深信服NGAF下一代应用防火墙产品介绍

合集下载

深信服下一代防火墙APT攻击防范首选利器

下一代防火墙- APT攻击防护首选利器一认识APT攻击互联网攻击与防御技术一直以来都是此消彼长，交替前行，根据CNCERT/CC 2012中国互联网网络安全报告分析，一种攻击特征更隐蔽、持续性更长、影响范围更大、技术手段更加灵活的网络间谍攻击对企业和组织将带来越来越大的安全威胁，这就是大家热谈的APT攻击。

APT 全称Advanced Persistent Threat（高级持续性威胁），是以窃取核心资料为目的，针对客户所发动的网络攻击和侵袭行为，是一种蓄谋已久的“恶意商业间谍威胁”。

这种行为往往经过长期的经营与策划，并具备高度的隐蔽性。

APT的攻击手法，在于隐匿自己，针对特定对象，长期、有计划性和组织性地窃取数据，这种发生在数字空间的偷窃资料、搜集情报的行为，就是一种“网络间谍”的行为。

二APT攻击特征(1)、攻击者的诱骗手段往往采用恶意网站，用钓鱼的方式诱使目标上钩；(2)、攻击者也经常采用邮件方式攻击受害者，这些夹杂着病毒的邮件内容往往让疏于防范的受害者轻易中招；(3)、网站往往是一个企业或组织的对外门户，很多企业或组织对网站缺乏良好的安全防护，对攻击者而言，网站如同攻击过程中的桥头堡，是攻击者渗透进内网的重要捷径；(4)、一旦企业或组织的内网终端或者门户网站感染恶意程序，成为僵尸网络主机，将频繁进行内网隐私数据信息嗅探；(5)、通过已感染主机做反弹跳板，黑客可以对目标网络进行持续性的账户/口令猜解或者数据监听，从而获取攻击目标登陆权限；(6)、目前绝大多数安全防护设备【传统网络层防火墙、IPS等等】只能做到从外到内的单向危险流量检测和防护，从内到外主动发起的数据传输缺乏有效的检测和防范机制，给APT攻击者开通了一条灰色的数据运输通道。

攻击者通过控制攻击目标，源源不断地从受害企业和组织获取数据信息。

从上述APT攻击特征进行分析，不难发现APT攻击已经不再是传统认识观念中的单一网络攻击行为，针对APT攻击，采取多款安全产品串行堆叠的传统做法已经无法有效应对，市场迫切需要新一种新的防御方案。

深信服下一代防火墙NGAF产品彩页

深信服下一代防火墙NGAF近年来，越来越多的网络安全事件告诉我们，安全风险比以往更加难以察觉。

随着网络安全形势逐渐恶化，网络攻击愈加频繁，用户对自己的网络安全建设是否合规、完善并没有把握。

该如何加强安全建设？安全建设的核心问题是什么？采用何种安全防护手段更为合适？安全建设该如何体现价值？这些问题已成为困扰用户安全建设的关键问题。

一、企业级网络安全建设需要什么1.传统割裂的各种安全产品？传统组合方案问题多传统产品组合方案缺陷一：不同的安全设备看到的是不同的攻击类型，信息是割裂的，难以对安全日志进行统一分析；安全设备在有攻击时才能发现问题，在没有攻击的情况下，就无法看到业务漏洞，但这并不代表业务漏洞不存在；即使发现了攻击，也无法判断业务系统是否真正存在安全漏洞，还是无法指导用户进行安全建设。

传统产品组合方案缺陷二：有几种设备就可以防护几种攻击，但大部分客户无法全部部署，所以安全存在短板；即使全部部署，这些设备也不对服务器和终端向外主动发起的业务流量进行防护，在面临新的未知攻击的情况下缺乏有效的防御措施，还是存在被绕过的风险。

2.“雇佣兵”式的安全服务？即使采购了安全设备，但是缺乏专业的安全人员来进行及时有效的安全运维也是企业在安全建设中遇到的难题。

以往只能通过安全服务商采购安全服务，我们称为”雇佣兵”式的安全服务。

虽然短期内可以快速提升安全防护效果，满足合规要求，但是安全咨询和安全服务的交付质量，严重依赖于安全服务人员的水平，一旦安全专家离开了，那安全服务的交付质量就无法得到保障。

虽然买回来一堆完备的安全设备，也会因为专业程度太高，缺乏专家水平的人员运维，让这些设备变成了摆设，用户通过自己的力量并不能够真正地掌控网络安全。

3.企业级的网络安全到底需要什么？诉求一：看不看得到安全风险？只有看到L2-L7层的攻击才能了解网络的整体安全状况，基于传统多产品的组合方案使大多数用户没有办法进行统一分析，也就无法快速定位安全问题，同时也加大了安全运维的工作量。

深信服下一代应用层防火墙彩页

国内下一代防火墙第一品牌深信服下一代防火墙（Next-Generation Application Firewall）NGAF是面向应用层设计，能够精确识别用户、应用和内容，具备完整安全防护能力，能够全面替代传统防火墙，并具有强劲应用层处理能力的全新网络安全设备。

NGAF解决了传统安全设备在应用识别、访问控制、内容安全防护等方面的不足，同时开启所有功能后性能不会大幅下降。

作为传统防火墙的升级替代产品，深信服NGAF不同于工作在L2-L4层的传统防火墙，可以对全网流量进行双向深入数据内容层面的全面透析。

在安全策略制定方面，区域别于传统防火墙五元组安全策略，深信服NGAF可对L2-L7层更多的元素（如，用户、应用类型、URL、数据内容等）制定双向的安全访问策略，使安全策略更精细、更有效，且满足业务的合规性；在安全防护能力方面，提升了传统的抗攻击的能力，不仅能防护网络层的攻击，针对来源更广泛、攻击更容易、危害更大的应用层攻击也可以进行防护，实现L2-L7层的安全防护。

