个网络的顺利运行。如今,网络上涌现出基于Web的成千万的应用都基于Web,企业的防火墙无法准确判断应用的合规性,另外,信息窃取的情况时有发生,如窃取个人账户、企业机密等,因为这种攻击不仅仅是针对操作系统,应用和数据库都成为了攻击目标。因而造成防御难度大,即使部署了IPS,网络依然被篡改,信息依然被窃取。解决方案:部署一台WINFUN下一代防火墙产品替换原有防火墙,WINFUN下一代防火墙具有强大的路由性能,可以支持内网2000名员工的上网服务,同时具有AV防病毒及IPS入侵检测的功能。WINFUN下一代防火墙拥有七层应用层数据过滤的功能,可以为公司内网员工提供应用过滤,可以识别并智能控制P2P下载、网页视频、IM通讯等服务。通过流量智能控制,能够对制定应用层服务进行带宽限制或者带宽保留,保证企业正常业务的基础流量,以便企业的正常业务能得以顺利开展。在此方案中,利用WINFUN下一代防火墙的SSL VPN功能实现异地的安全访问,以及与分支机构的连接,对内网的数据流进行应用层识别及带宽管理。

方案特点:针对该企业网络现状,WINFUN下一代防火墙很好的解决了上网行为和带宽消耗越来越多的问题,借助WINFUN下一代防火墙,企业可根据带宽需求和优先级对应用加以控制。在硬件架构上的设计,除了充分调动多核资源外,更将部分策略集成到ASIC芯片中。通过“多核+ASIC”的结合,做到功能模块与硬件调用的充分对应,大幅提升了WINFUN下一代防火墙的检测效率,使其性能得到充分的保障。 WINFUN下一代防火墙对该企业网络的各种应用起到充分的“代理作用”,能够充分识别各类应用,针对加密的应用,WINFUN下一代防火墙同样可以进行精准检测,其高度的识别能力,可以确保对各类应用进行准确的管控。

3WINFUN优势与特点3.1 应用识别与控制

WINFUN下一代防火墙依托先进的应用识别技术,在性能、安全性、易用性、可管理性等方面有了质的飞跃,满足用户新的防御和管理需求。WINFUN下一代防火墙可识别超过上千种应用程序,而不论应用程序使用何种端口、协议、SSL、加密技术或逃避策略,其有以下几种应用识别方式:1)基于协议和端口的检测仅仅是第一步(传统防火墙做法)。固定端口小于1024的协议,其端口通常是相对稳定,可以根据端口快速识别应用。2)基于应用特征码的识别,深入读取IP包载荷的内容中的OSI七层协议中的应用层信息,将解包后的应用信息与后台特征库进行比较来确定应用类型。3)基于流量特征的识别,不同的应用类型体现在会话连接或数据流上的状态各有不同,例如,基于P2P下载应用的流量模型特点为平均包长都在450字节以上、下载时间长、连接速率高、首选传输层协议为TCP等;NGAF基于这一系列流量的行为特征,通过分析会话连接流的包长、连接速率、传输字节量、包与包之间的间隔等信息来鉴别应用类型。WINFUN下一代防火墙具备多种不同形式的图形可视化工具,使查看应用程序及通信流变得简单而直观,简化了网络管理,提升了网络防护的效率。相应的策略控制可以阻止恶意应用程序,并对正常使用网络的应用程序进行控制。

3.2用户识别

通过与Active Directory 的完美集成,对应用程序使用者实现基于策略的可视化和控制功能。提供基于用户与用户组的访问控制策略,使管理员能够基于各个用户和用户组来查看

和控制应用使用情况。在所有功能中均可获得用户信息,包括应用访问控制策略的制定和安全防护策略创建、取证调查和报表分析。WINFUN下一代防火墙可以按照组织的行政结构建立树形用户分组,将用户分配到指定的用户组中,以实现网络访问权限的授予与继承。通过基于Web 的身份认证控制非Windows 主机便于管理员管理。支持账户自动创建功能,依据管理员分配好的IP段与用户组的对应关系,基于新用户的源IP地址段自动将其添加到指定用户组、同时绑定IP/MAC,并继承管理员指定的网络权限。管理员亦可将用户信息编辑成Excel、TXT文件,将账户导入,实现快捷的创建用户和分组信息。支持多种身份认证方式,帮助组织管理员有效区分用户,建立组织身份认证体系,进而形成树形用户分组,映射组织行政结构,实现用户与资源的一一对应。WINFUN下一代防火墙支持为未认证通过的用户分配受限的网络访问权限,将通过Web认证的用户重定向至显示指定网页,方便组织管理员发布通知。

3.3流量管理

传统防火墙的QOS流量管理策略仅仅是简单的基于数据包优先级的转发,当用户带宽流量过大、垃圾流量占据大量带宽,而这些流量来源于同一合法端口的不同非法应用时,传统防火墙的QOS便失去意义。WINFUN下一代防火墙提供基于用户和应用的流量管理功能,能够基于应用做流量控制,实现阻断非法流量、限制无关流量保证核心业务的可视化流量管理价值。首先,WINFUN下一代防火墙将数据流根据各种条件进行分类(如IP地址,URL,文件类型,应用类型等分类,像skype、emule属于P2P类),分类后的数据包被放置于各自的分队列中,每个分类都被分配了一定带宽值,相同的分类共享带宽,当一个分类上的带宽空闲时,可以分配给其他分类,其中带宽限制是通过限制每个分队列上数据包的发送速率来限制每个分类的带宽,提高了带宽限制的精确度。在数据包的出口处,每个分类具备一个优先级别,优先级高的队列先发送,当优先级高的队列中的数据包全部发送完毕后,再发送优先级低的。也可以为分队列设置其它排队方法,防止优先级高的队列长期占用网络接口。

WINFUN下一代防火墙可以基于不同用户(组)、出口链路、应用类型、网站类型、文件类型、目标地址、时间段进行细致的带宽划分与分配,如保证领导视频会议的带宽而限制员工P2P 的带宽、保证市场部访问行业网站的带宽而限制研发部访问新闻类网站的带宽、保证设计部传输CAD文件的带宽而限制营销部传输RM文件的带宽。精细智能的流量管理既防止带宽滥用,又提升带宽使用效率。

3.4内容识别

WINFUN下一代防火墙可以将数据包还原的内容级别进行全面的威胁检测,还可以针对黑客入侵过程中使用的不同攻击方法进行关联分析,从而精确定位出一个黑客的攻击行为,有效阻断威胁风险的发生,帮助用户最大程度减少风险短板的出现,保证业务系统稳定运行。通过内容识别技术,WINFUN下一代防火墙实现了阻止病毒、间谍软件和漏洞攻击,限制未经授权的文件和敏感数据的传输,控制与工作无关的网络浏览等功能。同时,WINFUN下一代防火墙的单通道体系结构,使其可以在扫描内容的同时,以较低延迟实现数千兆位的数据吞吐量。

