首页 > 其他分享> > 从下一代防火墙到下一代安全体系

从下一代防火墙到下一代安全体系

2021-05-29 11:56:11 作者：互联网

Fortinet在今年7月首次进入Gartner发布的企业防火墙领导者象限，作为UTM（统一威胁管理）概念的缔造者而言，这是一个非常重要的变化。

一、安全网关防御技术的趋同性

业内人比较了解，融合安全网关最早的概念是UTM, 是由IDC和Fortinet共同打造的，后来鉴于UTM安全技术对于性能的高要求以及中大型企业对于安全融合技术的需要, Gartner和Palo Alto Networks又共同打造了NGFW（下一代防火墙）的产品概念，其根本技术是对UTM的高严格安全检测进行了一定的裁减。比如把代理病毒扫描改成流模式扫描，统一IPS和AV部分的扫描检测等。

在NGFW概念出世之初的几年内，Gartner一直没有认可Fortinet在魔力象限的领导者地位。根据其坐标位置, Fortinet在市场上的位置是得到认可的，但Gartner在其产品战略方向的横轴发展上一直没有进入领导者位置。近年来，随着安全防护技术的演化，两者技术在渐渐趋同。此次Fortinet进入企业防火墙领导者象限，则明显的反映出两者的相互融合得到了市场和技术的双向认可。

资料显示，Fortinet在防火墙上的一些技术和功能创新点是此次得以进入领导者象限的关键因素。如FortiOS版本的迭代，无论从配置管理的方便快捷，还是网络可视化的深入以及日志与报告方面的增进，都可圈可点。新增的FortiView功能模块，能够帮助用户产生出更加符合用户需求的综合性报告。不管是基于物理的拓扑还是基于逻辑的拓扑，还有基于应用性能的监控、基于ID的检查、关联索引的分析，甚至是防病毒部分都提供了多种扫描方式的选择，这些都使其使用界面更趋同于用户对于NG-FW的理解。

FORTINET的增强技术范畴不只限于NG-FW本身，其全新的安立方架构(Security Fabric)加上协同联动WAF、邮件网关、沙箱、威胁情报等多种安全组件，实现体系化地对高级威胁的防御，以及提供对虚拟化与SDN（软件定义网络）的支持。所有这一切，都与Gartner对NGFW的理解完全一致。并且，Gartner在跟Fortinet的用户直接的接触中，得到了很多用户的良好反馈和评价。因此，Fortinet进入企业防火墙领导者象限，也就成为顺理成章的事情。

但我们知道，城墙一旦被绕过，即使再厚的墙壁，意义也就不大了。二战时期被德军绕过的“马奇诺防线”，已经是被安全领域经常引用的经典例子。

现在的安全观念都比较认可，网络安全建设是一个递进与扩展的过程，是一个包含着安全生态的架构体系，经常被业内人士形象化描述成一个“闭环”。这个闭环或架构体系中的每一个元素或技术产品，无论是流量、行为检测、还是威胁感知，都应该是优秀的，优秀到足以打消客户的顾虑。Fortinet的安立方，正是这样一个“在单点上足够强壮”，且又能“整体协同与联动“的安全体系。

Fortinet于去年6月发布了新的安全产品架构，安立方(Security Fabric)。我们来看看它所倡导的安全建设理念。

二、大型企业的安全防御体系

大型企业的安全体系非常复杂，边界、内网、数据中心，Web服务器安全、邮件安全、虚拟化与云的安全等。要实现物理层网络的安全部署，以及云端无缝对接，不仅需要使用新的安全技术，如沙箱、威胁情报来应对高级威胁，更重要的是安全人员还要在安全管理平台的支撑下，从全局的视角实现资产和安全的部署和监控，感知威胁，做好响应。

这个架构体系并非单点安全产品的堆砌，而是由点到线再到面的整体协同与联动。体系中不同的安全组件，不仅要发挥出各自最大的安全效用，同时还能够与其他安全组件构成协同防御的系统。