同时，深信服NGAF采用全新的软硬件架构，减小在多种复杂的安全策略和L2-L7层多功能防护功能全部开启时性能的消耗，实现应用层高性能。

功能列表项目具体功能部署方式支持路由，透明，旁路，虚拟网线，混合部署模式；实时监控实时提供CPU、内存、磁盘占用率、会话数、在线用户数、网络接口的鞥设备资源信息；提供安全事件信息，包括最近安全事件、服务器安全事件、终端安全事件等，事件信息提供发生事件、源IP、目的IP、攻击类型以及攻击的URL等；提供实时智能模块间联动封锁的源IP 以便实现动态智能安全管理；网络适应性支持ARP代理、静态ARP绑定，配置DNS及DNS代理、支持DHCP中继、DHCP服务器、DHCP客户端；支持SNMP v1，v2，v3，支持SNMP Trap；支持静态路由、RIP v1/2、OSPF、策略路由；支持链路探测，端口聚合，接口联动；包过滤与状态检测提供静态的包过滤和动态包过滤功能；支持的应用层报文过滤，包括：应用层协议：FTP、HTTP、SMTP、RTSP、H.323（Q.931，H.245，RTP/RTCP）、SQLNET、MMS、PPTP等；传输层协议：TCP、UDP；NAT地址转换支持多个内部地址映射到同一个公网地址、多个内部地址映射到多个公网地址、内部地址到公网地址一一映射、源地址和目的地址同时转换、外部网络主机访问内部服务器、支持DNS 映射功能；可配置支持地址转换的有效时间；支持多种NAT ALG，包括DNS、FTP、H.323、SIP等抗攻击特性支持防御Land、Smurf、Fraggle、WinNuke、Ping of Death、Tear Drop、IP Spoofing、SYN Flood、ICMP Flood、UDP Flood、DNS Query Flood、ARP欺骗攻击防范、ARP主动反向查询、TCP报文标志位不合法攻击防范、支持IP SYN速度限制、超大ICMP报文攻击防范、地址/端口扫描的防范、DoS/DDoS攻击防范、ICMP重定向或不可达报文控制等功能，此外还支持静态和动态黑名单功能、MAC和IP绑定功能；IPSEC VPN 支持AES、DES、3DES、MD5、SHA1、DH、RC4等算法，并且支持扩展国密办SCB2等其他加密算法支持MD5及SHA-1验证算法；支持各种NAT网络环境下的VPN组网；支持第三方标准IPSec VPN进行对接；*总部与分支有多条线路，可在线路间一一进行IPSecVPN 隧道建立，并设置主隧道及备份隧道，对主隧道可进行带宽叠加、按包或会话进行流量平均分配，主隧道断开备份隧道自动启用，保证IPSecVPN连接不中断；可为每一分支单独设置不同的多线路策略；单臂部署下同样支持多线路策略；应用访问控制策略支持对1000种以上应用、2500种以上应用动作，可以识别P2P、IM、OA办公应用、数据库应用、ERP应用、软件升级应用、木马外联、炒股软件、视频应用、代理软件、网银等协议；支持自定义规则; 提供基于应用识别类型、用户名、接口、安全域、IP地址、端口、时间进行应用访问控制列表的制定；APT检测内置超过20万的病毒，木马，间谍软件等恶意软件特征库，并且在不断的持续更新特征内容；支持通过安全云实现虚拟沙盒动态检测技术。

深信服下一代防火墙介绍

传统防火墙厂商
从90年代随着我国第一波信息化安全浪潮涌现了老牌安全公司，同时2000年之后涌现了山石网科，定位为传统防火墙厂商，其防火墙专注于传统防火墙功能，如网络适应性、访问控制协议、会话管理等基本功能。典型代表：天融信、启明星辰、绿盟科技
国外厂商
在中国的外资厂商，国外厂商采用渠道化战略，定位中高端客户，通常高度产品化，以技术路线运作项目典型代表：Fortinet（飞塔）、 Checkpoint、Palo Alto
集成学习
深度神
SAVE
经网络
深信服人工智能杀毒引擎SAVE
Sangfor Anti-Virus Engine
自然语言处理
创新人工智能无特征技术准确检测未知病毒
Bad Rabbit（17年10月出现的最新勒索病毒），年后最新出现的 GlobeImposter 2.0 勒索病毒均能使用旧模型查杀。
解决之道之二：简单有效
全程可视
风险的可视保护过程的可视保护结果的可视
优势1
简单交付
一体化策略部署全过程运营中心综合风险报表
优势 2
高效稳定
单次解析多模匹配算法软硬件双冗余架构
优势 3
1 防火墙需求背景 2 产品功能 3 价值主张 4 市场地位
为什么之选深信服NGAF？
高速增长，年复合增长超70% 2011年发布国内首台下一代防火墙 4万家用户一致好评 5.4万台在线稳定运行
简单有效
全程可视+简单交付
解决之道之一：融合安全
事前预知
事中防御
事后检测／响应
解决之道之一：融合安全
潜伏威胁事件检测和分析 4
安全策略加固和有效性自检