3.5完整的安全防护体系

WINFUN下一代防火墙涵盖传统防火墙、IPS、VPN等主要功能,内部成功实现联动,构建了一个完整的安全防护体系和方案。

选择下一代防火墙:十大注意事项

白皮书 选择下一代防火墙:十大注意事项 中型企业必备 概述 很多中型公司的网络安全已步入关键时期,他们必须巩固传统安全解决方案,以应对移动和云引发的新趋势,并 适应不断变化的威胁形势。这些局面导致维护网络安全这一挑战更加复杂,并加重了企业网络以最佳状态运行的 负担。 在监控用户的操作、用户访问的应用类型或使用的设备方面,传统防火墙捉襟见肘。下一代防火墙则可以填补这些空白。本文档列举了中型企业在评估下一代防火墙解决方案时需要权衡的十大注意事项: 1. 防火墙是否基于综合全面的状态防火墙基础? 2. 对于移动用户,解决方案是否支持强大安全的远程访问? 3. 防火墙是否提供主动威胁防范? 4. 防火墙能否在多个安全服务运行时保持性能不降级? 5. 解决方案是否提供深度应用可视性和精细应用控制? 6. 防火墙是否能够交付用户、网络、应用以及设备智能,推动情景感知防护? 7. 防火墙是否提供基于云的网络安全? 8. 能否部署可随着组织扩展的面向未来的解决方案? 9. 防火墙供应商是否拥有广泛的支持和服务,可为迁移路径铺平道路? 10. 防火墙供应商是否提供极具吸引力的融资方案,以缩短部署时间? 下一代防火墙应提供“一体化”解决方案,并融合一系列经济实惠、且便于部署和管理的下一代防火墙服务。本白皮书将帮助您评估下一代防火墙,为您的中型组织作出最明智选择。

网络受损害的机率:100% 据思科 2014 年度安全报告,“所有组织都应该假设自己已经受到黑客的攻击。”1思科智能运营中心 (SIO) 的研究人员发现,所有企业网络中都能检测到恶意流量,这意味着有证据表明恶意人士已经侵入这些网络,而且可能不被察觉地活动了很长时间。2 这些发现强调了为什么所有组织必须部署可提供持续安全以及整个安全网络端到端可视性的下一代防火墙解决方案。成功的攻击是不可避免的,IT 团队必须能够确定损害的范围、遏制事件的发展、采取补救措施,并将运营恢复正常,而且这一切必须及时快速展开。 向新安全模式转变 下一代防火墙是以威胁为中心的安全模式的重要要素。采取以威胁为中心的模式,监控整个网络,并在攻击的整个生命周期(即攻击前、攻击中以及攻击后)做出适当的回应意义非凡。在为组织评估下一代防火墙时,一定要记住,任何解决方案都必须满足下列要求: ●具有全面的防护功能:要在当前威胁形势下保护网络,离不开基于漏洞调查、信誉评分以及其他关键要素的 一流防恶意软件和入侵防御。 ●遵守业务策略:下一代防火墙必须从深度和广度两个层面,对有关应用使用的策略进行全面实施。同时,必 须保证可根据业务策略,在细粒度级别,对出于个人和专业原因使用的各种协作和 Web 2.0 应用进行监控和控制。 ●确保策略得到设备和用户的实施:下一代防火墙必须对访问网络的设备和用户、及其访问网络的位置做到了 如指掌。同时,还必须确保安全策略可根据用户、群以及设备类型(Apple iPhone、iPod、Android 移动设备的具体版本)进行调整。 再者,启用多个服务时,下一代防火墙解决方案不能在以线速保证防护、策略、一致性以及环境的同时,造成性能突然大幅降级。 选择下一代防火墙解决方案时,请思考这些重要问题: 1思科 2014 年度安全报告:https://www.doczj.com/doc/f28485347.html,/web/offer/urls/CN/whitepapers/sc-01casr2014_cte_lig_zh-cn_35330.pdf。 2同上。

下一代防火墙和传统防火墙的区别

下一代防火墙和传统防火墙的区别: 传统防火墙:无法防御应用层攻击 NGAF:解决运行在网络传统防火墙对应用层协议识别、控制及防护的不足! 功能优势: 1、应用层攻击防护能力(漏洞防护、web攻击防护、病毒木马蠕虫) 2、双向内容检测的优势(具备网页防篡改、信息防泄漏) 3、8元组ACL与应用流控的优势 4、能实现模块间智能联动 下一代防火墙和IPS(入侵防御模块)区别: IPS:应用安全防护体系不完善,对WEB攻击防护效果不佳;NGAF:解决保护系统层面的入侵防御系统,和对应用层攻击防护不足,及应用层攻击漏判误判的问题! 功能优势: 1、Web攻击防护,尤其是各类逃逸攻击(注入逃逸、编码逃逸)的防护

下一代防火墙和WAF(Web应用防火墙): WAF:处理性能不足,缺乏底层漏洞攻击特征库,无法对WEB业务进行整体安全防护 NGAF:解决定位于防护Web攻击的Web应用防火墙 功能优势: 1、三大特征库保护网站安全:漏洞2800+、web攻击2000+、敏感信息(OWASP综合4星) 2、敏感信息防泄漏功能,业内热点,业界独家 3、自动建模技术,自动生成策略。 下一代防火墙和UTM(统一权威管理): UTM:多功能开启性能差,各模块缺乏联动 NGAF:解决面向中小型企业一体化的UTM统一威胁管理系统,解决多功能模块开启后性能下降以及应用层防护能力不足的问题。 功能优势: 1、六大特征库更完整安全:(漏洞2800+、应用2000+、病毒库10万、web攻击2000+、URL+恶意网址10万、敏感信息) 2、Web攻击模块(web攻击防护、敏感信息、防篡改、应

话说下一代防火墙(NGFW)的“三个”