实际上，这个系统还是一个能够自我延伸的生态环境，通过对整个网络的态势感知，根据内网或者外网某一点发生的安全事件，告诉下一层的网管，在上一层发生了什么。

比如，发现病毒***等恶意软件，或******事件，可以马上通知企业整个网络体系中各个点上的所有安全设备。如果是已知威胁就进行拦截，并通过设备之间的协议联动，发现各种事件中的关联性，为用户描述出***者的行为和***路线。对于用户来说，从管理到运维，再到最终效果，都非常有价值。

三、中小企业的安全需求

不同行业、不同规模的企业，在不同网络安全建设阶段的选择与部署，是不同的。

对于SMB（中小型企业）来说，由于各自的业务不同带来的关注点也是各有差异，再加上成本的原因，安全需求比较分散。但SMB的环境对于安全建设来说也有一个便利之处，就是它的安全体系组网和操作比较简单有效，可以很大程度上弥补IT人员不足的短板。因此，这也是UTM非常适合介入的场景。

安立方可以从接入层开始，从无线接入AP，到交换机设备、UTM网关，构建起基本的安全防御体系。FortiView的功能模块则可以全景化展示交换机与无线的部署拓扑，包括不同分支机构之间的逻辑拓扑，以实现统一的网络与安全管理。对于中小企业来讲，可以达到一站式安全部署，全面覆盖无线与有线网络。另外，还可以从终端上进行部署安全软件以及做访问控制，这也是安立方架构中可以实现的安全组件。

这个方案是Fortinet近两年内在中小企业或企业分支机构客户中主推的解决方案。对于中小企业来说，不管是功能齐全、还是操作便利，还是成本要求、性价比，基本可以完全满足中小企业的需求。

安立方的发布，反映出Fortinet的技术产品体系，正在努力从原有的传统结构过渡到新型的、智能化的、下一代安全体系结构。

Fortinet的安立方架构示意图

四、安全行业面临的挑战

从用户这方面来看，国内市场的需求现状是，购买安全产品的大部分用户在“随大流”，别人有什么我也有就行了。这个观念是需要改变的。各自的网络体系不同，各自的业务场景不同，需要不同特点的技术或产品来匹配，以真正的适合自身需求。

而且，作为用户来说，要尽量缩小本身和未来新技术的差距。否则，当差距过大时，就会出现适应性的问题。以国内安全的现状为例，不同的机构或企业其安全能力差别非常之大，不仅给紧跟最新技术的安全厂商带来了困难，也降低了企业自身的安全防御效果。

从技术上来看，云计算的大方向势不可当。但现在大部分云平台的安全体系存在着各种问题，这种新技术给安全领域带来的复杂性是不可避免的，包括客户对于云计算本身安全的理解程度，以及实现成本等等。如何把已有的安全技术更快更有效的融合到云平台体系中，是当前整个安全行业面临的关键挑战之一。

从安全公司的外企性质来看，中国市场是巨大的。首先是众多的外资企业已经是个不小的市场，再者中国政府本身，还是希望国内外在技术与市场上的融合，当然前提是符合监管。所以，这也是为什么近两年来，在自主可控、国产化的大潮下，仍然可以看到思科、迈卡菲、赛门铁克、Palo Alto Networks、IBM等国外安全公司，仍然在国内的市场上努力发声。

可以看到，作为典型安全企业的外商代表，Fortinet正在以下三个方面做出自己的努力：

第一是努力适应国家政策；

第二，多做商业客户和国际化的企业，不只关注大企业和国企；

第三，尽量在新技术的拓展上，如虚拟化、云计算等新的市场空间里有所突破。因为，技术一向是外企占据中国市场份额的传统强项。

安全牛评

在安立方的体系中，产品与产品的自动化是协同一个很好的优势。而且，安立方还是一个开放的架构，无论是横向协同联动的安全组件，还是纵向内外网贯穿的整个安全体系，都有着多家非常优秀的合作伙伴。

自主可控与开放竞争，永远都是一个在争议中前行的话题，因此在符合国家大政策体系和规范的前提下，尽最大能力地将产品和技术融合到国内的安全市场生态圈中，是Fortinet等国外安全厂商在中国未来几年的主题。