★深信服AF应用防火墙NGAF产品培训资料

SAP ERP系统安全加固
国美应用效果：
1）针对SAP ERP系统的安全漏洞进行针对
FW FW
性防护
2）针对底层的Linux操作系统漏洞进行安
全防护 3）启用了IPS和WAF防扫描防探测功能
NGAF NGAF
4）启用了安全模块的智能联劢功能
内网
SAP服务器区
产品部署方式
路由模式
WEB交互系统 WEB门户网站
1、安全防护更全面，融合了IPS以及WAF功能； 2、强化的web攻击防护，可防御各类SQL注入变种攻击 3、独特的敏感信息防泄漏，与门为高端用户打造 4、网关融合网页防篡改，对服务器稳定性和性能无影响
解决方案卖点——网站一体化安全防护
网站一体化安全防护
人事考试网应用效果：
NGAF NGAF
功能卖点
竞争优势
1、集成SANGFOR 优秀的IPSEC VPN功能 2、基于应用的流控 3、融合应用攻击防护 4、高效流式病毒过滤 5、集中管理
1、融合业界市场占有率第一的IPSEC VPN，实现最优的安全组网 2、L2-L7层流量清洗，业界最完整的一体化安全防护方案 3、一体化网关实现安全组网不流量清洗，建设成本更低
1、虚拟补丁解决系统漏洞问题 2、web安全保障应用层面安全 3、信息泄露防护防止拖库暴库，加固数据层面安全防护能力 4、网页篡改防护保证 web页面完整性，加固数据层面安全防护能力
解决方案卖点——业务系统安全加固
一站式应用安全加固部署方案
解决方案卖点——业务系统安全加固
节点纵深防御应用安全加固部署方案
解决方案卖点——业务系统敏感信息防泄漏
网银区服务器数据防泄露

NGAF下一代应用防火墙系列产品

数量 1 1 1 1 一年 1 一年一年 1 1 1 1 一年 1 一年一年 1 1 1 1 一年 1 一年一年 1 1 1 1 一年 1 一年一年 1 1 1 1 一年 1 一年一年 1 1 1 1 一年 1 一年一年 1 1
比例
价格（元） 39800.00
-
10% 5% 20% 10% 10%
3980.00 1990.00 7960.00 3980.00 3980.00 79800.00
IPS漏洞防护+服务器防护功能模块更新费用购买模块起一年后每年升级费
-
10% 5% 20% 1Байду номын сангаас% 10%
7980.00 3990.00 15960.00 7980.00 7980.00 119800.00
14980.00 7490.00 29960.00 14980.00 14980.00 189000.00
IPS漏洞防护+服务器防护功能模块更新费用购买模块起一年后每年升级费
-
10% 5% 20% 10% 10%
18900.00 9450.00 37800.00 18900.00 18900.00 239800.00
每增加一条Internet线路(设备自带一条Internet线路授权) 每增加一个IPSEC VPN用户每增加一个含DKEY的IPSEC VPN用户每接入一个第三方IPSEC VPN网关
1 1 1 1
9360.00 422.00 702.00 1872.00
1 1 一年 1 一年一年 1 1 1 1 一年 1 一年一年 1 1 1 1 一年 1 一年一年 1 1 1 1 一年 1 一年一年 1 1 1 1 一年 1 一年一年 10% 5% 20% 10% 10% 108980.00 54490.00 217960.00 108980.00 108980.00 10% 5% 20% 10% 10% 74980.00 37490.00 149960.00 74980.00 74980.00 1089800.00 10% 5% 20% 10% 10% 56980.00 28490.00 113960.00 56980.00 56980.00 749800.00 10% 5% 20% 10% 10% 46980.00 23490.00 93960.00 46980.00 46980.00 569800.00 10% 5% 20% 10% 10% 36980.00 18490.00 73960.00 36980.00 36980.00 469800.00

(完整word版)深信服下一代防火墙NGAF与传统FW功能对比

消极控制：只阻止策略所设置的流量，允许其它所有流量
FW:粗糙的管理模式，使得IT主管经常考虑“如何禁止最有效”；
NGAF：不但可以阻断非法流量，还可以针对放行流量的优先级别进行带宽保障，确保关键业务流量有限转发，稳定运行
用户信息收集
可作为策略元素之一在日地址会给网络管理带来很大难度；
状态检测技术：基于端口和协议，应用协议经常误识别。
FW:应用与端口或协议无关；
NGAF：具有应用完全可视性及细粒度控制
应用流量处理模式
主动控制：只允许合法的流量，阻止所有非法流量
应用层QoS：提供针对应用细分的带宽保障，确保关键业务的优先处理，如自动识别出OA、视频、系统升级等流量，并给予8M以上带宽
强化的服务器防护
NGAF提供针对服务器提供全面应用防护，如缓冲区溢出、SQL注入、密码破解、应用探测、跨站脚本等
没有
针对网络上部署的关键业务系统服务器提供全面的防护，避免服务器被攻击而导致业务终端
性能
单通道并行扫描机制，实现应用层万兆级性能，微妙级延时
网络层万兆级性能
NGAF：高性能、低延时，确保实时性要求高的业务稳定运行
NGAF：基于用户和组的应用管理，使得分支机构运维更加智能和简便。
应用层安全防护功能
NGAF可以提供漏洞防护、病毒过滤、恶意Web内容等应用层威胁流量进行全面的检测和过滤，可以防护2000+种漏洞、20万种以上的恶意内容过滤
没有
FW：无法针对合法应用中的威胁流量进行深度检测和处理
NGAF：针对数据包的L2-L7进行全面的过滤和检测，防止终端病毒通过广域网进行传播，阻塞有限的广域网带宽。
深信服下一代防火墙NGAF与传统FW功能对比
NGAF