话说下一代防火墙(NGFW)的“三个” 下一代防火墙"NGFW"一个从产生到日渐成熟仍旧拥有一定热度的词汇,相较于传统的防火墙,NGFW的安全性能有了很大的提升,体现了极强的可视性、融合性、智能化。本文来和大家 说说下一代防火墙的"三个"。 下一代防火墙"NGFW",一个从产生到日渐成熟仍旧拥有一定热度的词汇,相较于传统的防火墙,NGFW的安 全性能有了很大的提升,体现了极强的可视性、融合性、智能化。本文来和大家说说下一代防火墙的"三个"。 下一代防火墙发展的三个拐点 事物的更新迭代是必然的,就像是一个朝代的兴起与衰落,而防火墙性能的提升自然也不会例外,于是下 一代防火墙应景而生。同很多新生事物一样,它也需要慢慢的发展而后变得成熟。下面我们一起看看它的 经历。 拐点一:下一代防火墙的萌动发展 随着国外用户对应用的增多、攻击复杂,传统的防火墙已经不能满足人们的需求。于是美国的PaloAlto公司率先发布了下一代防火墙的产品,并凭借仅有的一条产品线在国外市场获得众多用户的青睐。2009年,著名的分析机构Gartner年发布的一份名为《Defining the Next-Generation Firewall》的文章重新定义 了防火墙,它集成了深度包检测入侵测试、应用识别与精细控制。这个定义一经发布便受到了国外一些安 全厂商的热捧,认为传统防火墙十多年缓慢的发展确实越来越不匹配其网络边界第一道防线的称号。 拐点二:下一代防火墙热潮汹涌 随着国外防火墙的升级发展,国内厂商也纷纷发布自己的下一代防火墙以顺应网络安全产品变革的趋势, 一股下一代防火墙的热潮被掀起。这其中比较知名的厂商有:梭子鱼、深信服、锐捷、天融信、东软等, 各家产品有着各自不同的特点。总的来说,下一代防火墙相比传统的防火墙功能更加的全面,性能更是强劲。 拐点三:下一代防火墙日渐成熟 热潮过后,厂商不断的反思对下一代防火墙进行改进升级。从2011年国内的下一代防火墙开始发展至今,这近两年的时间过后,下一代防火墙越来越成熟,越来越被人们认可接受。很多的用户使用下一代防火墙

防火墙方案

防火墙方案

防火墙方案

区域逻辑隔离建设(防火墙) 国家等级保护政策要求不同安全级别的系统要进行逻辑隔离,各区域之间能够按照用户和系统之间的允许访问规则控制单个用户,决定允许或者禁止用户对受控系统的资源访问。 国家等级化保护政策要求不同安全级别间的系统要进行区域的逻辑隔离,各区域之间能按照用户和系统之间的允许访问规则,控制担搁用户,决定允许或者拒绝用户对受控系统的资源访问。 在网络边界部署防火墙系统,并与原有防火墙形成双机热备,部署防火墙能够实现: 1.网络安全的基础屏障: 防火墙能极大地提高一个内部网络的安全性,并经过过滤不安全的服务而降低风险。由于只有经过精心选择的应用协议才能经过防火墙,因此网络环境变得更安全。如防火墙能够禁止诸如众所周知的不安全的NFS协议进出受保护网络,这样外部的攻击者就不可能利用这些脆弱的协议来攻击内部网络。防火墙同时能够保护网络免受基于路由的攻击,如IP选项中的源路由攻击和ICMP重定向中的重定向路径。防火墙能够拒绝所有以上类型攻击的报文并通知防火墙管理员。 2.强化网络安全策略

经过以防火墙为中心的安全方案配置,能将所有安全软件(如口令、加密、身份认证、审计等)配置在防火墙上。与将网络安全问题分散到各个主机上相比,防火墙的集中安全管理更经济。例如在网络访问时,一次一密口令系统和其它的身份认证系统完全能够不必分散在各个主机上,而集中在防火墙一身上。 3.对网络存取和访问进行监控审计 如果所有的访问都经过防火墙,那么,防火墙就能记录下这些访问并作出日志记录,同时也能提供网络使用情况的统计数据。当发生可疑动作时,防火墙能进行适当的报警,并提供网络是否受到监测和攻击的详细信息。另外,收集一个网络的使用和误用情况也是非常重要的。首先的理由是能够清楚防火墙是否能够抵挡攻击者的探测和攻击,而且清楚防火墙的控制是否充分。而网络使用统计对网络需求分析和威胁分析等而言也是非常重要的。 4.防止内部信息的外泄 经过利用防火墙对内部网络的划分,可实现内部网重点网段的隔离,从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。再者,隐私是内部网络非常关心的问题,一个内部网络中不引人注意的细节可能包含了有关安全的线索而引起外部攻击者的兴趣,甚至因此而曝露了内部网络的某些安全漏洞。使用防火墙就能够隐蔽那些透漏内部细节如Finger,DNS等服务。

下一代防火墙_绿盟_下一代防火墙产品白皮书

绿盟下一代防火墙 产品白皮书 ? 2014 绿盟科技■版权声明 本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容,除另有特别注明,版权均属绿盟科技所有,受到有关产权及版权法保护。任何个人、机构未经绿盟科技的书面授权许可,不得以任何方式复制或引用本文的任何片断。

目录 一. 当今网络边界安全的新挑战 (1) 二. 现有防火墙解决方案的不足 (2) 三. 绿盟下一代防火墙产品 (3) 3.1客户价值 (3) 3.1.1 洞察网络应用,识别安全风险 (3) 3.1.2 融合安全功能,保障应用安全 (4) 3.1.3 高效安全引擎,实现部署无忧 (4) 3.1.4 内网风险预警,安全防患未然 (4) 3.1.5 云端高效运维,安全尽在掌握 (5) 3.2产品概述 (5) 3.3产品架构 (6) 3.4主要功能 (7) 3.4.1 识别和可视性 (7) 3.4.2 一体化策略与控制 (8) 3.4.3 应用层防护 (9) 3.4.4 内网资产风险识别 (10) 3.4.5 安全运维云端接入 (11) 3.4.6 基础防火墙特性 (12) 3.5产品优势 (13) 3.5.1 全面的应用、用户识别能力 (13) 3.5.2 细致的应用层控制手段 (15) 3.5.3 专业的应用层安全防护能力 (16) 3.5.4 卓越的应用层安全处理性能 (18) 3.5.5 首创的内网资产风险管理 (18) 3.5.6 先进的云端安全管理模式 (18) 3.5.7 完全涵盖传统防火墙功能特性 (19) 3.6典型部署 (19) 四. 总结 (20)

插图索引 图1 核心理念 (5) 图2 整体架构 (6) 图3 资产管理 (10) 图4 云端接入 (11) 图5 应用/用户识别 (13) 图6 应用控制 (15) 图7 一体化安全引擎 (16) 图8 双引擎多核并发 (18) 图9 典型部署 (19)

