下一代防火墙设计方案V2
Hillstone E-3000 系列下一代防火墙 E3662 E3668 E3960
Hillstone E-3000 SeriesNext-Generation FirewallE3662 / E3668 / E3960 / E3965 / E3968The Hillstone E-3000 Series Next Generation Firewall (NGFW) is design for the specific function of security and provide comprehensive and granular visibility and control of applications. It can identify and prevent potential threats associated with high-risk applications while providing poli-cy-based control over applications, users, and user-groups. Policies can be defined that guarantee bandwidth to mission-critical applications while restricting or blocking unauthorized or malicious applications. The Hillstone E-3000 Series NGFW incorporates comprehensive network security and advanced firewall features, provides superior price performance, excellent energy efficiency, and comprehensive threat prevention capability.Product HighlightGranular Application Identification and ControlThe Hillstone E-3000 Series NGFW is optimized for con-tent analysis of Layer 7 applications, providing fine-grained control of web applications regardless of port, protocol, or evasive action. It can identify and prevent potential threats associated with high-risk applications while providing poli-cy-based control over applications, users, and user-groups. Security Policies can be defined that guarantee bandwidth to mission-critical applications while restricting or blocking unauthorized or malicious applications. Comprehensive Threat Detection and PreventionThe Hillstone E-3000 Series NGFW provides real-time protec-tion for applications from network attacks including viruses, spyware, worms, botnets, ARP spoofing, DoS/DDoS, Tro-jans, buffer overflows, and SQL injections. It incorporates a unified threat detection engine that shares packet details with multiple security engines (AD, IPS, URL filtering, Anti-Virus, Sandbox etc.), which significantly enhances the protectionefficiency and reduces network latency.Network Services• Dynamic routing (OSPF, BGP, RIPv2)• Static and Policy routing• Route controlled by application• Built-in DHCP, NTP, DNS Server and DNS proxy • Tap mode – connects to SPAN port• Interface modes: sniffer, port aggregated, loopback, VLANS (802.1Q and Trunking)• L2/L3 switching & routing• Virtual wire (Layer 1) transparent inline deploymentFirewall• Operating modes: NAT/route, transparent (bridge), and mixed mode• Policy objects: predefined, custom, and object grouping• Security policy based on application, role and geo-location• Application Level Gateways and session support: MSRCP, PPTP, RAS, RSH, SIP, FTP, TFTP, HTTP, dcerpc, dns-tcp, dns-udp, H.245 0, H.245 1, H.323• NAT and ALG support: NAT46, NAT64, NAT444, SNAT, DNAT, PAT, Full Cone NAT, STUN• NAT configuration: per policy and central NAT table• VoIP: SIP/H.323/SCCP NAT traversal, RTP pin holing• Global policy management view• Security policy redundancy inspection, policy group, policy configuration rollback• Policy Assistant for easy detailed policy deployment• Policy analyzing and invalid policy cleanup• Comprehensive DNS policy• Schedules: one-time and recurringIntrusion Prevention• Protocol anomaly detection, rate-based detection, custom signatures, manual, automatic push or pull signature updates, integrated threat encyclo-pedia• IPS Actions: default, monitor, block, reset (attackers IP or victim IP, incoming interface) with expiry time• Packet logging option• Filter Based Selection: severity, target, OS, appli-cation or protocol• IP exemption from specific IPS signatures• IDS sniffer mode• IPv4 and IPv6 rate based DoS protection with threshold settings against TCP Syn flood, TCP/ UDP/SCTP port scan, ICMP sweep, TCP/UDP/ SCIP/ICMP session flooding (source/destination)• Active bypass with bypass interfaces• Predefined prevention configurationAnti-Virus• Manual, automatic push or pull signature updates • Flow-based Antivirus: protocols include HTTP, SMTP, POP3, IMAP, FTP/SFTP• Compressed file virus scanningAttack Defense• Abnormal protocol attack defense• Anti-DoS/DDoS, including SYN Flood, UDP Flood, DNS Query Flood defense, TCP fragment, ICMP fragment, etc.• ARP attack defenseURL Filtering• Flow-based web filtering inspection• Manually defined web filtering based on URL, webcontent and MIME header• Dynamic web filtering with cloud-based real-timecategorization database: over 140 million URLswith 64 categories (8 of which are security related)• Additional web filtering features:- Filter Java Applet, ActiveX or cookie- Block HTTP Post- Log search keywords- Exempt scanning encrypted connections oncertain categories for privacy• Web filtering profile override: allows administratorto temporarily assign different profiles to user/group/IP• Web filter local categories and category ratingoverride• Support multi-languageCloud-Sandbox• Upload malicious files to cloud sandbox foranalysis• Support protocols including HTTP/HTTPS, POP3,IMAP, SMTP and FTP• Support file types including PE,ZIP, RAR, Office,PDF, APK, JAR and SWF• File transfer direction and file size control• Provide complete behavior analysis report formalicious files• Global threat intelligence sharing, real-time threatblocking• Support detection only mode without uploadingfilesBotnet C&C Prevention• Discover intranet botnet host by monitoring C&Cconnections and block further advanced threatssuch as botnet and ransomware• Regularly update the botnet server addresses• Prevention for C&C IP and domain• Support TCP, HTTP, and DNS traffic detection• IP and domain whitelistsIP Reputation• Identify and filter traffic from risky IPs such asbotnet hosts, spammers, Tor nodes, breachedhosts, and brute force attacks• Logging, dropping packets, or blocking fordifferent types of risky IP traffic• Periodical IP reputation signature databaseupgradeSSL Decryption• Application identification for SSL encrypted traffic• IPS enablement for SSL encrypted traffic• AV enablement for SSL encrypted traffic• URL filter for SSL encrypted traffic• SSL Encrypted traffic whitelist• SSL proxy offload modeEndpoint Identification and Control• Support to identify endpoint IP, endpoint quantity,on-line time, off-line time, and on-line duration• Support 10 operation systems including Windows,iOS, Android, etc.• Support query based on IP, endpoint quantity,control policy and status etc.