深信服NGA下F一代应用防火墙产品介绍-PPT

客户三：政府机构网络安全防护
总结词
政府机构需要严格遵守相关法律法规，保护国家安全和公民隐私，深信服下一代应用防火墙提供了可靠的安全解决方案。
详细描述
深信服下一代应用防火墙符合国家相关法律法规的要求，为政府机构提供了全面的安全防护，包括对网络攻击的检测和防御、对敏感信息的加密和保护等。该产品还具有高度的可定制性和可扩展性，能够满足政府机构不断变化的安全需求。
日志与报表分析
提供详细的日志和报表分析功能，帮助管理员了解设备运行状态和安全状况。
安全性强
多层次防御
采用多层次防御机制，有效防范各类网络威胁和攻击。
深度内容检测
具备深度内容检测功能，能够检测并阻止各类恶意文件和攻击行为。
全面支持加密技术
全面支持各种加密技术，确保数据传输安全可靠。
04 适用场景
业和高流量场景的需求。
低延迟
该产品具备低延迟特性，确保网络传输速度快，不卡顿，为用户提供流畅的网络体验。
多核并行处理
采用多核并行处理技术，实现高效的数据处理能力，确保防火墙运行稳定。
易于管理和维护
直观的GUI界面
提供直观的图形用户界面，方便管理员进行配置、监控和管理。
自动更新与漏洞修复
支持自动更新和漏洞修复功能，降低维护成本和时间。
产品目标
1
提供全面的应用层安全防护，有效抵御各类网络威胁。
2
简化网络安全架构，降低企业安全运维成本。
3
提升企业业务连续性和数据安全性。
产品特点
深度检测与防护
采用深度包检测技术，对应用层流量进行全面检测与防护，有效防御各类网络威胁。
智能识别与控制
支持多维度的流量识别与控制，包括IP地址、域名、URL、文件类型等，实现精细化的安全策略管理。

SANGFOR_AF_产品简介

SANGFOR_AF_产品简介Gartner定义下⼀代防⽕墙源引⾃：Gartner《Defining the Next-Generation Firewall》⼀、防⽕墙必须演进防⽕墙必须演进，才能够更主动地阻⽌新威胁(例如僵⼫⽹络和定位攻击)。

随着攻击变得越来越复杂，企业必须更新⽹络防⽕墙和⼊侵防御能⼒来保护业务系统。

不断变化的业务流程、企业部署的技术，以及威胁，正推动对⽹络安全性的新需求。

不断增长的带宽需求和新应⽤架构(如Web2.0)，正在改变协议的使⽤⽅式和数据的传输⽅式。

安全威胁将焦点集中在诱使⽤户安装可逃避安全设备及软件检测的有针对性的恶意执⾏程序上。

在这种环境中，简单地强制要求在标准端⼝上使⽤合适的协议和阻⽌对未打补丁的服务器的探测，不再有⾜够的价值。

为了应对这些挑战，防⽕墙必须演进为被著名市场研究公司Gartner称之为“下⼀代防⽕墙(NextGenerationFirewall，简称NGFW)”的产品。

如果防⽕墙⼚商不进⾏这些改变的话，企业将要求通过降价来降低防⽕墙的成本并寻求其他安全解决⽅案来应对新的威胁环境。

⼆、什么是NGFW?Gartner将⽹络防⽕墙定义为在不同信任级别的⽹络之间实时执⾏⽹络安全政策的联机控制。

Gartner使⽤“下⼀代防⽕墙”这个术语来说明防⽕墙在应对业务流程使⽤IT的⽅式和威胁试图⼊侵业务系统的⽅式发⽣变化时应采取的必要的演进。

NGFW⾄少具有以下属性：1．⽀持联机“bump-in-the-wire”配置，不中断⽹络运⾏。

2．发挥⽹络传输流检查和⽹络安全政策执⾏平台的作⽤，⾄少具有以下特性：（1）标准的第⼀代防⽕墙能⼒：包过滤、⽹络地址转换(NAT)、状态性协议检测、VPN等等。

（2）集成的⽽⾮仅仅共处⼀个位置的⽹络⼊侵检测：⽀持⾯向安全漏洞的特征码和⾯向威胁的特征码。

IPS与防⽕墙的互动效果应当⼤于这两部分效果的总和。

例如提供防⽕墙规则来阻⽌某个地址不断向IPS加载恶意传输流。

AF防火墙参数全系列型

国内下一代防火墙第一品牌
深信服下一代防火墙（Next-GenerationApplicationFirewall）NGAF是面向应用层设计，能够精确识别用户、应用和内容，具备完整安全防护能力，能够全面替代传统防火墙，并具有强劲应用层处理能力的全新网络安全设备。

NGAF解决了传统安全设备在应用识别、访问控制、内容安全防护等方面的不足，同时开启所有功能后性能不会大幅下降。

区别于传统的网络层防火墙，NGAF具备L2-L7层的协议的理解能力。

不仅能够实现网络层访问控制的功能，且能够对应用进行识别、控制、防护，解决了传统防火墙应用层控制和防护能力不足的问题。

区别于传统DPI技术的入侵防御系统，深信服NGAF具备深入应用内容的威胁分析能力，具备双向的内容检测能力为用户提供完整的应用层安全防护功能。

同样都能防护web攻击，与web应用防火墙关注web应用程序安全的设计理念不同，深信服下一代防火墙NGAF关注web系统在对外发布的过程中各个层面的安全问题，为对外发布系统打造坚实的防御体系。

性能参数
功能列表。

AF防火墙参数：全系列型号

国内下一代防火墙第一品牌
深信服下一代防火墙（Next-Generation Application Firewall）NGAF是面向应用层设计，能够精确识别用户、应用和内容，具备完整安全防护能力，能够全面替代传统防火墙，并具有强劲应用层处理能力的全新网络安全设备。

NGAF 解决了传统安全设备在应用识别、访问控制、内容安全防护等方面的不足，同时开启所有功能后性能不会大幅下降。

区别于传统的网络层防火墙，NGAF具备L2-L7层的协议的理解能力。

不仅能够实现网络层访问控制的功能，且能够对应用进行识别、控制、防护，解决了传统防火墙应用层控制和防护能力不足的问题。

区别于传统DPI技术的入侵防御系统，深信服NGAF具备深入应用内容的威胁分析能力，具备双向的内容检测能力为用户提供完整的应用层安全防护功能。

同样都能防护web攻击，与web应用防火墙关注web应用程序安全的设计理念不同，深信服下一代防火墙NGAF 关注web系统在对外发布的过程中各个层面的安全问题，为对外发布系统打造坚实的防御体系。