下一代防火墙-概念-本质

下一代防火墙:从概念回归本质 与传统防火墙相比,下一代防火墙性能有了很大的提升,体现了极强的可视性、融合性、智能化。那么,究竟何为NGFW的本质特征?NGFW的必备功能是什么?NGFW与UTM的区别究竟在哪里? AD:2013大数据全球技术峰会低价抢票中从2007年Palo Alto Networks发布世界第一款下一代防火墙(NGFW)产品至今已经有五年多的光景,这期间不少国内外的厂商相继推出了NGFW。例如:深信服、梭子鱼(Barracuda Networks)、Check Point、网康、天融信等。在防火墙市场,已经展现出一场群雄争霸的局面。 NGFW应企业需求而生 随着互联网的快速发展,各种应用程序的爆发,企业面临着常用应用程序中的漏洞带来的风险。 网络通信不再像以前一样紧紧是依赖于存储和转发应用程序(例如电子邮件),而且已经扩展到涵盖实时协作工具、Web2.0应用程序、即时消息(IM)和P2P应用程序、语音IP 电话(VoIP)、流媒体和电话会议,这些都带来潜在的风险。很多企业无法区分网络中使用的具有合法业务目的应用程序与那些不是关键型应用程序(只是消耗带宽或者带来危险)。 恶意软件和网络攻击者瞄准了这个场所,让企业面临如数据泄露、潜在的渗透等风险。除了带来安全风险,这些应用程序也消耗带宽和生产力,并且与关键业务型应用程序抢夺网络带宽。因此,企业需要工具来保证业务关键应用程序的带宽,并需要应用程序智能和控制来保护入站和出站的流量,同时确保速度和安全性以提供高效的工作环境。 应企业需求,在多种多样大量的应用程序环境下,仅靠传统防火墙的功能似乎显得力不从心,它们的技术实际上已经过时,因为它们无法检查攻击者散播的网络数据包的数据负载。而NGFW可以提供应用智能控制、入侵防御、恶意软件防护和SSL检查,还可扩展到支持最高性能网络。 众说纷纭NGFW 市场呼唤新的防火墙产品。需要注意的是,机构对下一代防火墙所做出的定义是其最小化的功能集合,而从安全厂商的角度看,则会根据自身技术积累的情况,在产品上集成更多的安全功能。这导致不同厂商的NGFW产品在功能上可能存在差异,它们更像一个大而全的

防火墙购买方案

防火墙购买方案 Document number【AA80KGB-AA98YT-AAT8CB-2A6UT-A18GG】

北京(怀柔)量子伟业网络升级-防火墙 网络负责人:陆思远

防火墙的作用: 防火墙作为内部网与外部网之间的一种访问控制设备,常常安装在内部网和外部网交界点上。防火墙具有很好的网络安全保护作用。入侵者必须首先穿越防火墙的安全防线,才能接触目标计算机。你可以将防火墙配置成许多不同保护级别。高级别的保护可能会禁止一些服务,如视频流等,但至少这是你自己的保护选择。 主要作用: (1)Internet防火墙可以防止Internet 上的危险(病毒、资源盗用)传播到网络内部。 (2)能强化安全策略; (3)能有效记录Internet上的活动;(4)可限制暴露用户点; (5)它是安全策略的检查点。?

软件防火墙与硬件防火墙区别: 硬件防火墙:系统是嵌入式的系统。一般开源的较多。硬件防火墙是通过硬件和软件的组合来达到隔离内外部网络的目的。 软件防火墙:一般寄生在操作系统平台。软件防火墙是通过纯软件的的方式实现隔离内外部网络的目的。硬件防火墙是流行趋势,相比软件防火墙除成本外很有优势。 1、性能优势。防火墙的性能对防火墙来说是至关重要的。它决定了每秒钟通过防火墙的数据流量。单位是Bps,从几十M 到几百M不等,还有千兆防火墙甚至达到几G的防火墙。而软件防火墙则不可能达到如此高的速率。硬件防火墙是通过硬件实现的功能,所以效率高,其次因为它本身就是专门为了防火墙这一个任务设计

的,内核针对性很强,所以在抗攻击能力比软件防火墙高很多。 2、CPU占用率的优势。硬件防火墙的CPU占用率当然是0了,而软件防火墙就不同了,如果处于节约成本的考虑将防火墙软件安装在提供服务的主机上,当数据流量较大时,CPU占用率将是主机的杀手,将拖跨主机。? 3、售后支持。硬件防火墙厂家会对防火墙产品有跟踪的服务支持,而软件防火墙的用户能得到这种机会的相对较少,而且厂家也不会在软件防火墙上下太大的功夫和研发经费。

华为下一代防火墙

产品概述 企业网络正向以移动宽带、大数据、社交化和云服务为核心的下一代网络演进。移动APP 、Web2.0、社交网络让企业处于开放的网络环境,攻击者通过身份仿冒、网站挂马、恶意软件、僵尸网络等多种方式进行网络渗透,企业面临前所未有的安全风险,传统防火墙面对变革却无能为力。 华为Secospace USG6300系列下一代防火墙应需而生,面向下一代网络环境,基于“ACTUAL ”感知,实现安全管理自我优化,通过云沙箱技术和信誉体系识别未知威胁,高性能地为中小企业、大型企业的分支机构、小型数据中心提供以应用层威胁防护为核心的下一代网络安全。 华为Secospace USG6300系列 下一代防火墙 产品特点 最精准的应用访问控制 ?全面创新的下一代环境感知和访问控制。通过应用、内容、时间、 用户、威胁和位置六个维度的组合,全局感知日益增多的应用层威胁,实现应用层安全防护。 ?丰富的报表将业务状态、网络环境、安全态势、用户行为等可视化展现,让用户全方位感知,安全运营。 ?深度融合的下一代内容安全。通过解析引擎合并,将安全能力与应用识别深度融合,防范借助应用进行的恶意代码植入、网络入侵、 数据窃取等破坏行为。 最高的性能体验 ?专用软硬件平台架构,IAE 单次解析引擎。智能感知应用信息后, 全安全特性并行处理。 ?内容检测硬件加速,提升应用层防护效率,保障全安全特性开启下的最佳性能。 最简单的安全管理 ?根据应用场景提供策略模板,实现策略快速部署。 ?根据网络中的实际流量和应用的风险,遵循最小权限控制原则,自动生成策略优化建议。 ?分析策略命中率,发现冗余、失效的策略,有效控制策略规模,简化管理。 最全面的未知威胁防护 ?遍布全球的安全中心,丰富的可疑样本来源。在云端采用沙箱技术,在模拟环境中监控可疑样本的运行行为,高效发现未知威胁。 ?发现未知威胁后自动提取威胁特征,并迅速将特征同步到设备侧,有效防范零日攻击。 ?准确、完善的信誉体系,防范APT 攻击。 USG6370/6380/6390 USG6310/6320 USG6330/6350/6360