• Support the identification of accessed endpointsquantity across layer 3, logging and interferenceon overrun IP• Redirect page display after custom interferenceoperation• Supports blocking operations on overrun IPData Security• File transfer control based on file type, size andname• File protocol identification, including HTTP, FTP,SMTP and POP3• File signature and suffix identification for over 100file types• Content filtering for HTTP-GET, HTTP-POST, FTPand SMTP protocols• IM identification and network behavior audit• Filter files transmitted by HTTPS using SSL ProxyApplication Control• Over 3,000 applications that can be filtered byname, category, subcategory, technology and risk• Each application contains a description, riskfactors, dependencies, typical ports used, andURLs for additional reference• Actions: block, reset session, monitor, trafficshaping• Identify and control cloud applications in the cloud• Provide multi-dimensional monitoring andstatistics for cloud applications, including riskcategory and characteristicsQuality of Service (QoS)• Max/guaranteed bandwidth tunnels or IP/userbasis• Tunnel allocation based on security domain,interface, address, user/user group, server/servergroup, application/app group, TOS, VLAN• Bandwidth allocated by time, priority, or equalbandwidth sharing• Type of Service (TOS) and Differentiated Services(DiffServ) support• Prioritized allocation of remaining bandwidth• Maximum concurrent connections per IP• Bandwidth allocation based on URL category• Bandwidth limit by delaying access for user or IP• Automatic expiration cleanup and manual cleanupof user used trafficServer Load Balancing• Weighted hashing, weighted least-connection, andweighted round-robin• Session protection, session persistence andsession status monitoring• Server health check, session monitoring andsession protectionLink Load Balancing• Bi-directional link load balancing• Outbound link load balancing includes policybased routing, ECMP and weighted, embeddedISP routing and dynamic detection• Inbound link load balancing supports SmartDNSand dynamic detection• Automatic link switching based on bandwidth,latency, jitter, connectivity, application etc.• Link health inspection with ARP, PING, and DNSFeaturesFeatures (Continued)VPN• IPSec VPN- IPSEC Phase 1 mode: aggressive and main ID protection mode- Peer acceptance options: any ID, specific ID, ID in dialup user group- Supports IKEv1 and IKEv2 (RFC 4306)- Authentication method: certificate andpre-shared key- IKE mode configuration support (as server orclient)- DHCP over IPSEC- Configurable IKE encryption key expiry, NATtraversal keep alive frequency- Phase 1/Phase 2 Proposal encryption: DES,3DES, AES128, AES192, AES256- Phase 1/Phase 2 Proposal authentication:MD5, SHA1, SHA256, SHA384,SHA512- Phase 1/Phase 2 Diffie-Hellman support: 1,2,5 - XAuth as server mode and for dialup users- Dead peer detection- Replay detection- Autokey keep-alive for Phase 2 SA• IPSEC VPN realm support: allows multiple custom SSL VPN logins associated with user groups (URL paths, design)• IPSEC VPN configuration options: route-based or policy based• IPSEC VPN deployment modes: gateway-to-gateway, full mesh, hub-and-spoke, redundant tunnel, VPN termination in transparent mode • One time login prevents concurrent logins with the same username• SSL portal concurrent users limiting• SSL VPN port forwarding module encrypts client data and sends the data to the application server • Supports clients that run iOS, Android, and Windows XP/Vista including 64-bit Windows OS • Host integrity checking and OS checking prior