深信服下一代防火墙NGAF方案白皮书

深信服科技NGAF 下一代防火墙方案白皮书1.概述 (4)2.深信服下一代防火墙核心价值 (5)2.1.全程保护 (5)2.2.全程可视 (7)3.主要功能介绍 (8)3.1.系统架构设计 (8)3.2.基础防火墙特性 (11)3.3.事前风险预知 (13)3.4.事中安全防护 (18)3.5.事后检测及响应 (31)4.部署模式 (33)4.1.网关模式 (33)4.2.网桥模式 (34)4.3.旁路模式 (36)4.4.双机模式 (37)5.市场表现 (39)5.1.高速增长，年复合增长超70% (39)5.2.众多权威机构一致认可 (40)5.3.为客户需求而持续创新 (40)6.关于深信服 (40)1.概述近几年来，随着互联网+、业务数字化转型的深入推进，各行各业都在加速往互联网化、数字化转型。

业务越来越多的向公众、合作伙伴，第三方机构等开放，在数字化业务带给我们高效和便捷的同时，信息暴露面的增加，网络边界的模糊化以及黑客攻击的产业化使得网络安全事件相较以往成指数级的增加，面对应对层出不穷的新型安全事件如网站被篡改，被挂黑链，0 day 漏洞利用，数据窃取，僵尸网络，勒索病毒等等，传统安全建设模式已经捉襟见肘，面临着巨大的挑战。

问题一：传统信息安全建设，以事中防御为主。

缺乏事前的风险预知，事后的持续检测及响应能力传统意义上的安全建设无论采用的是多安全产品叠加方案还是采用 UTM/NGFW+WAF 的整合类产品解决方案，关注的重点都在于如何防护资产在被攻击过程中不被黑客入侵成功，但是并不具备对于资产的事前风险预知和事后检测响应的能力，从业务风险的生命周期来看，仅仅具备事中的防护是不完整的，如果能在事前做好预防措施以及在时候提高检测和响应的能力，安全事件发生产生的不良影响会大幅度降低，所以未来，融合安全将是安全建设发展的趋势。

问题二：传统安全建设是拼凑的事中防御，缺乏有效的联动分析和防御机制传统安全建设方案，搜集到的都是不同产品碎片化的攻击日志信息，只能简单的统计报表展示，并不能结合业务形成有效的资产安全状态分析。

深信服下一代防火墙NGAF 品牌实力介绍

深信服下一代防火墙中国第一品牌下一代防火墙已是大势所趋国际三大权威IT调研机构一致推荐优先使用下一代防火墙『我们预计到2014 年，35% 的企业将会安装下一代防火墙，而60%用户新购买的防火墙将是NGFW，并且它会拥有紧密集成的入侵防护、应用可视性和控制功能。

』——Gartner『随着市场对下一代安全网关的需求增加，预计到2018年，这一比例将达到80%，2013到2018年的5年复合增长率超过40%。

』——IDC『我们不再将整合式防火墙(Integrated Appliance)中入侵检测(IDS)/入侵防御(IPS)的市场份额取出，而是将下一代防火墙中的各个功能视为一个整体，称为”整合式网络安全设备”。

』——Frost&Sullivan90%的主流安全厂商已发布下一代防火墙目前国内主流的安全厂商已发布下一代防火墙，而作为国内下一代防火墙第一品牌，早在2011年，深信服就发布国内首款下一代防火墙NGAF，自发布后国内追随者不断，但销量一直稳居市场份额榜首，拥有最多用户数量。

截止2014年9月，深信服下一代防火墙在全国的用户累计超过8000家，在线稳定运行的设备超过15000台。

用户覆盖各行各业，其中包括60多家部委省厅级单位、80多家运营商金融单位、90多家知名教育单位、超过百家大型企业，国资委下属央企集团，用户数量遥遥领先。

68%的用户已优先选择下一代防火墙根据深信服往年的销售数据分析，在有安全建设需求的客户当中已有68%的客户购买了下一代防火墙。

国内第二代防火墙标准发布2015年2月4日由公安部网络安全保卫局、公安部科技信息化局和公安部第三研究所指导，深信服科技等国内主流安全厂商主办的第二代防火墙标准联合发布会在京召开，标志着国内下一代防火墙产品的技术选型有了权威的指导标准。

而深信服则是最早参与起草第二代防火墙标准的国内安全厂商，在标准的制定过程当中积极参与主导，提供了大量的技术咨询，建议和修订工作，历史两年最终完成该标准的出台和发布。