下一代防火墙设计方案V2

惠尔顿下一代防火墙 (NGWF) 设计方案 深圳市惠尔顿信息技术有限公司 2016年5月1日

目录 一、方案背景 (2) 二、网络安全现状 (2) 三、惠尔顿下一代防火墙(NGWF)介绍及优势 (7) 四、惠尔顿NGWF功能简介 (10) 五、部署模式及网络拓扑 (14) 六、项目报价 (15) 七、售后服务 (16)

一、方案背景 无锡某部队响应国家公安部82号令号召,加强部队网络安全建设。针对目前网络存在的涉密、泄密、木马、病毒等进行预防。 二、网络安全现状 近几年来,计算机和网络攻击的复杂性不断上升,使用传统的防火墙和入侵检测系统(IDS)越来越难以检测和阻挡。随着每一次成功的攻击,黑客会很快的学会哪种攻击方向是最成功的。漏洞的发现和黑客利用漏洞之间的时间差也变得越来越短,使得IT和安全人员得不到充分的时间去测试漏洞和更新系统。随着病毒、蠕虫、木马、后门和混合威胁的泛滥,内容层和网络层的安全威胁正变得司空见惯。复杂的蠕虫和邮件病毒诸如Slammer、Blaster、Sasser、Sober、MyDoom等在过去几年经常成为头条新闻,它们也向我们展示了这类攻击会如何快速的传播——通常在几个小时之内就能席卷全世界。 许多黑客正监视着软件提供商的补丁公告,并对补丁进行简单的逆向工程,由此来发现漏洞。下图举例说明了一个已知漏洞及相应补丁的公布到该漏洞被利用之间的天数。需要注意的是,对于最近的一些攻击,这一时间已经大大缩短了。 IT和安全人员不仅需要担心已知安全威胁,他们还不得不集中精力来防止各种被称之为“零小时”(zero-hour)或“零日”(zero-day)的新的未知的威胁。为了对抗这种新的威胁,安全技术也在不断进化,包括深度包检测防火墙、应用网关防火墙、内容过滤、反垃圾邮件、SSL VPN、基于网络的防病毒和入侵防御系统(IPS)等新技术不断被应用。但是黑客的动机正在从引起他人注意向着获取经济利益转移,我们可以看到一些更加狡猾的攻击方式正被不断开发出来,以绕过传统的安全设备,而社会工程(social engineering)陷阱也成为新型攻击的一大重点。

Cisco Firepower 下一代防火墙

数据表 Cisco Firepower 下一代防火墙 Cisco Firepower? 下一代防火墙 (NGFW) 是业内首款具有统一管理功能的完全集成、专注于威胁防御的下一代防火墙。它包括应用可视性与可控性 (AVC)、可选的 Firepower 下一代 IPS (NGIPS)、思科?高级恶意软件防护 (AMP) 和 URL 过滤。在攻击前、攻击中和攻击后,Cisco Firepower NGFW 均可提供高级威胁防护。 性能亮点 表 1 概述 Cisco Firepower NGFW 4100 系列和 9300 设备的性能亮点。 表 1. 性能亮点 1 Cisco Firepower 4150 计划于 2016 年上半年发布;具体技术参数将于日后发布 2 数据包平均大小为 1024 字节的 HTTP 会话 Cisco Firepower 4100 系列: 带 40-GbE 接口的业内首款 1RU NGFW Cisco Firepower 9300: 随需求增长可扩展的超高性能 NGFW

平台支持 Cisco Firepower 4100 系列和 Firepower 9300 NGFW 设备使用 Cisco Firepower 威胁防御软件映像。这些设备还可以支持思科自适应安全设备 (ASA) 软件映像。Cisco Firepower 管理中心(原来的 FireSIGHT)提供 Cisco Firepower NGFW 以及 Cisco Firepower NGIPS 和思科 AMP 的统一管理。此外,优选 Cisco Firepower 设备上还提供直接源自思科的 Radware DefensePro 分布式拒绝服务 (DDoS) 缓解功能。 Cisco Firepower 4100 系列设备 Cisco Firepower 4100 系列包括四个专注于威胁防御的 NGFW 安全平台。其最大吞吐量从 20 Gbps 到 60 Gbps 以上,可应对从互联网边缘到数据中心等各种使用案例。它们可提供卓越的威胁防御能力以及更快的响应速度,同时占用空间却更小。 Cisco Firepower 9300 设备 Cisco Firepower 9300 是可扩展(超过 1 Tbps)运营商级模块化平台,专为要求低(少于 5 微秒分流)延迟和超大吞吐量的运营商、高性能计算中心、数据中心、园区、高频交易环境等打造。Cisco Firepower 9300 通过 RESTful API 实现分流、可编程的安全服务协调和管理。此外,它还可用于兼容 NEBS 的配置中。 性能规范和功能亮点 表 2 概述 Cisco Firepower NGFW 4100 系列和 9300 设备在运行 Cisco Firepower 威胁防御映像时的功能。 表 2.通过 Firepower 威胁防御映像实现的性能规范和功能亮点

下一代防火墙解决方案讲解

下一代防火墙解决方案

目录 1 网络现状 (3) 2 解决方案 (9) 2.1 网络设备部署图 (9) 2.2 部署说明 (9) 2.3 解决方案详述 (9) 2.3.1 流量管理 (10) 2.3.2 应用控制 (12) 2.3.3 网络安全 (12) 3 报价 (25)

1 网络现状 随着网络技术的快速发展,现在我们对网络安全的关注越来越重视。近几年来,计算机和网络攻击的复杂性不断上升,使用传统的防火墙和入侵检测系统(IDS)越来越难以检测和阻挡。漏洞的发现和黑客利用漏洞之间的时间差也变得越来越短,使得IT和安全人员得不到充分的时间去测试漏洞和更新系统。随着病毒、蠕虫、木马、后门和混合威胁的泛滥,内容层和网络层的安全威胁正变得司空见惯。复杂的蠕虫和邮件病毒诸如Slammer、Blaster、Sasser、Sober、MyDoom 等在过去几年经常成为头条新闻,它们也向我们展示了这类攻击会如何快速的传播——通常在几个小时之内就能席卷全世界。 许多黑客正监视着软件提供商的补丁公告,并对补丁进行简单的逆向工程,由此来发现漏洞。下图举例说明了一个已知漏洞及相应补丁的公布到该漏洞被利用之间的天数。需要注意的是,对于最近的一些攻击,这一时间已经大大缩短了。 IT和安全人员不仅需要担心已知安全威胁,他们还不得不集中精力来防止各种被称之为“零小时”(zero-hour)或“零日”(zero-day)的新的未知的威胁。为了对抗这种新的威胁,安全技术也在不断进化,包括深度包检测防火墙、应用网关防火墙、内容过滤、反垃圾邮件、SSL VPN、基于网络的防病毒和入侵防御系统(IPS)等新技术不断被应用。但是黑客的动机正在从引起他人注意向着获取经济利益转移,我们可以看到一些更加狡猾的攻击方式正被不断开发出来,以绕过传统的安全设备,而社会工程(social engineering)陷阱也成为新型

