|
|
|
NGAF是面向應用層設計,能夠精確識別用戶、應用和內容,具備完整安全防護能力,能夠全面替代傳統(tǒng)防火墻,并具有強勁應用層處理能力的全新網(wǎng)絡安全設備。NGAF解決了傳統(tǒng)安全設備在應用管控、應用可視化、應用內容防護等方面的巨大不足,同時開啟所有功能后性能不會大幅下降。 NGAF 不但可以提供基礎網(wǎng)絡安全功能,如狀態(tài)檢測、VPN、抗DDoS、NAT等;還實現(xiàn)了統(tǒng)一的應用安全防護,可以針對一個入侵行為中的各種技術手段進行統(tǒng)一的檢測和防護,如應用掃描、漏洞利用、Web入侵、非法訪問、蠕蟲病毒、帶寬濫用、惡意代碼等。NGAF可以為不同規(guī)模的行業(yè)用戶的數(shù)據(jù)中心、廣域網(wǎng)邊界、互聯(lián)網(wǎng)邊界等場景提供更加精細、更加全面、更高性能的應用內容防護方案。
更精細的應用層安全控制
當前網(wǎng)絡環(huán)境中,應用已成為網(wǎng)絡的主要載體,而網(wǎng)絡安全的威脅更多的來源于應用層,這也使得用戶對于網(wǎng)絡訪問控制提出更高的要求。如何精確的識別出用戶和應用、阻斷有安全隱患的應用、保證合法應用正常使用、防止端口盜用等問題,已成為現(xiàn)階段用戶對網(wǎng)絡安全關注的焦點。但IP不等于用戶、端口不等于應用,傳統(tǒng)防火墻基于IP/端口的五元組訪問控制策略已不能有效的應對現(xiàn)階段網(wǎng)絡環(huán)境的巨大變化。
NGAF采用獨創(chuàng)的應用可視化技術,可以根據(jù)應用的行為和特征實現(xiàn)對應用的識別和控制,而不僅僅依賴于端口或協(xié)議,擺脫了傳統(tǒng)設備只能通過IP地址來控制的尷尬,即使加密過的數(shù)據(jù)流也能應付自如。
目前,NGAF可以識別700多種應用及其1000多種應用動作,還可以與多種認證系統(tǒng)(AD、LDAP、Radius等)、應用系統(tǒng)(POP3、SMTP等)無縫對接,自動識別出網(wǎng)絡當中IP地址對應的用戶信息,并建立組織的用戶分組結構;既滿足了普通互聯(lián)網(wǎng)邊界行為管控的要求,同時滿足了在內網(wǎng)數(shù)據(jù)中心和廣域網(wǎng)邊界的部署要求,可以識別和控制豐富的內網(wǎng)應用,如Lotus Notes、RTX、Citrix、Oracle EBS、金蝶EAS、SAP、LDAP等,針對用戶應用系統(tǒng)更新服務的訴求,NGAF還可以精細識別Microsoft、360、Symantec、Sogou、Kaspersky、McAfee、金山毒霸、江民殺毒等軟件更新,保障在安全管控嚴格的環(huán)境下,系統(tǒng)軟件更新服務暢通無阻。
因此,通過應用可視化技術制定的L3-L7一體化應用訪問控制策略,可以為用戶提供更加精細和直觀化控制界面,在一個界面下完成多套設備的運維工作,提升工作效率。
更全面的內容級安全防護
網(wǎng)絡安全與黑客技術的發(fā)展使得用戶面臨的威脅不再單單是一個病毒一個木馬、一次DOS攻擊這樣的簡單攻擊。黑客可采用豐富的工具,利用眾多的漏洞,結合多種攻擊手段進行混合型的破壞性攻擊,具有代表性的如Slammer、Blaster等。而信息獲取和攻擊代碼往往也隱藏在正常的應用訪問中,這種混合型安全威脅的出現(xiàn)也給網(wǎng)絡安全建設提出新的要求:需要采用更全面的防護手段,防止安全短板被利用;需要深入到應用內容的安全防護,以識別和預防潛在威脅。
NGAF融合了漏洞防護、web安全防護、病毒防護等多種安全技術,具備2000+條漏洞特征庫、數(shù)十萬條病毒、木馬等惡意內容特征庫、1000+Web應用威脅特征庫,可以全面識別各種應用層和內容級別的各種安全威脅。通過灰度威脅關聯(lián)分析技術將數(shù)據(jù)包還原的內容進行全面的威脅檢測,并可以針對黑客入侵過程中使用的不同攻擊方法進行關聯(lián)分析,從而精確定位出一個黑客的攻擊行為,有效阻斷威脅風險的發(fā)生;叶韧{識別技術改變了傳統(tǒng)IPS等設備防御威脅種類單一,威脅檢測經(jīng)常出現(xiàn)漏報、誤報的問題,可以幫助用戶****程度減少風險短板的出現(xiàn),保證業(yè)務系統(tǒng)穩(wěn)定運行。
此外,深信服憑借在應用層領域6年以上的技術積累,組建了專業(yè)的安全攻防團隊,可以為用戶定期提供最新的威脅特征庫更新,以確保防御的及時性。
更高性能的應用層處理能力