to SSL tunnel connections• MAC host check per portal• Cache cleaning option prior to ending SSL VPN session• L2TP client and server mode, L2TP over IPSEC, and GRE over IPSEC• View and manage IPSEC and SSL VPN connec-tions• PnPVPNIPv6• Management over IPv6, IPv6 logging and HA • IPv6 tunneling, DNS64/NAT64 etc• IPv6 routing including static routing, policy routing, ISIS, RIPng, OSPFv3 and BGP4+• IPS, Application identification, URL filtering,Anti-Virus, Access control, ND attack defense,iQoS• Track address detectionVSYS• System resource allocation to each VSYS• CPU virtualization• Non-root VSYS support firewall, IPSec VPN, SSLVPN, IPS, URL filtering• VSYS monitoring and statisticHigh Availability• Redundant heartbeat interfaces• Active/Active and Active/Passive mode• Standalone session synchronization• HA reserved management interface• Failover:- Port, local & remote link monitoring- Stateful failover- Sub-second failover- Failure notification• Deployment options:- HA with link aggregation- Full mesh HA- Geographically dispersed HATwin-mode HA (not available on E3662, E3668)• High availability mode among multiple devices• Multiple HA deployment modes• Configuration and session synchronization amongmultiple devicesUser and Device Identity• Local user database• Remote user authentication: TACACS+, LDAP,Radius, Active• Single-sign-on: Windows AD• 2-factor authentication: 3rd party support,integrated token server with physical and SMS• User and device-based policies• User group synchronization based on AD andLDAP• Support for 802.1X, SSO Proxy• WebAuth page customization• Interface based Authentication• Agentless ADSSO (AD Polling)• Use authentication synchronization based onSSO-monitor• Support MAC-based user authenticationAdministration• Management access: HTTP/HTTPS, SSH, telnet,console• Central Management: Hillstone Security Manager(HSM), web service APIs• System Integration: SNMP, syslog, alliancepartnerships• Rapid deployment: USB auto-install, local andremote script execution• Dynamic real-time dashboard status and drill-inmonitoring widgets• Language support: EnglishLogs & Reporting• Logging facilities: local memory and storage (ifavailable), multiple syslog servers and multipleHillstone Security Audit (HSA) platforms• Encrypted logging and log integrity with HSAscheduled batch log uploading• Reliable logging using TCP option (RFC 3195)• Detailed traffic logs: forwarded, violated sessions,local traffic, invalid packets, URL etc.• Comprehensive event logs: system and adminis-trative activity audits, routing & networking, VPN,user authentications, WiFi related events• IP and service port name resolution option• Brief traffic log format option• Three predefined reports: Security, Flow andnetwork reports• User defined reporting• Reports can be exported in PDF, Word and HTMLvia Email and FTPStatistics and Monitoring• Application, URL, threat events statistic andmonitoring• Real-time traffic statistic and analytics• System information such as concurrent session,CPU, Memory and temperature• iQOS traffic statistic and monitoring, link statusmonitoring• Support traffic information collection andforwarding via Netflow (v9.0)CloudView• Cloud-based security monitoring• 7/24 access from web or mobile application• Device status, traffic and Threat monitoring• Cloud-based log retention and reportingIoT Security• Identify IoT devices such as IP Cameras andNetwork Video Recorders• Support query of monitoring results based onfiltering conditions, including device type, IPaddress, status, etc.