下一代防火墙解决方案-互联网Web业务自适应安全方案

互联网Web业务自适应安全方案

目录 互联网Web业务自适应安全方案 (1) 一、应用背景 (3) 二、需求分析 (3) 三、深信服解决之道 (5) 3.1 OWASP十大web攻击防护 (6) 3.2系统/应用漏洞攻击防护 (7) 3.3威胁情报预警与处置 (8) 3.4专业的网页防篡改 (8) 3.5高效精准的黑链检测 (9) 3.6多维敏感信息防泄漏 (9) 3.7 智能化CC攻击防护 (10) 3.8 可视化网站风险展示 (10) 3.9自助化快速安全运维 (11)

一、应用背景 随着电子商务、Web2.0、互联网+等一系列创新的产品和理念的发展,基于Web环境的互联网应用越来越广泛,门户网站、办公应用、在线考试、网上银行、网络购物、网络游戏、在线视频等很多互联网应用都架设在Web平台上。国家互联网应急中心统计显示,当前互联网上WEB业务应用流量占比非常高。 Web业务的迅速发展也引起黑客的强烈关注,紧随而来的就是Web安全威胁的凸显,黑客利用网站操作系统和服务程序漏洞,很容易获得Web服务器的控制权限,实现篡改网页内容、窃取重要数据、植入恶意代码、发起拒绝服务等各种恶意目的,使得网站建设方和访问者受到侵害。这也使得越来越多的用户关注应用层的安全问题,对网站安全的关注度也持续提升。 二、需求分析 国家互联网应急中心(CNCERT/CC)《2014中国互联网网络安全报告》显示“我国网站安全问题非常严峻,2014年我国境内被篡改网站数量为137334个,较2013年大幅增长53.8%;2014年,监测到仿冒我国境内网站的钓鱼页面99409个,涉及IP地址6844个,其中89.4%的IP地址位于境外;2014年,监测到境内40186个网站被植入后门,其中政府网站有1529个”。严重的网站安全问题进一步引发网站用户信息和数据的泄露等问题。2014年,国内先后发生用户开房信息泄露、12306用户信息泄露、团购网站账户信息泄露、社保账户信息泄露等多

下一代防火墙,安全防护三步走

下一代防火墙,安全防护三步走 下一代防火墙区别于传统防火墙的核心特色之一是对应用的识别、控制和安全性保障。这种显著区别源自于Web2.0与Web1.0这两个不同网络时代下的模式变迁。传统的Web1.0网络以服务请求与服务提供为主要特征,服务提供方提供的服务形态、遵循的协议都比较固定和专一,随着社会化网络Web2.0时代的到来,各种服务协议、形态已不再一尘不变,代之以复用、变种、行为差异为主要特征的各种应用的使用和共享。本文即针对下一代防火墙的这一主要特征,从基于应用的识别、控制、扫描的三步走中,阐述新时代网络环境下的防护重点和安全变迁,旨在帮助读者对下一代防火墙新的核心防护理念做一个较为全面的梳理和归纳。面对应用层威胁,传统防火墙遭遇“阿喀琉斯之踵” 1.新的应用带来全新的应用层威胁 Web2.0应用虽然可以显著增强协作能力,提高生产效率,但同时也不可避免地带来了新的安全威胁。 1)恶意软件入侵 WEB应用中社交网络的普及给恶意软件的入侵带来了巨大的便利,例如灰色软件或链接到恶意站点的链接。用户的一条评价、一篇帖子、或者一次照片上传都可能包含殃及用户或甚至整个网络的恶意代码。例如,如果用户在下载驱动程序的过程中点击了含有恶意站点的链接,就很有可能在不知情的情况下下载了恶意软件。 2)网络带宽消耗对于部分应用来说,广泛的使用会导致网络带宽的过渡消耗。例如优酷视频可以导致网络拥塞并阻碍关键业务使用和交付。还有对于文件共享类应用,由于存在大量的文件之间的频繁交换,也可能会最终导致网络陷入瘫痪。 3)机密资料外泄某些应用(如即时通信,P2P下载等)可提供向外传输文件附件的功能,如果对外传输的这些文件存在敏感、机密的信息,那么将给企业带来无形和有形资产的损失,并且也会带来潜在的民事和刑事责任。 2.传统防火墙的“阿喀琉斯之踵” 由于传统的防火墙的基本原理是根据IP地址/端口号或协议标识符识别和分类网络流量,并执行相关的策略。对于WEB2.0应用来说,传统防火墙看到的所有基于浏览器的应用程序的流量是完全一样的,因而无法区分各种应用程序,更无法实施策略来区分哪些是不当的、不需要的或不适当的程序,或者允许这些应用程序。如果通过这些端口屏蔽相关的流量或者协议,会导致阻止所有基于web的流量,其中包括合法商业用途的内容和服务。另外传统防火墙也检测不到基于隧道的应用,以及加密后的数据包,甚至不能屏蔽使用非标准端口号的非法应用。下一代防火墙之“三步走” 下一代防火墙的核心理念其实是在企业网络边界建立以应用为核心的网络安全策略,通过智能化识别、精细化控制、一体化扫描等逐层递进方式实现用户/应用行为的可视,可控、合规和安全,从而保障网络应用被安全高效的使用。第一步:智能化识别通过智能化应用、用户识别技术可将网络中简单的IP地址/端口号信息转换为更容易识别且更加智能化的用户身份信息和应用程序信息,为下一代防火墙后续的基于应用的策略控制和安全扫描提供的识别基础。例如:对于同样一条数据信息,传统防火墙看到的是:某源IP通过某端口访问了某目的IP;下一代防火墙看到:某单位张三通过QQ给远在美国的李四传输了一个PDF文件。第二步:精细化控制下一代防火墙可以根据风险级别、应用类型是否消耗带宽等多种方式对应用进行分类,并且通过应用访问控制,应用带宽管理或者应用安全扫描等不同的策略对应用分别进行细粒度的控制。相对于传统防火墙,下一代防火墙可以区分同一个应用的合法行为和非法行为,并且对非法行为进行阻断。如:下一代防火墙可以允许使用QQ的前提下,禁止QQ的文件传输动作,从而一定程度上避免单位员工由于传输QQ文件造成的内部信息泄漏。第三步:一体化扫描在完成智能化识别和精细化控制以后,对允许使用且存在高安全风险的网络应用,下一代防火墙可以进行漏洞、病毒、URL和内容等不同层次深度扫描,如果发现该应用中存在安全风险或攻击行为可以做进一步的阻断等动作。下一代防火墙在引擎设计上采用了单次解析架构,这种引擎架构可以保证引擎系统在数据流流入时,一次性地完成