性能和安全往往是傳統(tǒng)安全設備是無法權衡的問題。尤其在應用層安全防護功能開啟時,該問題尤為明顯。在帶寬不斷提升、威脅不斷增多的網(wǎng)絡環(huán)境下,用戶不得不在兩者做出艱難的選擇。
為了實現(xiàn)強勁的應用層處理能力,NGAF拋棄了傳統(tǒng)防火墻NP、ASIC等適合執(zhí)行網(wǎng)絡層重復計算工作的硬件設計,采用了更加適合應用層靈活計算能力的多核并行處理技術;在系統(tǒng)架構上,NGAF也放棄了UTM多引擎,多次解析的架構,而采用了更為先進的一體化單次解析引擎,將漏洞、病毒、Web攻擊、惡意代碼/腳本、URL庫等眾多應用層威脅統(tǒng)一進行檢測匹配,從而提升了工作效率,實現(xiàn)了萬兆級的應用安全防護能力。
更完整的安全防護方案
只提供基于應用層安全防護功能的方案,并不是一個完整的安全方案。對于用戶來說,還需要采購基礎網(wǎng)絡層的安全設備(FW、VPN),既增加了成本,也增加了組網(wǎng)復雜度、提升了運維難度。從技術角度來說,一個黑客完整的攻擊入侵過程包括了網(wǎng)絡層和應用層、內容級別等多個層次方式方法,如果將這些威脅割裂開處理進行防護,各種防護設備之間缺乏智能的聯(lián)動,很容易出現(xiàn)“三不管”的灰色地帶,出現(xiàn)防護真空。
NGAF涵蓋傳統(tǒng)防火墻、IPS的主要功能,內部能夠實現(xiàn)內核級聯(lián)動,是一個“L2-L7完整的安全防護產(chǎn)品”。這也是Gartner定義的“額外的防火墻智能”實現(xiàn)的前提,做到真正的內核級聯(lián)動,才能為用戶的業(yè)務系統(tǒng)提供一個安全防護的“銅墻鐵壁”。
功能價值
多種功能融合、縱深安全防御、一體化安全防護 |
技術功能 |
功能價值 |
IPS漏洞防護 |
基于漏洞以及攻擊行為的特征庫,提供自動或手動升級方式。防御包括蠕蟲、木馬、后門、應用層DOS/DDOS、掃描、間諜軟件、漏洞攻擊、緩沖區(qū)溢出、協(xié)議異常、IPS逃逸攻擊等 |
服務器防護 |
針對OWASP提出的WEB安全威脅的防護,如SQL注入、XSS、CSRF等;提供網(wǎng)站路徑保護,暴力破解防護;WEB服務隱藏FTP隱藏、FTP、telent弱口令防護;文件上傳過濾、URL黑名單等多種服務器防護功能 |
病毒防護 |
基于流引擎查毒技術,可以針對HTTP、FTP、SMTP、POP3等協(xié)議進行查殺;可實時查殺大量文件型、網(wǎng)絡型和混合型等各類病毒;并采用新一代虛擬脫殼和行為判斷技術,準確查殺各種變種病毒、未知病毒 |
WEB安全防護 |
提供URL過濾、文件過濾、ActiveX過濾、腳本過濾等多種WEB安全防護手段 |
透視網(wǎng)絡應用、精細控制策略、規(guī)避應用安全風險 |
技術功能 |
功能價值 |
可視化應用管控 |
擁有國內****的應用規(guī)則識別庫,可識別數(shù)百種互聯(lián)網(wǎng)應用,上千種應用規(guī)則策略 |
可識別豐富的內網(wǎng)應用如:Lotus Notes、RTX、Citrix、Oracle EBS、金蝶EAS、SAP、LADP等 |
精確識別Microsoft、360、Symantec、Sogou、kaspersky、金山毒霸、江民殺毒等軟件更新保障嚴格管控下系統(tǒng)軟件更新暢通無阻 |
提供基于應用識別類型、用戶名、接口、安全域、IP地址、端口、時間進行應用訪問控制列表的制定 |
限制無關應用、保障核心業(yè)務、優(yōu)化帶寬利用率 |
技術功能 |
功能價值 |
可視化流量管理 |
基于應用、網(wǎng)站、文件、時間、目標IP以及用戶的多種流量控制 |
多線路技術、虛擬多線路技術、智能選路技術對多線路分別實現(xiàn)流控 |
保障核心業(yè)務、限制合法業(yè)務、阻斷非法業(yè)務 |
適應復雜場景、抵御網(wǎng)絡攻擊、合理規(guī)劃安全域 |
技術功能 |
功能價值 |
包過濾與狀態(tài)檢測 |
提供靜態(tài)的包過濾和動態(tài)包過濾功能 |
抗攻擊 |
能夠防御DOS/DDOS、land,smurf,synflood,icmpflood等網(wǎng)絡層攻擊 |
NAT |
提供一對一、多對一、多對多等地址轉換方式;支持多種NAT ALG,包括DNS、FTP、H.323、SIP |
VPN模塊 |
內置VPN模塊能實現(xiàn)VPN互聯(lián) |
IP協(xié)議/路由 |
支持靜態(tài)路由、RIP v1/2、OSPF、策略路由等多種路由協(xié)議 | |
|
|
|
|