• Support customized whitelistsExpasion Module Option IOC-4GE-B-M, IOC-8GE-M, IOC-8SFP-M IOC-4GE-B-M, IOC-8GE-M, IOC-8SFP-M, IOC-4SFP+, IOC-8SFP+, IOC-2SFP+-Lite Twin-mode HAN/AYesMaximum Power Consumption 1 x 150W Redundancy 1 + 1 2 x 450W Redundancy 1 + 1Power SupplyAC 100-240V 50/60Hz AC 100-240V 50/60Hz DC -40 ~ -60VDimension (W×D×H, mm)1U 17.2 x 14.4x 1.7 in (436 x 366 x 44 mm)2U 17.3 x 20.9 x 3.5 in (440 x530 x 88 mm)Weight 12.3lb (5.6kg)27.1 lb (11.8kg)Temperature 32-104 F (0-40°C)32-104 F (0-40°C)Relative Humidity10-95% (no dew)10-95% (no dew)Compliance and CertificateCE, CB, FCC, UL/cUL, ROHS, IEC/EN61000-4-5 Power Surge Protection, ISO 9001:2015, ISO 14001:2015, CVE Compatibility, IPv6 Ready, ICSA FirewallsNames 8SFP Extension Module 4GE Bypass Extension 2SFP+ Extension Module 4SFP+ Extension ModuleI/O Ports 8 x SFP , SFP module not included2 x SFP+, SFP+ module not included 4 x SFP+, SFP+ module not included Dimension ½U (Occupies 1 generic slots)½ U (Occupies 1 generic slot) 1 U (Occupies 2 generic slots)Weight2.0 lb (0.9kg)0.7 lb (0.3kg)1.5 lb (0.7kg)Module OptionsNOTES:(1) FW throughput data is obtained under single-stack UDP traffic with 1518-byte packet size;(2) IPSec throughput data is obtained under Preshare Key AES256+SHA-1 configuration and 1400-byte packet size packet; (3) AV throughput data is obtained under HTTP traffic with file attachment;(4) IPS throughput data is obtained under bi-direction HTTP traffic detection with all IPS rules being turned on; (5) IMIX throughput data is obtained under UDP traffic mix (64 byte : 512 byte : 1518 byte =5:7:1);(6) NGFW throughput data is obtained under 64 Kbytes HTTP traffic with application control and IPS enabled;(7) Threat protection throughput data is obtained under 64 Kbytes HTTP traffic with application control, IPS, AV and URL filtering enabled; (8) New Sessions/s is obtained under TCP traffic.Unless specified otherwise, all performance, capacity and functionality are based on StoneOS5.5R7. Results may vary based on StoneOS ® version and deployment.IOC-8GE-MIOC-8SFP-MIOC-4GE-B-MIOC-2SFP+-LiteIOC-8SFP+IOC-4SFP+。
深信服下一代防火墙互联网出口解决方案ppt课件
阻断、重定向、隔离等
正常数据流
关联分析
分片重组
流量分析
流恢复
报文正规化
关联检测引擎：提升检测精度例：Apache 2.2 漏洞： CVE-2011-3192 Denial Of Service Vulnerability应用识别分析： Web应用，保护对象为 Apache 2.2内容识别分析： 数据包匹配到CVE-2011-3192的漏洞特征关联分析结果： 命中，威胁级别严重，阻断！
敏感信息防泄漏
常见的敏感信息防泄漏用户信息邮箱账户信息MD5加密密码银行卡号身份证号码社保账号信用卡号手机号码内部保密文件根据文件类型防泄密根据特征自定义信息合规性
病毒/URL过滤
病毒查杀
常见病毒查杀httpftpPop3Smtp压缩文件……
网站分类过滤70个大类含非法及不良分类恶意网站过滤数千万个网站……
安全云
自动化威胁情报收集平台
IPS保护
虚拟主机补丁（4000+）操作系统漏洞，如Windows、Linux、Unix等应用程序漏洞，如Apache、IIS等中间件漏洞，如WebShpere、WebLogic等数据库漏洞，如SQL Server、Oracle等浏览器漏洞：IE、FrieFox、Google Chrome等……
自动学习建模
正常访问服务器
自动学习自动建模
未知攻击、非法请求
网站构架参数类型参数长度……
多维行为分析
1、多维行为分类2、分类威胁阈值3、阈值循环微调4、汇总基线比较
自动关联分析
数据流
会话状态跟踪
丢弃报文
应用识别分析并行处理支持近千种协议
内容特征分析 并行处理包括攻击特征、漏洞特征
丢弃报文、隔离
山石网科 Hillstone山石网科 下一代防火墙 配置指南说明书
