统一威胁管理（UTM，United Threat Management）是将企业防火墙、入侵检测和防御以及防病毒结合于一体的设备。自从其诞生之日起，并且受到业界的追捧。但有一点不可否认，UTM实现效果与人们预期具有一定差距，目前相关市场发展速度开始放缓。
UTM自出世起好像就被定义为是为中小企业用户准备的多功能安全网关产品，然而随着信息安全威胁多样性和混合性的发展趋势越来越明显，使得大型行业用户解除相关安全威胁的心情更为急迫。由此证明，UTM设备只为SMB设计的观点有欠妥当。
两因素导致发展趋缓
从UTM当初发展看，2002年，UTM的整体销售额仅有4千万美元，而2003年超过了1亿美元，增长率超过了160%。2003年全球只有7个UTM厂商，而在2004年，这一数字扩大了2倍。由此可以看出，UTM市场非常具有潜力。据IDC的预测，UTM市场到2008年时，将占有整个信息安全市场的半壁江山，达到57.6%。但从近期市场发展动态来看，受市场使用效果达不到预期、内置软件每年需付费升级维护等因素影响，市场热度已略有减缓。
IDC报告显示，因用户对UTM设备实际应用效果颇有微词、市场价格预期将一降再降，以及UTM设备中部分软件需每年付费更新等潜在因素影响下，市场热度已然稍减，成长力度随之趋缓。
IDC认为，UTM市场热度稍减的主要原因在于企业实际应用与预期有差距。相当一部分UTM设备，在执行多项安全过滤功能时，多因负担过重，导致设备本身，以及企业网络流量等效能大幅降低，从而影响了很多企业用户的采购意向。
另一项将在今、明两年影响企业采购意向的潜在因素则是，UTM设备中所提供的防毒功能需要用户每年均需付费更新，对于已采购硬设备的企业用户而言，软件功能的更新是其预期外的支出。
与此同时，IDC认为，近年来UTM市场还将受市场需求影响仍将呈现持续成长趋势。而UTM市场发展的主要动力来自于源源不断的网络威胁。
3月15日，Juniper网络公布，由该公司发起的研究显示，在接受调研的中国企业中有63%在去年受到了病毒或蠕虫攻击，而41%的公司受到了间谍软件和恶意软件的攻击。预计针对中国企业网的攻击在近期将不会减弱。超过半数的被调查者都认为今年会有更多的病毒和蠕虫攻击。
中国网络在去年遭受到的攻击包括：病毒和蠕虫攻击（占63%）；间谍软件和恶意软件攻击（占41%）；非预谋内部攻击（占29%）黑客攻击（占14%）；拒绝服务（DoS）和分布式拒绝服务（DDoS）攻击（占13%）。
据Juniper网络公司亚太区企业解决方案市场部经理邓爱茵介绍：“在2005年，有68%的中国企业采用了客户安全软件，例如桌面防病毒措施等。然而，很多公司都计划把更多的投资花费在入侵检测和防护（IDP）技术上。相对防火墙、虚拟专网和内容过滤等所有其他技术，入侵检测和防护（IDP）的需求最高。有12%的中国受访者表示今年会计划采用IDP解决方案。”
大型行业用户同样适用
自UTM问世之日起，好像就被业界将其与中小企业用户紧密联系起来，甚至是有种说法：UTM的安全防护的多功能性导致设备效能衰减剧烈，不适用于大型行业用户适用。也正是这种说法致使很多对UTM产品青睐不已的大型用户犹豫观望。事实真是如此嘛？
“不尽然，”SonicWALL中国区技术经理蔡永生直接对上述观点持否定态度，“就我们从国外市场获取的经验看，很多大型甚至是超超大规模企业同样可以享受UTM的服务。与UTM设备相关的软硬件技术发展到今天，完全可以满足众多大型企业在百兆数量级对网络流量的需求。此外，大企业的各个部门之间，如财务部和工程部之间也可以用UTM设备隔离，UTM不仅保护从互联网过来的安区威胁，同样可以防护企业各个部门之间的病毒和入侵的扩散。基于用户范围的广泛性，SonicWALL全系列产品线中的不同产品既可满足几个人的小型办公室，也适用于上万人的大型企业；而且是用户负担得起的UTM解决方案。”
