本帖最后由 李桃梅 于 2017-5-24 15:40 编辑
提到网络信息安全，大多数人的第一反应应该是防火墙。
其实安全的领域非常广：TCP/IP每层都可以做安全；网络，服务器，存储，数据库，应用程序等各领域也都需要部署安全策略。
我计划陆续写一些文章，把雪佛龙实际用到的安全厂商和设备做一些简单的介绍，并结合使用情况分享一些心得体会给大家。
本文先从防火墙说起。
下图是防火墙的发展编年史。
大家可能看到，从1989年最基本的包过滤防火墙到2009年Gartner提出“下一代防火墙”中间也经历了很多阶段，而“下一代防火墙”的鼻祖非PaloAlto莫属。
话说2004年NetScreen在防火墙领域如日中天，被同样炙手可热的Juniper收购后，内部矛盾加剧，不求改变，一些创意精英愤然离去，创办了PaloAlto，Fortinet, Hillstone。
历史总有相似之处，这让我想起了Nokia是如何被Apple颠覆的。
从最新的2016年防火墙Gartner魔力象限可以看到，Juniper只在玩家象限混着，Fortinet在挑战者象限，从2013至2016年，处于领导者象限的一直都是PaloAlto和CheckPoint，我们熟悉的Cisco从来没进过领导者象限，基本处在挑战者象限。
◆ ◆ ◆
PaloAlto Networks是一家专注于网络安全的公司，在2005年由创办人Nir Zuk成立于美国加州。
（PaloAlto本义是美国旧金山附近的一个城市名）
这家纯粹的安全公司一直在交付企业防火墙。PaloAlto主要以应用控制方面的创新出名，可改进防火墙中的集成式IPS，并将基于云的恶意软件检测引入到下一代防火墙领域。防火墙产品系列包括19款，PA-7080的最高吞吐量是200 Gbps。
PaloAlto完全符合Gartner对“下一代防火墙”的定义：
真正的“下一代防火墙”应该具备以下特色：
应用程序识别能力 使用者身份识别能力 整合入侵防御系统，甚至是防毒墙功能 安全事件的并联分析能力
我们来看看当今企业DMZ的普遍部署。
无论是“串联“还是“UTM（统一威胁管理）”，都存在其弊端。
而且应用程序行为的最新变化和使用模式正在不断威胁传统防火墙曾经提供的保护措施。用户经常从任意位置访问任意应用程序，以便完成他们的工作。
许多此类应用程序使用非标准端口、动态端口或加密技术来简化用户访问流程和绕过防火墙。
网络犯罪分子充分利用这种不受约束的应用程序使用情况来传播一种针对性很强的新型恶意软件。
这导致依赖端口和协议的传统防火墙无法继续识别和控制网络中的应用程序和威胁。
◆ ◆ ◆
PaloAlto采用以下三种独特的识别技术，针对应用程序、用户和内容实现可视化和控制能力：App-ID、User-ID 和 Content-ID。
App-ID
对流量精确分类是所有防火墙的核心，它将成为安全策略的基础。传统防火墙是按端口和协议对流量进行分类，这曾经是一种理想的网络保护机制。
但是，现今的应用程序可以轻松绕过基于端口的防火墙;比如，应用动态变更端口技术、使用 SSL 和 SSH、通过端口80 秘密侵入、或者使用非标准端口。
传统防火墙只能基于端口号做策略，比如允许80/443，那网络上80%以上的流量都被放行了。
而PaloAlto的App-ID是基于应用程序本身做检测，比如策略放行HTTP流量，App-ID不是说看到TCP 80就放行，而是要检测Payload是否符合HTTP的特征。
So，Port ≠Application
User-ID
以往都根据 IP 地址应用安全策略，但是随着用户和计算的动态性越来越强，已经无法仅将 IP 地址作为监视和控制用户活动的有效机制。
User-ID可从企业目录（MicrosoftActive Directory、eDirectory 和 Open LDAP）和终端服务（Citrix 和 MicrosoftTerminal Services）获取用户信息。
实时的将IP地址与使用者信息进行连结，真正使用User-Based。
雪佛龙正在计划让PaloAlto和Aruba Clearpass RADIUS连动，实现User-Based的策略控制。
So，IP ≠ User
Content-ID
拥有「实时威胁防护」、「不良网站过滤」、「文件类型识别」等能力。
即Content-ID会检测文件本身，比如正常的网页或PDF文档可以通过，但如果有病毒潜伏其中，将会被揪出来。
So，Packet ≠ Content
除了以上三种独特技术外，PaloAlto还有如下创新：
Single Pass
称为“单通道处理能力”或“单趟”。
传统防火墙虽然能实现很多功能，如杀毒、威胁防控、防间谍、URL过滤、文件阻止、数据过滤、沙箱。但这些Feature有些不是他们自己的，不同厂商解包格式不同，所以造成了多次拆包封包。
而PaloAlto能实现一次拆包，多次分析，一次封包发出，大大提升效率。
现在业界领先的厂商也都采用这种Single Pass架构。
这种架构也体现在配置上，一条策略配所有，不像传统防火墙一个面板做安全防控，另一个面板做防病毒……
Hardware Architecture
大部分做防火墙的厂商都用的是Intel处理器，据报道，Intel处理器存在一些Bug，比如在某些条件下会发生“冻结”挂起现象；还有可能其中一核影响其他核的运行。
所以PaloAlto采用定制的专用Security处理器，成本比Intel就高出不少。
这也是PaloAlto价格高出其他厂商的其中一个原因。
还有一点就是吞吐量，比如，普通防火墙号称100Mbps，但只要把应用级监控，恶意防控等Feature打开，吞吐量在30%-40%就算合格, 而PaloAlto基本能达到50%-60%.