Hillstone山石网科下一代防火墙基础配置手册V5.5版本Hillstone Networks Inc.服务热线：400 828 6655内容提交人审核人更新内容日期陈天骄陈天骄初次编写2016/1/14目录1 设备管理 (3)1.1 终端console登录 (3)1.2 网页WebUI登录 (3)1.3 恢复出厂设置 (5)1.3.1 CLI命令行操作 (5)1.3.2 WebUI图形化界面操作 (5)1.3.3 硬件CLR操作 (6)1.4 设备系统（StoneOS）升级 (6)1.4.1 通过sysloader升级 (6)1.4.2 通过CLI升级 (9)1.4.3 通过WebUI升级 (9)1.5 许可证安装 (10)1.5.1 CLI命令行安装 (10)1.5.2 WebUI安装 (11)2 基础上网配置 (11)2.1 接口配置 (11)2.2 路由配置 (13)2.3 策略配置 (14)2.4 源地址转换配置（SNAT） (15)3 常用功能配置 (16)3.1 PPPoE拨号配置 (16)3.2 动态地址分配（DHCP）配置 (17)3.3 IP-MAC地址绑定配置 (20)3.4 端到端IPSec VPN配置 (21)3.4.1 配置第一阶段P1提议 (22)3.4.2 配置ISAKMP网关 (23)3.4.3 配置第二阶段P2提议 (24)3.4.4 配置隧道 (25)3.4.5 配置隧道接口 (26)3.4.6 配置隧道路由和策略 (28)3.4.7 查看VPN状态 (29)3.5 远程接入SCVPN配置 (30)3.6 目的地址转换DNAT配置 (38)3.6.1 IP映射 (39)3.6.2 端口映射 (41)1设备管理安全网关支持本地与远程两种环境配置方法，可以通过CLI 和WebUI 两种方式进行配置。
CLI同时支持Console、Telnet、SSH等主流通信管理协议。
H3C 新一代F100系列防火墙培训材料(内部版)V2
14
优势2：强大的Internet出口多业务特性
ISP1
ISP2
Internet出口多业务特性
多出口流量负载均衡
对外服务 器区
SSL VPN 数据流
访
出
问
入
控 新一代F100系列防火墙
流
制
量
和
控
N
u多出口链路负载均衡：动态选路、链路保护机制
制
A
T
u远程移动办公：SSL VPN、 IPSec+L2TP
无效策略可禁止 6
功能特色3：全命令行和全WEB配置
nComware V5平台同时支持Web网管和命令行两种配置方式，适合不同操作习惯的客户 管理设备。
[H3C]dis cu # version 5.20, Feature 5130 # sysname H3C # undo voice vlan mac-address 00e0-bb00-0000 # domain default enable system # web idle-timeout 999 # session synchronization enable # undo ip fast-forwarding enable # acl number 2000 rule 0 permit source 192.168.1.0 0.0.0.255 # acl number 4444 rule 0 deny source-mac 3822-d697-0000 ffff-ffff-000f # vlan 1 # vd Root id 1 vd test id 2 limit-resource session max-entries 2000 # zone name Management id 0 priority 100 import interface GigabitEthernet0/0 zone name Local id 1 priority 100 zone name Trust id 2 priority 85 import interface GigabitEthernet0/2 zone name DMZ id 3 priority 50 import interface GigabitEthernet0/5 import interface GigabitEthernet1/0 import interface GigabitEthernet1/1 zone name Untrust id 4 priority 5 import interface GigabitEthernet0/1 switchto vd test switchto vd Root object network 10.1.1.0/0.0.0.255
Palo Alto Networks PA-500 下一代防火墙产品介绍说明书
HARDWARE SPECIFICATIONS I/O • (8) 10/100/1000 MANAGEMENT I/O • (1) 10/100/1000 out-of-band management port, (1) RJ-45 console port STORAGE CAPACITY • 160GB HDD POWER SUPPLY (AVG/MAX POWER CONSUMPTION) • 180W (40W/75W) MAX BTU/HR • 256 INPUT VOLTAGE (INPUT FREQUENCY) • 100-240VAC (50-60Hz) MAX CURRENT CONSUMPTION • 1A@100VAC MEAN TIME BETWEEN FAILURE (MTBF) • 10.16 years
PERFORMANCE AND CAPACITIES1
Firewall throughput (App-ID enabled) Threat prevention throughput IPSec VPN throughput New sessions per second Max sessions IPSec VPN tunnels/tunnel interfaces GlobalProtect (SSL VPN) concurrent users SSL decrypt sessions SSL inbound certificates Virtual routers Security zones Max. number of policies
of port, encryption (SSL or SSH) or evasive technique employed.
• Use the application, not the port, as the basis for all safe enablement policy decisions: allow, deny, schedule, inspect, apply traffic shaping.
下一代防火墙使用手册
下一代防火墙使用手册第一章：引言随着信息技术的迅猛发展，网络安全问题日益凸显，网络攻击事件层出不穷，为保护企业网络的安全，下一代防火墙成为不可或缺的一环。
本手册旨在帮助用户了解和使用下一代防火墙，提高网络安全防护能力。
第二章：下一代防火墙概述2.1 下一代防火墙的定义下一代防火墙是一种集成了传统防火墙、入侵检测系统、应用程序控制和其他安全功能于一体的网络安全设备。
它可以实现对网络流量、应用程序和用户行为的深度检测和防护。
2.2 下一代防火墙的特点（1）应用层识别：能够识别和控制各种应用程序的访问行为。
（2）多维度防护：结合网络安全、应用层安全、行为安全等多个维度进行综合防护。
（3）威胁情报整合：集成威胁情报，实时更新恶意软件和攻击信息。
2.3 下一代防火墙的优势（1）提供深度安全：能够深入识别和阻断各种网络威胁和攻击。
（2）有效管理应用程序：灵活控制和管理各类网络应用程序的访问和使用。
（3）提升网络性能：能够快速有效地过滤和处理大量网络流量。
第三章：下一代防火墙的部署与配置3.1 部署架构根据网络规模和需求确定下一代防火墙的部署位置，一般可以部署在边界网关、数据中心、分支机构等位置，构建多层次、多维度的网络安全防护体系。
3.2 设备连接连接下一代防火墙的各个接口，包括内部网络、外部网络、DMZ等，配置接口地址及路由信息。