安氏领信产品与解决方案中心经理姜宁也认为这种观点比较片面，“SMB用户通过购买UTM产品会获得相对更高的投资回报，但这并不等于UTM产品只适合于SMB用户。IDC预测UTM08年市场将占有整个信息安全市场的半壁江山，显然这个数字不仅仅是通过SMB市场能够达到的；大型企业和行业用户可能不会去购买一个UTM产品的全部功能模块，但完全有可能购买其中一个或几个功能，比如内容过滤、网关防病毒等等模块并在整个企业网范围进行部署，事实上安氏领信最近一个UTM产品案例就是某大型行业用户，跨广域网在总部和各分支机构之间部署了几十套领信UTM产品，并取得良好的安全防护效果，用户对此也很满意。”
业内还流传着另一种说法——UTM虽然具有多功能性，但仅这种单一设备放置网关处，容易形成单点故障。加之大型企业对信息化依赖性越来越强，因此UTM不适用于此类客户——其实质同前面提到的观点十分类似，只不过更为细化。
“这种论点考虑的过于简单了，”Juniper公司大中华区新兴技术经理吴若松点出上述论点的死穴，“UTM对混合性攻击的防护能力和单机故障根本没有必然联系。解决单机故障只需将UTM做双机冗余既可，大型企业依然适用。UTM一定是将来的发展趋势，安全管理是主要推动要素。UTM的使用简化了安全部署，势必降低企业的维护运营成本。渠道伙伴将UTM设备向大型行业用户推荐时，与SMB用户不同在于：SMB用户可能一上来就会使用UTM的全部功能，而大型企业用户可能先要使用部分功能，以渐进的方式逐渐替代原有单一安全产品。”
渠道伙伴准备些什么
可以肯定，UTM设备将成为渠道合作伙伴密切关注的重点产品线之一。那么进军UTM市场之前，渠道合作伙伴又需要做什么呢？
启明星辰高级产品经理胡文友建议渠道伙伴：在技术上，渠道伙伴需要对网络产品和网络安全产品要有一个普遍的认识，这包括防火墙、防病毒、入侵检测（IDS）/入侵防御（IPS）、VPN等领域，而且还需要对整体网络安全有一定的理解，因为UTM产品包括了防火墙、网关防病毒、IPS、VPN、内容过滤等功能模块。而在销售UTM产品时，用户会经常问一些关于产品的问题，如网关防病毒和桌面防病毒有什么区别，是否说有了桌面防病毒就不需要网关防病毒；UTM产品和防火墙产品是什么样的关系，有哪些优势；IPS功能和防火墙功能各自的侧重点是什么，能够相互取代吗等等。如果不能详细地为用户解答这些类似的疑惑的话，就很难建立用户对UTM这样的新产品的信心。渠道伙伴首先需要对已掌握的市场资源进行梳理，即考虑从已有用户开始，因为UTM产品是一种新产品，新的概念，对于老客户（已经购买防火墙的用户）来说，可以简单解释成防火墙产品的升级产品。此说法不一定严谨科学，但却利于打开市场。对于空白市场（没有购买防火墙的用户）来说，可以作为防火墙产品的取代产品。面对这两种情况可以采用不同的销售思路。而且能够从多个方面的优势来说服用户对现有网络安全设备升级或者购买。
姜宁的观点是：“UTM设备属于ALL-IN-ONE类型，有丰富的安全功能，如访问控制、入侵检测/防御、VPN、内容过滤，ANTI-X功能等，这些功能需要和客户的需求一一对应起来，并且能够解决用户目前及将来可能要面对的各种安全威胁，因此需要渠道合作伙伴对各种主流的安全技术和安全产品有比较深的了解，知道每一种安全技术的基本原理、具体实现及预期功效；同时要做好市场培育和客户需求引导工作，挖掘用户深层需求，UTM产品具有的高性能价格比、高可管理性、高投资回报率、对用户业务拓展的投资保护等等都会成为这一类产品的切入点，使渠道和用户之间容易达成一致认识。”
“合作伙伴要明白UTM产品和传统的防火墙产品的区别，”蔡永生强调道，“目前混合型网络威胁是传统的防火墙设备所不能解决的，但是让企业客户分别购买防火墙、网关防病毒，以及IPS设备不论从管理上，还是从资金投入上，都是一般企业难以接受的。因此总体投资适中，管理方便的UTM产品正是适合各种企业的安全解决方案，尤其是IT投资有限的企业。客户永远看中的是性价比，容易使用的安全解决方案，UTM这可满足此要求。这比渠道伙伴向各企业客户，尤其是中小型企业客户销售独立设备组成的安全方案，要容易得多。”