下一代防火墙多链路负载技术方案

多链路负载均衡解决方案 1.背景 在企业信息化发展过程中,企业网络对出口带宽的需求日益增加,为此很多企业都同时租用多个运行商链路,或者一个运营商的多条链路。通过多链路接入可以增加带宽,同时起到分流作用;多链路接入还可以起到链路备份功能,如果其中的一条线路断开,则自动使用另外一条线路;所以,在企业网络出口以多链路方式接入变得越来越普遍,如何更高效的利用多链路带宽资源成为一个新的挑战。 2.典型用户问题 随着业务规模的发展,初建网络时的一个出口链路已经不能满足业务流量的带宽需求,所以许多企业通过新增出口链路的方式来扩展带宽。相比于直接扩容初始链路的带宽,新增出口链路更为灵活、方便和节约成本。同时,多条链路可以提高出口的稳定性,如果其中有一条链路出现故障,导致中断,另外的链路可以将流量接管过来,起到备份保障的作用。 多出口链路的部署方式,改变了业务流量“一条道跑到黑”的模式,当业务流量走到网关的十字路口前,从哪个出口走出去,成为多链路负载均衡需要解决的技术问题。 1)多条链路带宽差异大:企业网络初建时,迫于成本压力,一般出口带宽都较小,而后期新增链路的带宽都比较大,造成非对称的多出口链路。 如果业务流量不能合理分配,就会造成一条链路带宽被占满,其它链路 还处于空闲,导致大量带宽被浪费。 2)多运营商网络质量差异大:目前,国内的网络运营商之间竞争激烈,不同运营商的网络质量不同,跨运营商的访问存在延迟很大,丢包较多的 现状。比如访问互联网的一个WEB站点,一般DNS服务器对一个域名只能解析出一个IP,如果该域名解析出是联通的IP,电信线路的用户访问

该IP的体验将非常缓慢。那么内网用户访问该WEB站点的流量该从哪个运营商的出口链路出去,才能有更好的网络体验,是网关设备必须要解 决的问题。 3)多种应用对带宽需求差异大:随着互联网技术的快速发展,网络上的各种应用层出不穷,各种网络应用对带宽的需求不同。比如P2P下载对带 宽需求非常大,因为P2P会产生大量连接,连接地址不仅数量众多而且 均不固定,可以迅速的挤占出口带宽,导致业务流量无法正常转发,影 响企业业务运转和工作效率。 3.解决之道 网康下一代防火墙NGFW产品在提供全方位的安全防护的功能的基础上,在网关模式部署时提供多链路负载均衡功能,以适应用户多运营商链路或同运营商多链路接入的应用场景。 NGFW 办公区1办公区N 核心交换机 …… NGFW多链路负载均衡结构图

下一代防火墙 白皮书V1.0-1108

深信服下一代防火墙NGAF 技术白皮书 深信服科技有限公司 https://www.doczj.com/doc/f28485347.html, 二零一一年八月

目录 1.概述 (3) 2. 为什么需要下一代防火墙 (3) 2.1网络发展的趋势使防火墙以及传统方案失效 (3) 2.2替代性方案能否弥补 (4) 2.2.1“打补丁式的方案” (4) 2.2.2 UTM统一威胁管理 (4) 3.下一代防火墙的诞生与价值 (4) 3.1Gantner定义下一代防火墙 (4) 3.2深信服下一代应用防火墙—NGAF (5) 4.产品功能特点 (6) 4.1更精细的应用层安全控制 (6) 4.1.1可视化应用识别 (7) 4.1.2多种用户识别方式 (7) 4.1.3一体化应用访问控制策略 (8) 4.1.4基于应用的流量管理 (9) 4.2更全面的内容级安全防护 (10) 4.2.1灰度威胁关联分析技术 (10) 4.2.2基于攻击过程的服务器保护 (12) 4.2.3强化的WEB安全防护 (13) 4.2.4完整的终端安全保护 (14) 4.3更高性能的应用层处理能力 (15) 4.3.1单次解析架构 (15) 4.3.2多核并行处理技术 (16) 4.4更完整的安全防护方案 (16) 5.关于深信服 (17)

1.概述 防火墙自诞生以来,在网络安全防御系统中就建立了不可替代的地位。作为边界网络安全的第一道关卡防火墙经历了包过滤技术、代理技术和状态监视技术的技术革命,通过ACL 访问控制策略、NAT地址转换策略以及抗网络攻击策略有效的阻断了一切未被明确允许的包通过,保护了网络的安全。防火墙就像故宫的城墙,对进出防火墙的一切数据包进行检查,保证合法数据包能够进入网络访问合法资源同时防止非法人员通过非法手段进入网络或干扰网络的正常运行。防火墙技术在当时被堪称完美!随着时代的变迁,故宫的城墙已黯然失色,失去了它原有的防御能力。同样防火墙在面对网络的高速发展,应用的不断增多的时代也失去了它不可替代的地位。自2009年10月Gartner提出“Defining the Next-Generation Firewall”一文,重新定义下一代防火墙,下一代防火墙的概念在业内便得到了普遍的认可。深信服也在经过10年网络安全技术6年的应用安全技术沉淀之后,于2011年正式发布深信服“下一代应用防火墙”——NGAF。 2. 为什么需要下一代防火墙 2.1网络发展的趋势使防火墙以及传统方案失效 防火墙作为一款历史悠久的经典产品,在IP/端口的网络时代,发挥了巨大的作用:合理的分隔了安全域,有效的阻止了外部的网络攻击。防火墙在设计时的针对性,在当时显然是网络安全的最佳选择。但在网络应用高速发展,网络规划复杂化的今天防火墙的不适应性就越发明显,从用户对网络安全建设的需求来看,传统防火墙存在以下问题: 1、应用安全防护的问题: 传统防火墙基于IP/端口,无法对应用层进行识别与控制,无法确定哪些应用经过了防火墙,自然就谈不上对各类威胁进行有效防御了。面对应用层的攻击,防火墙显得力不从心,无法检测或拦截嵌入到普通流量中的恶意攻击代码,比如病毒、蠕虫、木马等。 2、安全管理的问题: 传统防火墙的访问控制策略对于大型网络来说简直就是噩梦。严格控制网络需要配置大量的策略,并且这些基于IP/端口策略可读性非常之差,经常会造成错配、漏配的情况,留下的这些隐患,往往给黑客们以可乘之机。