3.3 安全策略配置根据实际需求，配置安全策略，包括访问控制、应用程序控制、反病毒、反垃圾邮件等安全功能。
3.4 VPN 配置如需部署 VPN 服务，配置 VPN 策略、隧道和用户认证等参数。
第四章：下一代防火墙的管理与维护4.1 系统管理对下一代防火墙进行管理和维护，包括设备初始化、软件升级、日志备份、系统监控等功能。
4.2 安全管理监测和分析安全事件，对发现的攻击威胁进行处置和应对。
4.3 策略优化定期对安全策略进行调整和优化，提升防护能力，保障网络安全。
第五章：应急响应与排查5.1 安全事件响应在发生安全事件时，迅速进行安全事件的诊断、核实和处置，减少安全事件造成的损失。
深信服下一代防火墙NGAF方案白皮书
深信服科技NGAF 下一代防火墙方案白皮书1.概述 (4)2.深信服下一代防火墙核心价值 (5)2.1.全程保护 (5)2.2.全程可视 (7)3.主要功能介绍 (8)3.1.系统架构设计 (8)3.2.基础防火墙特性 (11)3.3.事前风险预知 (13)3.4.事中安全防护 (18)3.5.事后检测及响应 (31)4.部署模式 (33)4.1.网关模式 (33)4.2.网桥模式 (34)4.3.旁路模式 (36)4.4.双机模式 (37)5.市场表现 (39)5.1.高速增长，年复合增长超70% (39)5.2.众多权威机构一致认可 (40)5.3.为客户需求而持续创新 (40)6.关于深信服 (40)1.概述近几年来，随着互联网+、业务数字化转型的深入推进，各行各业都在加速往互联网化、数字化转型。
业务越来越多的向公众、合作伙伴，第三方机构等开放，在数字化业务带给我们高效和便捷的同时，信息暴露面的增加，网络边界的模糊化以及黑客攻击的产业化使得网络安全事件相较以往成指数级的增加，面对应对层出不穷的新型安全事件如网站被篡改，被挂黑链，0 day 漏洞利用，数据窃取，僵尸网络，勒索病毒等等，传统安全建设模式已经捉襟见肘，面临着巨大的挑战。
问题一：传统信息安全建设，以事中防御为主。
缺乏事前的风险预知，事后的持续检测及响应能力传统意义上的安全建设无论采用的是多安全产品叠加方案还是采用 UTM/NGFW+WAF 的整合类产品解决方案，关注的重点都在于如何防护资产在被攻击过程中不被黑客入侵成功，但是并不具备对于资产的事前风险预知和事后检测响应的能力，从业务风险的生命周期来看，仅仅具备事中的防护是不完整的，如果能在事前做好预防措施以及在时候提高检测和响应的能力，安全事件发生产生的不良影响会大幅度降低，所以未来，融合安全将是安全建设发展的趋势。
问题二：传统安全建设是拼凑的事中防御，缺乏有效的联动分析和防御机制传统安全建设方案，搜集到的都是不同产品碎片化的攻击日志信息，只能简单的统计报表展示，并不能结合业务形成有效的资产安全状态分析。
下一代防火墙方案设计V2
惠尔顿下一代防火墙（NGWF）设计方案深圳市惠尔顿信息技术有限公司2016年5月1日目录一、方案背景 (2)二、网络安全现状 (2)三、惠尔顿下一代防火墙（NGWF）介绍及优势 (7)四、惠尔顿NGWF功能简介 (10)五、部署模式及网络拓扑 (14)六、项目报价 (15)七、售后服务 (16)一、方案背景无锡某部队响应国家公安部82号令号召，加强部队网络安全建设。
针对目前网络存在的涉密、泄密、木马、病毒等进行预防。
二、网络安全现状近几年来，计算机和网络攻击的复杂性不断上升，使用传统的防火墙和入侵检测系统（IDS）越来越难以检测和阻挡。
随着每一次成功的攻击，黑客会很快的学会哪种攻击方向是最成功的。
漏洞的发现和黑客利用漏洞之间的时间差也变得越来越短，使得IT和安全人员得不到充分的时间去测试漏洞和更新系统。
随着病毒、蠕虫、木马、后门和混合威胁的泛滥，内容层和网络层的安全威胁正变得司空见惯。
复杂的蠕虫和邮件病毒诸如Slammer、Blaster、Sasser、Sober、MyDoom等在过去几年经常成为头条新闻，它们也向我们展示了这类攻击会如何快速的传播——通常在几个小时之内就能席卷全世界。
许多黑客正监视着软件提供商的补丁公告，并对补丁进行简单的逆向工程，由此来发现漏洞。
下图举例说明了一个已知漏洞及相应补丁的公布到该漏洞被利用之间的天数。
需要注意的是，对于最近的一些攻击，这一时间已经大大缩短了。
IT和安全人员不仅需要担心已知安全威胁，他们还不得不集中精力来防止各种被称之为“零小时”（zero-hour）或“零日”（zero-day）的新的未知的威胁。
为了对抗这种新的威胁，安全技术也在不断进化，包括深度包检测防火墙、应用网关防火墙、内容过滤、反垃圾邮件、SSL VPN、基于网络的防病毒和入侵防御系统（IPS）等新技术不断被应用。
但是黑客的动机正在从引起他人注意向着获取经济利益转移，我们可以看到一些更加狡猾的攻击方式正被不断开发出来，以绕过传统的安全设备，而社会工程（social engineering）陷阱也成为新型攻击的一大重点。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
惠尔顿下一代防火墙（NGWF）设计方案深圳市惠尔顿信息技术有限公司2016年5月1日目录一、方案背景 (2)二、网络安全现状 (2)三、惠尔顿下一代防火墙（NGWF）介绍及优势 (7)四、惠尔顿NGWF功能简介 (10)五、部署模式及网络拓扑 (14)六、项目报价 (15)七、售后服务 (16)一、方案背景无锡某部队响应国家公安部82号令号召，加强部队网络安全建设。
针对目前网络存在的涉密、泄密、木马、病毒等进行预防。
二、网络安全现状近几年来，计算机和网络攻击的复杂性不断上升，使用传统的防火墙和入侵检测系统（IDS）越来越难以检测和阻挡。
随着每一次成功的攻击，黑客会很快的学会哪种攻击方向是最成功的。
漏洞的发现和黑客利用漏洞之间的时间差也变得越来越短，使得IT和安全人员得不到充分的时间去测试漏洞和更新系统。
随着病毒、蠕虫、木马、后门和混合威胁的泛滥，内容层和网络层的安全威胁正变得司空见惯。
复杂的蠕虫和邮件病毒诸如Slammer、Blaster、Sasser、Sober、MyDoom等在过去几年经常成为头条新闻，它们也向我们展示了这类攻击会如何快速的传播——通常在几个小时之内就能席卷全世界。
许多黑客正监视着软件提供商的补丁公告，并对补丁进行简单的逆向工程，由此来发现漏洞。
下图举例说明了一个已知漏洞及相应补丁的公布到该漏洞被利用之间的天数。
需要注意的是，对于最近的一些攻击，这一时间已经大大缩短了。
IT和安全人员不仅需要担心已知安全威胁，他们还不得不集中精力来防止各种被称之为“零小时”（zero-hour）或“零日”（zero-day）的新的未知的威胁。
为了对抗这种新的威胁，安全技术也在不断进化，包括深度包检测防火墙、应用网关防火墙、内容过滤、反垃圾邮件、SSL VPN、基于网络的防病毒和入侵防御系统（IPS）等新技术不断被应用。
但是黑客的动机正在从引起他人注意向着获取经济利益转移，我们可以看到一些更加狡猾的攻击方式正被不断开发出来，以绕过传统的安全设备，而社会工程（social engineering）陷阱也成为新型攻击的一大重点。
传统的防火墙系统状态检测防火墙原本是设计成一个可信任企业网络和不可信任的公共网络之间的安全隔离设备，用以保证企业的互联网安全。
状态检测防火墙是通过跟踪会话的发起和状态来工作的。
通过检查数据包头，状态检测防火墙分析和监视网络层（L3）和协议层（L4），基于一套用户自定义的防火墙策略来允许、拒绝或转发网络流量。
传统防火墙的问题在于黑客已经研究出大量的方法来绕过防火墙策略。
这些方法包括：●利用端口扫描器的探测可以发现防火墙开放的端口。
●攻击和探测程序可以通过防火墙开放的端口穿越防火墙。