下一代防火墙产品知识介绍

威胁检测系列
➢ 恶意代码发现 ➢ 蜜罐系统 ➢ 底层硬件威胁检查 ➢ 网络边界完整性检查
工控安全系列
➢ 工控防火墙 ➢ 工控入侵检测/工控业
务检测 ➢ 工控漏扫/工控安全运
维平台 ➢ 工控终端控制/工控无
线安全 ➢…
传统上，防火墙的安全能力包括：
• 基于IP五元组的访问控制策略 • 基于静态特征匹配的应用层安全防护 • 对网络行为和部分明文数据记录日志 • 策略配置和威胁处理依赖管理员技术能力 • 单纯防火墙形态可支撑数G的业务流量
➢ 终端管理 ➢ 终端防泄密 ➢ 景云网络防病毒 ➢ 移动设备管理 ➢ 数据安全（文档加密）
泰合系列
➢ 安全管理平台（SOC） ➢ 业务支撑平台（BSM） ➢ 综合日志审计（SA） ➢ 网络行为分析（NBA） ➢ 应用性能管理（APM） ➢ 4A平台 ➢ 弱口令核查系统 ➢ 漏洞管理平台
合众系列
➢ 视频安全交换系统 ➢ 光盘物理摆渡系统 ➢ 电子文档访问控制 ➢ 分布式数据库系统 ➢ 大数据基础平台 ➢ 数据集成系统 ➢ 请求服务系统 ➢ 集中监控管理系统
平面（安全业务处理）动态分配不同平面的CPU资源，无分流瓶颈或业务瓶颈开启全部安全特性，64字节小包吞吐量可达100G bps
T系列NGFW有效提升您的下一代安全能力
基础
高性能架构
基于第三代多核并行化架构，提供高达160G的吞吐能力和超万兆实网性能。
核心价值
安全控制能力
基于七元组、多维度的安全控制能力，涵盖访问控制、会话控制、行为控制和流量控制
Internet
可疑文件发送至APT检测引擎
分析样本提取特征
– T系列下一代防火墙支持与启明星辰天清APT形成安全解决方案，为客户提供面向0DAY/APT攻击的纵深防护体系。

SANGFOR深信服下一代防火墙介绍（AF-1120AF-1210）

SANGFOR深信服下⼀代防⽕墙介绍（AF-1120AF-1210）国内下⼀代防⽕墙第⼀品牌深信服下⼀代防⽕墙（Next-Generation Application Firewall）NGAF是⾯向应⽤层设计，能够精确识别⽤户、应⽤和内容，具备完整安全防护能⼒，能够全⾯替代传统防⽕墙，并具有强劲应⽤层处理能⼒的全新⽹络安全设备。

NGAF解决了传统安全设备在应⽤识别、访问控制、内容安全防护等⽅⾯的不⾜，同时开启所有功能后性能不会⼤幅下降。

区别于传统的⽹络层防⽕墙，NGAF具备L2-L7层的协议的理解能⼒。

不仅能够实现⽹络层访问控制的功能，且能够对应⽤进⾏识别、控制、防护，解决了传统防⽕墙应⽤层控制和防护能⼒不⾜的问题。

区别于传统DPI技术的⼊侵防御系统，深信服NGAF具备深⼊应⽤内容的威胁分析能⼒，具备双向的内容检测能⼒为⽤户提供完整的应⽤层安全防护功能。

同样都能防护web攻击，与web应⽤防⽕墙关注web应⽤程序安全的设计理念不同，深信服下⼀代防⽕墙NGAF关注web系统在对外发布的过程中各个层⾯的安全问题，为对外发布系统打造坚实的防御体系。

