下一代防火墙，是概念还是现实？
随着国内BYOD、云计算和社交网络的大规模流行，网络已经迎来了大带宽时代。移动办公消除了网络边界，数据中心的云化、面向云和面向虚拟机的安全带来了新的挑战。应用和社交网络给安全管理带来了全新的威胁。被动防御为主的传统防火墙已经不能应对目前的威胁，企业需要更主动的防御方式来维护企业的利益。
通过2009年Gartner发布了一篇白皮书当中，互联网安全家族当中新添的一名成员就是"下一代防火墙（NGFW），它是基于用户、应用和内容三个方面管控的基础。现如今已经四年过去了，在这期间下一代防火墙这个名词也被业界抄的越来越火，随之国内外厂商也纷纷推出了自己基于下一代防火墙的产品，但是这些下一代防火墙的出现，真的就能够带领企业更新换代吗？这些下一代防火墙是真材实料还是以下一代防火墙为噱头的UTM或者上网行为管理产品呢？
真正的下一代防火墙是什么？
下一代防火墙区别于传统防火墙的核心特色之一是对应用的识别、控制和安全性保障。这种显著区别源自于Web2.0与Web1.0这两个不同网络时代下的模式变迁。传统的Web1.0网络以服务请求与服务提供为主要特征，服务提供方提供的服务形态、遵循的协议都比较固定和转移，随着社会化网络Web2.0时代的到来，各种服务协议、形态已不再一尘不变，代之以复用、变种、行为差异为主要特征的各种应用的使用和共享。
真正的下一代防火墙应该具备基础防火墙的功能，如NAT、VPN等功能；对于应用识别能力应该是下一代防火墙的基础安全管控能力，并非简单的为了实现应用管控；对于IPS的深度集成，而不是简单的功能叠加；最后Gartner还要求NGFW提供诸如智能联动和只能分析等一些辅助功能。
下一代防火墙的功能众多，在市场中传言它将会在未来取代目前的UTM、WAF或者上网行为管理。在Gartner企业防火墙魔力象限报告中指出，出现这种现象的原因有两个，首先是在技术术语方面，不同产品之间确实有重合之处；另外，由于厂商对于下一代防火墙的概念进行混淆视听的营销宣传。Gartner强调，下一代防火墙尤其独特的产品价值，与上述产品有明显的区别。
下一代防火墙与高级别防火墙的博弈
下一代防火墙的性能与传统防火墙无疑是更加强大了，但仅仅如此与高级防火墙有何区别？有些缠上在防火墙上加了一些简单的应用识别；有些厂商在流量管控的基础上，加上了一些威胁防控；还有一些DLP厂商转身来做下一代防火墙。这些都只能说是高级防火墙的一种形态，还并不能称得上是下一代防火墙的级别。
其实下一代防火墙代表的是完全不同的安全理念，在不输、使用、管理乃至整个安全模式上都与传统防火墙截然不同，NGFW能够吧整个策略实现原理和对网络资源调度提升到新的应用管理水平上，它还颠覆整个防火墙访问控制管理的基础，带来了新的管理角度，因此实际上能够简化管理。
管控是否精细化：随着IT潮流的巨变，NGFW如何识别更新的应用，如何在应用过程中识别风险，解决新IT环境下边界失效的问题，重新建立起网络边界的有效管控，成为首要挑战。
管理是否简单化：NGFW在强化了管控手段以后，管理配置的复杂度明显提升，面对着数以千计的应用选择，那些隐藏风险？哪些对工作有用应该打开甚至保障带宽应用？哪些对工作无用需要进一步的控制甚至阻断？这对管理员提出了更高的管理挑战。
可辨未知威胁：近几年新威胁和新挑战在不断的持续增加，特别是位置的攻击越来越多也越来越频繁，很多的攻击行为非常隐蔽，需要掩饰去监测，黑客行为已经是组织化，真是国家化。防火墙的作用类似网络出口的看门人，更能够对新的威胁做到保护。
性能是否足够：有些产品一旦开启强制性防护，性能急剧下降，基本不可用，NGFW如果不想重蹈覆辙，在性能方面一定要有自己的定义，是要有专门的测试办法和门槛要求的，不是说了某些特性就可以。而且这些特性一定要在真是的网络环境下才可用，不是形同虚设的。
通过这些问题的提出，对于管理员来说已经是一个巨大的挑战了。这也就是高级防火墙对于企业中的一个瓶颈，传统的防火墙通常是被动防御机制，只有通过主动防御和智能化的方式进行对企业内部的网络安全防护。
面对应用层威胁，传统防火墙的遭遇
新的应用带来了全新的应用层面威胁：Web2.0应用虽然可以显著增强协作能力，提高生产效率，但同时也不可避免地带来了新的安全威胁。
恶意软件入侵：Web应用中社交网络的普及给恶意软件的入侵带来了去打的便利，例如灰色软件或链接到恶意站点的链接。用户的一条评价、一篇帖子、或者一次照片上传都可能会殃及用户甚至整个网络的恶意代码。例如，如果用户在下载驱动程序的过程当中点击了包含有恶意站点的链接，就很有可能在不知情的情况下下载了恶意软件。
网络带宽消耗：对于部分应用来说，广泛的使用会导致网络带宽的过度消耗。例如网络视频可以导致网络拥塞并阻碍关键业务使用和交付。还有对于稳健共享类应用，由于存在大量的文件之间的频繁交换，也可能会最终导致整个网络陷入瘫痪状态。
机密资料外泄：某些应用（如即时通信，P2P下载等业务）可提供向外传输文件附件的功能，如果对外传输的这些文件存在敏感、机密的信息，那么讲给企业带来无形和有形的损失，并且也会带来潜在的民事和刑事责任。
真正的下一代防火墙，如何挑选？
应用层吞吐：首先从性能方面来看，用户一定要注意区分"网络层性能"和"应用层管理"以及"安全能力全开启性能"这三个指标的差异。
传统防火墙往往会议网络层性能作为参数。然而网络层性能对于下一代防火墙而言基本没有意义。因为下一代防火墙是在应用层上工作的防火墙，因此，客户应该考察的是"应用性能"，也就是在应用识别能力开启条件下的防火墙性能。
另外，下一代防火墙的核心特征之一就是多安全引擎开启不会导致严重的性能下降情况。因此客户还必须要考察在多安全引擎全部开启的情况下，防火墙的性能表现。
应用识别能力：其次是从应用识别能力来衡量。下一代防火墙是工作在应用层基础上的防火墙，因此应用识别能力成为下一代防火墙的核心能力。首先要考察防火墙的应用库有多大，其次是应用识别的细粒度，比如应用是否有足够多的分类，以便于客户管理，平台型应用是否还支持子应用识别等。另外，应用库的更新速度也很重要。
可视化能力：产品的可视化能力也是考量的重要指标。可视化能力是决定下一代防火墙能否真正发挥作用的关键所在。当然这一点很难量化衡量，需要用户自己亲自动手比较才能得出结论。
安全能力：从安全的角度看，下一代防火墙的主要贡献在于多安全引擎的深度整合。用户首先可以考察产品中集成了哪些安全引擎，不同安全引擎的配置是一次完成还是分别完成？安全日志是分散的和一体的？日志数据是否支持相关性跳转？这些问题都可以判断是否是一款真正的下一代防火墙产品。
总之，下一代防火墙已经开始进入到企业内部，对于企业的安全防护进行了维护，新一代企业安全网络得到构建。