如MSN、QQ等IM（即时通信）工具均可通过80端口通信，BT、电驴、Skype等P2P软件的通信端口是随机变化的，使得传统防火墙的端口过滤功能对他们无能为力。
SoftEther等软件更可以将所有TCP/IP通讯封装成HTTPS数据包发送，使用传统的状态检测防火墙简直防不胜防。
SoftEther可以很轻易的穿越传统防火墙●PC上感染的木马程序可以从防火墙的可信任网络发起攻击。
由于会话的发起方来自于内部，所有来自于不可信任网络的相关流量都会被防火墙放过。
当前流行的从可信任网络发起攻击应用程序包括后门、木马、键盘记录工具等，它们产生非授权访问或将私密信息发送给攻击者。
●较老式的防火墙对每一个数据包进行检查，但不具备检查包负载的能力。
病毒、蠕虫、木马和其它恶意应用程序能未经检查而通过。
●当攻击者将攻击负载拆分到多个分段的数据包里，并将它们打乱顺序发出时，较新的深度包检测防火墙往往也会被愚弄。
●使用笔记本电脑、PDA和便携邮件设备的移动用户会在他们离开办公室的时候被感染，并将威胁带回公司网络。
边界防火墙对于从企业信任的内部网络发起的感染和攻击爱莫能助。
图：被通过知名端口（80端口）攻击的网站数基于主机的防病毒软件基于主机的防病毒软件是部署得最广泛的安全应用，甚至超过了边界防火墙。
基于主机的防病毒软件随着上世纪80年代中期基于文件的病毒开始流行而逐渐普及，如今已成为最受信任的安全措施之一。
但是基于主机的防病毒软件也有它的缺点，包括：●需要安装、维护和保持病毒特征库更新，这就导致了大量的维护开销。
●很多用户并没有打开防病毒软件的自动更新功能，也没有经常的手动更新他们的病毒库，这就导致防病毒软件对最新的威胁或攻击无用。
●用户有时可能会有意或无意的关闭他们的单机安全应用程序。
●最新的复杂的木马程序能对流行的基于主机的防病毒软件进行扫描，并在它们加载以前就将它们关闭–这就导致即使有了最新的病毒特征码，事实上它们还是不能被检测出来。
企业单纯依靠给予主机的防病毒软件和给操作系统和应用程序打补丁的方法会使它们的内部系统面临很高的安全风险。
随着业务中使用了越来越多的面向全球且需要持续运行的关键应用，停机来更新操作系统补丁、病毒特征码和应用升级变得越来越困难。
而公司的Web、Email、电子商务、数据库、应用等服务器由于长时间不打补丁会很容易在新的攻击方式下暴露出它们的漏洞。
仅仅依靠基于主机的防病毒软件的另一个缺点是，事实上有害代码在被每一个主机的安全软件检测和阻挡之前就已经进入了公司的网络，这就大大威胁了企业关键业务系统和网络应用。
采用功能单一的产品的缺点要想构建一个立体的安全防护体系，必须要考虑多层次的防护，包括：1.防火墙2.VPN网关3.入侵防御系统（IPS）4.网关防病毒5.网页及URL过滤6.应用程序过滤及带宽控制采用功能单一的产品会带来成本增加，管理难度高的问题。
如果想部署一个立体的安全防护体系，必须要将很多设备串接在网络中，这样会造成网络性能下降，故障率高，管理复杂。
三、惠尔顿下一代防火墙（NGWF）介绍及优势下一代防火墙，即Next Generation Firewall，简称NG Firewall，是一款可以全面应对应用层威胁的高性能防火墙。
通过深入洞察网络流量中的用户、应用和内容，并借助全新的高性能单路径异构并行处理引擎，NGFW能够为用户提供有效的应用层一体化安全防护，帮助用户安全地开展业务并简化用户的网络安全架构。
作为应用层安全设备的领先厂商，惠尔顿公司的下一代防火墙安全平台通过动态威胁防御技术、风险分析扫描引擎提供了无与伦比的功能和检测能力。
惠尔顿下一代防火墙具有以下优势：精细的应用层安全防护惠尔顿采用DPI的识别方式使得应用层协议可视化可控，NGWF可以根据应用的行为和特征实现对应用进行识别和控制，而不仅仅依赖于端口或标准协议，摆脱了传统设备只能通过IP地址或者五元组控制的粗粒度，即使加密过的数据流也能进行管控。
目前，NGWF可以识别700多种应用，识别上千种网络行为动作，还可以与多种认证系统（AD、LDAP、Radius等）无缝对接，自动识别出网络当中IP地址【MAC地址、用户身份】对应的用户信息，并建立组织的用户分组结构；满足了普通互联网边界行为管控的要求。
可以识别和控制丰富的内网应用，如迅雷P2P、RDP、Lotus Notes、RTX、Citrix、Oracle EBS、金蝶EAS、用友NC、U8、SAP、LDAP等，针对用户应用系统更新服务的诉求，NGWF还可以精细识别Microsoft SHAREPOINT、奇虎360、Symantec、 Sogou、Kaspersky、McNGWFee、金山毒霸、江民杀毒等软件更新,保障在安全管控严格的环境下，系统软件更新服务畅通无阻。
因此，通过应用的协议识别制定的二到七层的应用访问控制策略，可以为用户提供更加精细和直观化控制界面，在一个界面下完成多套设备的运维工作，提升工作效率。
WEB应用的安全防护惠尔顿融合了漏洞防护、web安全防护等多种安全技术，具备12000+条漏洞特征库、木马插件等恶意内容特征库、 800+Web应用威胁特征库，可以全面识别各种应用层和内容级别的各种安全威胁。
提供URL过滤、文件过滤、ActiveX过滤、脚本过滤等多种WEB安全防护手段通过对应用流中的数据报文内容进行探测，从而确定数据报文的真正应用应用层带宽管理惠尔顿内置专业流量管理产品以应用对象设置、用户对象设置、时间对象设置、带宽通道对象设置、用户自定义对象设置基础，通过应用控制、流量管理、内容过滤等策略，最大限度地满足用户在流量管理方面的不同需求，实现用户网络人性化的精确管理。
专业流量管理产品满足了企业不同业务主次之分，系统分为0-7共8个QoS优先级控制策略，从而为指定的应用和通道提供差异化的影响级别。
同时也可以为特定的实时应用，如视频会议、VOIP等，预留固定的带宽，保证实时应用的流畅使用。
IPS漏洞防护支持12000多种流量异常特征库，并可以按优先级区分不同类型的漏洞攻击，按“高”，“中”，“低”区分；包括敏感信息泄露DOS攻击/尝试获取用户特权的攻击/尝试获取管理员特权的攻击/网络流量中发现可执行文件的注入/可疑关键字和可疑文件的注入/远程过程调用告警/网络木马程序注入/客户端使用可疑端口通信/可疑的网络扫描/篡改标准协议和非法事件的告警/潜在的web攻击/ICMP告警/异常内容告警/公司机密泄露/尝试用默认账号窃取信息等。
网络病毒防护病毒库数量：100,000+，定期更新，基于流引擎查毒技术，针对HTTP、FTP、SMTP、POP3、IMAP等协议进行查杀。
线速的状态检测防火墙支持线路的带宽叠加，充分利用多条internet接入；支持多线路的策略路由，智能选择更快的线路接入internet；支持三种工作模式（NAT模式、透明桥模式、路由模式）；支持状态检测防火墙（基于IP/IP段/IP组、IP/MAC、PORT、时间控制等策略组合）；支持关键字、文件类型、域名等内容过滤；支持VLAN与静态路由四、惠尔顿NGWF功能简介五、部署模式及网络拓扑部署模式：1.网关模式2.路由模式3.桥模式六、项目报价产品质保期一年，一年内免费维护更新协议库。
超过质保期每年交维护更新费用，费用价格是产品单价的10%七、售后服务5 * 8的电话和现场支持7 *24 的会员管理网络平台及呼叫服务2小时响应承诺制服务优点：凡是产品问题，都只需通过一个技术支持源即可解决。
·通过惠尔顿会员管理网络平台，客户和产品信息都存在统一的数据库中，最终用户的技术人员可以高效地获得所需的产品和历史维护记录信息，积极主动地提高知识和网络整体操作水平。
·如果出现通过会员管理系统无法解决的重大问题，可以在24小时内与惠尔顿工程师取得联系，排除故障。
·如果发生的问题不能快速地得到解决，惠尔顿有一个问题上报流程，确保服务请求的连续性。