下一代防火墙

下一代防火墙 作者:来源:发布时间:2011-01-07 防火墙必须演进,才能够更主动地阻止新威胁(例如僵尸网络和定位攻击)。随着攻击变得越来越复杂,企业必须更新网络防火墙和入侵防御能力来保护业务系统。 不断变化的业务流程、企业部署的技术,以及威胁,正推动对网络安全性的新需求。不断增长的带宽需求和新应用架构(如Web 2.0),正在改变协议的使用方式和数据的传输方式。安全威胁将焦点集中在诱使用户安装可逃避安全设备及软件检测的有针对性的恶意执行程序上。在这种环境中,简单地强制要求在标准端口上使用合适的协议和阻止对未打补丁的服务器的探测,不再有足够的价值。为了应对这些挑战,防火墙必须演进为被著名市场研究公司Gartner称之为“下一代防火墙(Next Generation Firewall,简称NGFW)”的产品。如果防火墙厂商不进行这些改变的话,企业将要求通过降价来降低防火墙的成本并寻求其他安全解决方案来应对新的威胁环境。 一、什么是NGFW? 对于使用僵尸网络传播方式的威胁,第一代防火墙基本上是看不到的。随着面向服务的架构和Web 2.0使用的增加,更多的通信通过更少的端口(如HTTP和HTTPS)和使用更少的协议传输,这意味着基于端口/协议的政策已经变得不太合适和不太有效。深度包检测入侵防御系统(IPS)的确是检查针对没有打补丁的操作系统和软件的已知攻击方法,但不能有效地识别和阻止应用程序的滥用,更不要说应用程序中的特殊性了。 Gartner将网络防火墙定义为在不同信任级别的网络之间实时执行网络安全政策的联机控制。Gartner使用“下一代防火墙”这个术语来说明防火墙在应对业务流程使用IT的方式和威胁试图入侵业务系统的方式发生变化时应采取的必要的演进。 NGFW至少具有以下属性: 1.支持联机“bump-in-the-wire”配置,不中断网络运行。 2.发挥网络传输流检查和网络安全政策执行平台的作用,至少具有以下特性:(1)标准的第一代防火墙能力:包过滤、网络地址转换(NAT)、状态性协议检测、VPN等等。(2)集成的而非仅仅共处一个位置的网络入侵检测:支持面向安全漏洞的特征码和面向威胁的特征码。IPS与防火墙的互动效果应当大于这两部分效果的总和。例如提供防火墙规则来阻止某个地址不断向IPS 加载恶意传输流。这个例子说明,在NGFW中,应该由防火墙建立关联,而不是操作人员去跨控制台部署解决方案。集成具有高质量的IPS引擎和特征码,是NGFW的一个主要特征。(3)应用意识和全栈可见性:识别应用和在应用层上执行独立于端口和协议,而不是根据纯端口、纯协议和纯服务的网络安全政策。例子包括允许使用Skype,但关闭Skype中的文件共享或始终阻止G oToMyPC。(4)额外的防火墙智能:防火墙收集外来信息来做出更好的阻止决定或建立优化的阻止规则库。例子包括利用目录集成将阻止行为与用户身份绑在一起,或建立地址的黑白名单。 3.支持新信息馈送和新技术集成的升级路径来应对未来的威胁。 举个例子,NGFW可以阻止细粒度的网络安全政策违规或发出报警。如使用Web邮件、匿名服务器、对等网络技术或PC远程控制,只简单地根据目的IP地址来阻止对提供这些服务的已知源地址的访问是不够的。政策的颗粒度要求仅阻止某些类型的应用与目的IP地址的通信,而允许其他类型的应用与这些目的IP地址通信。转向器使确定的黑名单不可能实现,这意味着有许多NGFW可以识别和阻止不受欢迎的应用,即使这些应用被设计为逃避检查或用SSL加密。应用识别的一个额外好处是带宽控制。因为,消除了不受欢迎的对等网络传输流可以大大减少带宽的使用。 二、什么不是NGFW? 现在有一些与NGFW相近,但不相同的基于网络的安全产品领域: 1.中小企业多功能防火墙或UTM设备:这类设备是提供多种安全功能的单一设备。尽管它们总是包含第一代防火墙和IPS功能,但它们不提供应用意识功能,而且不是集成的、单引擎产

Paloalto下一代防火墙运维手册

Paloalto防火墙运维手册 目录 1.下一代防火墙产品简介................................. 错误!未定义书签。 2.查看会话 ............................................ 错误!未定义书签。. 查看会话汇总........................................错误!未定义书签。. 查看session ID .....................................错误!未定义书签。. 条件选择查看会话....................................错误!未定义书签。. 查看当前并发会话数..................................错误!未定义书签。. 会话过多处理方法....................................错误!未定义书签。 3.清除会话 ............................................ 错误!未定义书签。 4.抓包和过滤 .......................................... 错误!未定义书签。 5.CPU和内存查看....................................... 错误!未定义书签。. 管理平台CPU和内存查看..............................错误!未定义书签。. 数据平台CPU和内存查看..............................错误!未定义书签。. 全局利用率查看......................................错误!未定义书签。 6.Debug和Less调试.................................... 错误!未定义书签。. 管理平台Debug/Less .................................错误!未定义书签。. 数据平台Debug/Less .................................错误!未定义书签。. 其他Debug/Less .....................................错误!未定义书签。 7.硬件异常查看及处理 .................................. 错误!未定义书签。. 电源状态查看........................................错误!未定义书签。. 风扇状态查看........................................错误!未定义书签。. 设备温度查看........................................错误!未定义书签。 8.日志查看 ............................................ 错误!未定义书签。. 告警日志查看........................................错误!未定义书签。. 配置日志查看........................................错误!未定义书签。. 其他日志查看........................................错误!未定义书签。 9.双机热备异常处理 .................................... 错误!未定义书签。 10.内网用户丢包排除方法................................. 错误!未定义书签。. 联通测试..........................................错误!未定义书签。. 会话查询..........................................错误!未定义书签。. 接口丢包查询......................................错误!未定义书签。. 抓包分析..........................................错误!未定义书签。 11.VPN故障处理......................................... 错误!未定义书签。 12.版本升级 ............................................ 错误!未定义书签。. Software升级.....................................错误!未定义书签。. Dynamic升级......................................错误!未定义书签。

相关主题
文本预览
相关文档 最新文档