关键指标（产品参数可能有改动，以深信服公司公告为准）功能参数项⽬具体功能部署⽅式⽀持⽹关、⽹桥、旁路和混杂模式；实时监控实时提供CPU、内存、磁盘占⽤率、会话数、在线⽤户数、⽹络接⼝的鞥设备资源信息；提供安全事件信息，包括最近安全事件、服务器安全事件、终端安全事件等，事件信息提供发⽣事件、源IP、⽬的IP、攻击类型以及攻击的URL等；提供实时智能模块间联动封锁的源IP 以便实现动态智能安全管理；⽹络适应性⽀持静态路由、RIP v1/2、OSPF、策略路由；⽀持ARP、域名解析、DHCP中继、DHCP 服务器、DHCP客户端等IP服务；包过滤与状态检测提供静态的包过滤和动态包过滤功能；⽀持的应⽤层报⽂过滤，包括：应⽤层协议：FTP、HTTP、SMTP、RTSP、H.323（Q.931，H.245，RTP/RTCP）、SQLNET、MMS、PPTP等；传输层协议：TCP、UDP；NAT地址转换⽀持多个内部地址映射到同⼀个公⽹地址、多个内部地址映射到多个公⽹地址、内部地址到公⽹地址⼀⼀映射、源地址和⽬的地址同时转换、外部⽹络主机访问内部服务器、⽀持DNS 映射功能；可配置⽀持地址转换的有效时间；⽀持多种NAT ALG，包括DNS、FTP、H.323、SIP等抗攻击特性可防御Land、Smurf、Fraggle、WinNuke、Ping of Death、Tear Drop、IP Spoofing、SYN Flood、ICMP Flood、UDP Flood、DNS Query Flood等多种DOS/DDOS攻击IPSEC VPN ⽀持AES、DES、3DES、MD5、SHA1、DH、RC4等算法，并且⽀持扩展国密办SCB2等其他加密算法⽀持MD5及SHA-1验证算法；⽀持各种NAT⽹络环境下的VPN组⽹；⽀持第三⽅标准IPSec VPN进⾏对接；*总部与分⽀有多条线路，可在线路间⼀⼀进⾏IPSecVPN 隧道建⽴，并设置主隧道及备份隧道，对主隧道可进⾏带宽叠加、按包或会话进⾏流量平均分配，主隧道断开备份隧道⾃动启⽤，保证IPSecVPN 连接不中断；可为每⼀分⽀单独设置不同的多线路策略；单臂部署下同样⽀持多线路策略；应⽤访问控制策略⽀持应⽤2000种以上的应⽤动作的应⽤识别；⽀持应⽤更新版本后的主动识别和控制的应⽤智能识别；提供基于应⽤识别类型、⽤户名、接⼝、安全域、IP地址、端⼝、时间进⾏应⽤访问控制列表的制定；⼆层协议⽀持802.3、AX25、802.2等多种⼆层协议过滤威胁检测⽀持基于特征匹配、协议异常检测、智能应⽤识别等⽅式针对已知威胁进⾏检测；⽀持基于威胁关联分析的检测机制，针对未知威胁进⾏分析检测；IPS⼊侵防护（选配）微软“MAPP”计划会员，漏洞特征库: 2800+并获得CVE“兼容性认证证书”，能够⾃动或者⼿动升级；防护类型包括蠕⾍/⽊马/后门/DoS/DDoS攻击探测/扫描/间谍软件/利⽤漏洞的攻击/缓冲区溢出攻击/协议异常/ IPS逃逸攻击等；防护对象分为保护服务器和保护客户端两⼤类，便于策略部署；漏洞详细信息显⽰：漏洞ID、漏洞名称、漏洞描述、攻击对象、危险等级、参考信息、地址等内容；⽀持⾃动拦截、记录⽇志、上传灰度威胁到“云端”服务器防护（选配）⽀持web攻击特征数量1000+；⽀持Web⽹站隐藏，包括HTTP响应报⽂头出错页⾯的过滤，web响应报⽂头可⾃定义；⽀持FTP服务应⽤信息隐藏包括：服务器信息、软件版本信息等；⽀持OWASP定义10⼤web安全威胁，保护服务器免受基于Web应⽤的攻击，如SQL注⼊防护、XSS攻击防护、CSRF攻击防护、⽀持根据⽹站登录路径保护⼝令暴⼒破解；⽀持web站点扫描、web站点结构扫描、漏洞扫描等扫描防护；可严格控制上传⽂件类型，检查⽂件头的特征码防⽌有安全隐患的⽂件上传⾄服务器，并⽀持结合病毒防护、插件过滤等功能检查⽂件安全性；⽀持指定URL的⿊名单、加⼊排除URL⽬录，ftp弱⼝令防护、telnet 弱⼝令防护等功能；敏感信息防泄漏内置常见敏感信息的特征，且可⾃定义敏感信息特征，如⽤户名、密码、邮箱、⾝份证信息、MD5密码等，可⾃定义具有特殊特征的敏感信息；⽀持正常访问http连接中⾮法敏感信息的外泄操作；⽀持数据库⽂件敏感信息检测，防⽌数据库⽂件被“拖库”、“暴库”；风险评估⽀持服务器、客户端的漏洞风险评估功能，⽀持对⽬标IP进⾏端⼝、服务扫描；⽀持ftp、mysql、oracle、mssql、ssh、RDP、⽹上邻居NetBIOS、VNC等多种应⽤的弱⼝令评估与扫描；风险评估可以实现与FW、IPS、服务器防护模块的智能策略联动，⾃动⽣成策略；⽹页篡改防护⽹关型⽹页防篡改，⽆需在服务器中安装任何插件；⽀持⽂件⽐对、特征码⽐对、⽹站元素、数字指纹⽐对多种⽐对⽅式，保证⽹站安全；全⾯保护⽹站的静态⽹页和动态⽹页，⽀持⽹页的⾃动发布、篡改检测、应⽤保护、警告和⾃动恢复，保证传输、鉴别、地址访问、表单提交、审计等各个环节的安全，完全实时杜绝篡改后的⽹页被访问的可能性及任何使⽤Web⽅式对后台数据库的篡改；⽀持各级页⾯模糊框架匹配、精确匹配的⽅式适⽤不同的⽹页类型；⽀持提供管理员业务操作界⾯与⽹管管理界⾯分离功能，⽅便业务⼈员更新⽹站内容；⽀持通过替换、重定向等技术⼿段，防护篡改页⾯；⽹站维护管理员必须通过短信认证才可进⾏⽹站更新业务操作（选配）；⽀持短信报警、邮件报警、控制台报警等多种篡改报警⽅式；病毒防护（选配）⽀持基于流引擎查毒技术，可以针对HTTP、FTP、SMTP、POP3等协议进⾏查杀；能实时查杀⼤量⽂件型、⽹络型和混合型等各类病毒；并采⽤新⼀代虚拟脱壳和⾏为判断技术，准确查杀各种变种病毒、未知病毒；内置10万条以上的病毒库，并且可以⾃动或者⼿动升级；检测到病毒后⽀持记录⽇志、阻断连接；Web安全防护对⽤户web⾏为进⾏过滤，保护⽤户免受攻击；⽀持只过滤HTTP GET、HTTP POST、HTTPS 等应⽤⾏为；并进⾏阻断和记录⽇志；⽀持针对上传、下载等操作进⾏⽂件过滤；⽀持⾃定义⽂件类型进⾏过滤；⽀持基于时间表的策略制定；⽀持的处理动作包括：阻断和记录⽇志；⽀持基于签名证书的ActiveX过滤；⽀持添加⽩名单和合法⽹站列表；⽀持基于应⽤类型的ActiveX过滤，如视频、在线杀毒、娱乐等；⽀持基于操作类型的脚本过滤，如注册表读写、⽂件读写、变形脚本、威胁对象调⽤、恶意图⽚等；流量管理⽀持同时连接多条外⽹线路，且⽀持多线路复⽤和智能选路技术；⽀持将多条外⽹线路虚拟映射到设备上，实现对多线路的分别流控；⽀持基于应⽤类型、⽹站类型、⽂件类型的带宽划分与分配；⽀持时间和IP的带宽划分与分配；⽤户管理⽀持基于⽤户名/密码、单点登陆以及基于IP地址、MAC地址、计算机名的识别等多种认证⽅式；⽀持AD域结合、Proxy、POP3、web 表单等多种单点登陆⽅式，简化⽤户操作；*可强制指定⽤户、指定IP段的⽤户必须使⽤单点登录；⽀持添加到指定本地组、临时账号和不允许新⽤户认证等新⽤户认证策略；⽀持强制AD域认证，指定⽤户必须⽤AD域账户登录操作系统，否则禁⽌上⽹；认证成功的⽤户⽀持页⾯跳转，包括最近请求页⾯、管理员制定URL、注销页⾯等；⽀持CSV格式⽂件导⼊、扫描导⼊和从外部LDAP服务器上导⼊等账户导⼊⽅式；⽤户分组⽀持树形结构，⽀持⽗组、⼦组、组内套组等组织结构；⽹关管理⽀持SSL加密WEB⽅式管理设备；⽀持邮件、短信（可扩展）等告警⽅式，可提供管理员登陆、病毒、IPS、web攻击以及⽇志存储空间不⾜等告警设置；提供图形化排障⼯具，便于管理员排查策略错误等故障；提供路由、⽹桥、旁路等部署模式的配置引导，提供保护服务器、保护内⽹⽤户上⽹安全、保证内⽹⽤户上⽹带宽、保证遭到攻击及时提醒和保留证据等⽹关应⽤场景的配置引导，简化管理员配置；⽇志管理与报表提供端⼝、服务、漏洞、弱密码等安全风险评估报表；提供DOS攻击、web防护、IPS、病毒、web威胁、⽹站访问、应⽤控制、⽤户登录、系统操作等多种安全⽇志查询；提供可定义时间内安全趋势分析报表；⽀持⾃定义统计指定IP/⽤户组/⽤户/应⽤在指定时间段内的服务器安全风险、终端安全风险等内容，并形成报表；⽀持将统计/趋势等报表⾃动发送到指定邮箱；⽀持导出安全统计/趋势等报表，包括⽹页、PDF等格式；。