WildFire
“野火”则是PaloAlto的另一个发明。
WildFire野火云分析中心，基于SandBox（沙箱/沙盒）作超过100种行为分析。
SandBox简单说，就是把文件放到WildFire中的虚拟环境中运行，通过行为分析查看此文件是否有恶意行为，检测没问题才转发给用户。
当然，PaloAlto还有很多其他功能和新特性，我在这只是列举了最重要的几点，详细信息大家也可以去官网查看。
◆ ◆ ◆
从我2009年进入雪佛龙时，公司的防火墙一直用的是Cisco ASA，但其实Cisco在防火墙领域一直做的很一般，由于其路由器，交换机的市场份额很大，客户在考虑安全部署的时候也会一并采购Cisco的防火墙，所以Cisco安全的市场份额还是很大。
现在Cisco也在推出全新的安全体系，FirePOWER + SourceFire IPS，我们可以看看明年能否进入Gartner领导者象限。
随着“下一代防火墙”概念的出现，以及新型厂商的创新，其核心技术正好解决了客户的痛点。
所以雪佛龙在几年前开始筹划部署“下一代防火墙”，于2015年逐步替换全球1000多台Cisco ASA到PaloAltoFirewall。 下面我结合Gartner的官方报告和自己的使用体验谈谈PaloAlto的强项和注意事项：
强项
对PaloAlto App-ID和IPS而言，质量和易用性是客户选择PaloAlto而非其他竞争对手的最常提到的两个因素。
防火墙和IPS紧密集成，App-ID实施在防火墙里面和整个检查数据流中。这种Single Pass被Gartner的客户评为是一种设计优势；相比之下，竞争产品按顺序处理流量时会出现不必要的检查时间。
在厂商调查中，PaloAlto是最常被提到的最强大的竞争对手。Gartner发现，PaloAlto一贯出现在大多数下一代防火墙竞争最终名单上。
路线图专注于将虚拟机服务器扩展到多个云和SDN框架，这表明了其在解决客户未来问题方面的领导地位。PaloAlto将方向转移到了东西向微分段上，而不是整个数据中心防火墙虚拟化，这是明智之举。
WildFire高级威胁云服务是一种备受PaloAlto新老防火墙客户欢迎的附加服务，为他们提供了一种选项，而不是第三方高级威胁设备解决方案。
PaloAlto提供从其他防火墙将配置迁移到PaloAlto的工具，这也为客户节省了不少时间，雪佛龙要迁移1000多台设备，效率极大提高，虽然迁移后的不能100%直接使用，但只需要做简单的微调即可，比手工重新配置要简单很多。
Panorama的集中管控，提供全局的可视性。现在雪佛龙就是用两台Panorama来管理全球的Firewall。
PaloAlto的GUI做的很好，不同类型策略还分了不同颜色，操作性极佳。我一直认为好的产品就应该有易操作的GUI，而不是在CLI中死敲命令，死记命令。
PaloAlto的日志和报表功能非常强大，想知道「谁」在使用「Yahoo-Mail」将什么「档案外泄」？可以利用ACC引擎轻松打出来。
注意事项
PaloAlto在为微软Azure部署环境开发一款虚拟防火墙版本方面落后于其他领先厂商。
与拥有领先产品的其他厂商一样，PaloAlto面临的挑战是在C类型企业（价格比安全功能更受到重视）赢得青睐。就任何企业防火墙厂商的保护吉比特而言，PaloAlto是价格最高的厂商之一。
Gartner客户特别指出需要更好地处理大规模日志，还要有更高效的主动/主动高可用性。PaloAlto管理被提到很好，胜过挑战者；然而，Gartner并没有看到PaloAlto在安全管理受到重视、需要实际上手评估的情况下胜过其他领导者。
Gartner还是没看到PaloAlto在端点市场取得与其在防火墙市场同样的成功。Gartner发现，使用Traps的客户不多，Traps的新单子也不多。端点通过PaloAlto的第三方生态系统得到更有效的解决。Gartner认为，PaloAlto专注于端点有时疏远了网络运营购买中心，只会给PaloAlto的核心业务：网络安全带来分心。
10月 南京站 11月 深圳站 12月 成都站 2017年1月 广州站 | 
简体中文
英语
日语
韩语
法语
西班牙语
越南语
泰语
阿拉伯语
俄语
葡萄牙语
德语
意大利语
希腊语
荷兰语
波兰语
保加利亚语
爱沙尼亚语
丹麦语
芬兰语
捷克语
罗马尼亚语
斯洛文尼亚语
瑞典语
匈牙利语
繁体中文
文言文
发表于 2016-10-17 13:22:09
置顶卡
喧嚣卡
变色卡
千斤顶
成长值: 59080
发表于 2016-10-17 14:28:24