吴若松认为：“用户关心的是设备的使用价值和管理价值，管理将是安全一个重要问题。UTM实际上只是安全管理的一个工具。渠道伙伴对于用户而言，体现价值更为重要。市场环节变了，客户需要的则是全面的安全解决方案。合作伙伴应由单一产品销售商向安全解决方案供应商转变，因此需要全方位理解相关解决方案，而且是从技术和销售沟通方面要改变，其中包括安全的制度和方法、安全的管理和安全设备和工具。”
代理UTM产品时应避免的六大误区
渠道合作伙伴在选择所要代理的UTM产品时，一定会对产品性能进行考察。但在渠道合作伙伴考量产品性能的时候，有可能会走入一些误区。
误区一 具备防蠕虫病毒攻击功能的就是防病毒网关；有了网关防病毒就可以取代主机防病毒
目前市场上有很多防火墙或IPS产品宣称可以防范蠕虫病毒，令很多用户误以为这就是具有防病毒功能的UTM产品，其实所谓的“可以防范蠕虫病毒”并不是真正的防病毒，而仅仅是只能够防范有限的几种或几十种蠕虫发起的攻击罢了，匹配的是攻击特征码而不是病毒特征码。真正的防病毒应该至少有几万个病毒特征库。
网关防病毒只能防范通过网关传播的病毒，而且并不能达到100%的防范效果，因为毕竟不太可能对所有协议都进行扫描的。最主要的是，网络内部通过U盘等移动存储介质、局域网文件共享等途径传播的病毒，是网关防病毒鞭长莫及的，必须要通过主机防病毒才可以防范。
误区二 过于看重应用代理和病毒过滤等功能支持的协议数量而不是实用性
目前有很多用户过于看重UTM产品所支持的应用代理和病毒过滤等功能的协议数量，而实际上除了邮件（SMTP、POP3、IMAP）、文件传输（FTP）、网页（HTTP）这几种协议外，其他的协议基本上没有什么实用性，多了反而可能会增加系统的复杂性和故障点，降低效率。
误区三 有了IPS就不需要IDS了
有些人认为，IPS将取代IDS，尤其在某些只有IPS产品的安全厂商中这种言论很盛行，这是十分错误的。殊不知，IPS属于网关类产品，固然有直接阻断攻击的优势，但毕竟只能检测到经过它的流量，对网络内部发生的安全事件则根本看不见。而IDS作为旁路产品，则可以通过在交换机上作端口镜像，对网络内部包括网络出口的所有流量都做到明察秋毫，这是IPS无法做到的。如果把用户的网络比喻成一座办公大楼，IPS就是大门口的安全检查系统，而IDS就好比办公大楼内部的监视报警系统，两者绝对是互相补充而不能互相替代的。
误区四 过于追求IPS的事件库数量而不是精准度
IPS与IDS看似同源，实则有很大的区别。一般来说，IDS对于事件库的数量要求比较高，允许有比较低的误报率。但IPS则不同，绝对不允许有任何误报，否则将会对用户的正常网络应用造成灾难性的后果，正因为如此，IPS的事件库数量一定不会很多，目前几乎所有的产品都只有区区数百条真正的IPS事件，如果有号称上千条事件的IPS产品，也肯定是把IDS事件拿过来充数而已。
误区五 脱离了实际需求，盲目追求端口数量而不是实际处理能力
对于UTM产品来说，端口数量应该和设备的实际处理能力相匹配，并不是端口数量越多越好，很多情况下都是端口数量虽然增多了，但硬件的总体处理性能并没有任何提高，在这种情况下，平均到每个端口的处理性能实际上反而是有所下降的。一般来说，百兆UTM产品3~6个比较合适，千兆UTM产品3~5个比较合适。
误区六 过于追求测试仪测出来的并发连接数和64字节包吞吐率等非关键性性能指标，而忽略了产品在实际应用环境下的性能和稳定性。
用户对UTM产品的并发连接数需求到底有多高？我们权且估算一下，假设有一个1万台客户机的网络，这1万台客户机同时上网，按照每个客户机需要20个并发连接来计算，最高也就需要20万个并发连接就够了。根据这样的测算，动辄上百万的并发连接数真正会有几个用户需要呢？并发连接数并不是越多越好，其实要调高并发连接数并没有任何技术含量，反而在实际应用中是需要控制并发连接数的数量不要太高的。
64字节报吞吐率对于衡量一款UTM产品的性能也是几乎没有任何意义的，几乎没有哪个网络中有太多的64字节包，一般来说，512-1518字节大小包才是最多的，所以最应该关注的是这个范围大小的包的吞吐率。