深信服-NGAF(下一代防火墙)基本功能介绍

SANGFOR NGAF
NGAF产品的产生背景 NGAF基本功能介绍新手指深引信服公司简介
网络发展的趋势——防火墙需要更新换代
网络在改变
• 网络已经深入日常生活 • 1、大量的新应用建立在HTTP/HTTPS标准协议之上 • 2、许多威胁依附在应用之中传播肆虐 • 3、Gartner报告：75%的攻击来自应用层 • 攻击的多样化、黑客平民化
超过1100种主流应用（2015年2月）
深度内容识别
智能识别
基于用户和应用的内容安全控制
内容安全控制四大功能
1
应用控制
• 基于区域、用户做应用控制，减少不必要的访问，满足客户对互联网管控的需求。例如：禁止P2P下载、禁止网络流媒体等。
2
病毒防御
• 针对HTTP、FTP、POP3、SMTP进行流杀毒，保护内网用户的上网安全
IPS、DOS/DDOS防护、服务器保护
DOS/DDOS防护
内网防护：用于保护设备的安全外网防护：用于保护内网的服务器免受来自外部的攻击
IPS、DOS/DDOS防护、服务器保护
服务器保护
专门针对客户内网的WEB和FTP服务器设计的防攻击策略，服务器保护包括应用隐藏、网站攻击防护、口令防护、权限控制四部分功能。
流量可视化
流量管理
动态带宽分配多线路复用与智能选路 P2P智能识别与灵活控制基于应用/网站/文件类型的智能流量管理
IPS、DOS/DDOS防护、服务器保护
IPS
入侵防御系统( intrusion prevention system):不管是操作系统本身，还是运行之上的应用软件程序，都可能存在一些安全漏洞，攻击者可以利用这些漏洞发起带攻击性的数据包威胁网络信息安全。 AF检查穿过的数据包，和内置的漏洞规则列表进行比较，确定这种数据包的真正用途，然后根据用户配置来决定是否允许这种数据包进入目标区域网络。根据客户端和服务器的不同特性，分为客户端漏洞和服务器漏洞。

深信服下一代防火墙APT攻击防范首选利器

这种行为往往经过长期的经营与策划，并具备高度的隐蔽性。

攻击者通过控制攻击目标，源源不断地从受害企业和组织获取数据信息。

深信服下一代防火墙介绍

通用竞争策略
无论和任何一家产品竞争对比，保持回归深信服下一代防火墙的价值主张-融合安全。价值主张定位的是与同类产品的差异，通过价值主张，把传统安全品类（含友商下一代防火墙）定位为事中防御。
➢ 不管什么其他安全品类都存在缺乏事前预知、事后检测和响应的问题，并且割裂的防御； ➢ 传统以设备堆叠为主的建设方案会产生日志碎片化、防护割裂，缺乏设备间联动等后果，无法给用户提供有价值信息；
防御手段：通常传统安全厂商会认为早期的深信服只做VPN及上网行为管理，安全能力不足，这一块各位可以向客户说明深信服于2011年发布下一代防火墙，是国内最早发布下一代防火请产品的安全厂商，同时是公安部下一代防火墙行标的主要撰写单位，并已经连续4年在全球Gartner魔力象限中入围（国内连续4年的只有华为和深信服）。
事后持续监测已入侵威胁，快速止损
事后能够实时监测内部异常外联行为，及时察觉并定位已入侵威胁，快速处理减少损失。
事后
持续监测，快速响应
事前
梳理风险，确保防护有效性
事中
融合安全防护能力
1 防火墙需求背景 2 产品功能 3 价值主张 4 市场地位
新一代边界安全：深信服下一代防火墙
深信服下一代防火墙 NGAF 系列
传统防火墙厂商
从90年代随着我国第一波信息化安全浪潮涌现了老牌安全公司，同时2000年之后涌现了山石网科，定位为传统防火墙厂商，其防火墙专注于传统防火墙功能，如网络适应性、访问控制协议、会话管理等基本功能。典型代表：天融信、启明星辰、绿盟科技
国外厂商
在中国的外资厂商，国外厂商采用渠道化战略，定位中高端客户，通常高度产品化，以技术路线运作项目典型代表：Fortinet（飞塔）、 Checkpoint、Palo Alto