下一代防火墙

目录 IDC观点 关于360企业安全集团 应用广泛——下一代防火墙在全球 360企业安全集团业务简介 24 IT系统边界防御中不可或缺 关于360企业安全集团新一代智 24 全球防火墙、UTM市场规模 7 慧防火墙 协同联动构筑“边界塔防” 24 中国防火墙、UTM市场发展情况 8 云端协同本地协同 机遇难得——下一代防火墙助力 终端协同 企业数字化转型 基于NDR模型的自适应威胁管理 26 数字化原生企业 11 智慧发现—及时预警高级威胁 政府行业 11 智慧调查—高效分析威胁事件 能源行业 12 智慧处置—快速执行隔离阻断 金融行业 13 智能化的运维管理 28 教育行业 14 可视化管理 安全策略核查 价值提升——主动安全防御体系 全景式集中管理 之重甲 智能化 15 研究方法 可视化 15 关于白皮书 虚拟化 15 协同 15 前景广阔——下一代防火墙市场保持高速发展趋势 下一代防火墙市场未来展望17 全球防火墙、UTM市场发展情况17 中国防火墙、UTM市场发展情况18 360企业安全集团新一代智慧防火墙最佳实践 成功案例分析——IDC调研北京邮19 电大学校园网及数据中心边界安全防护的情况 4 图目录 1中国行业数字化转型的增量商机2 2第三平台技术6 32016年全球IT安全硬件市场规模概况7 4全球IT安全硬件市场各子市场份额，20167 5中国IT安全硬件、软件、服务市场2016年厂商市场规模概况8 6中国IT安全硬件市场各子市场份额，20168 72016-2017中国政府发布重要政策法规9 8复杂应用蕴藏漏洞10 9主动安全防御之重甲16 10全球防火墙/UTM市场预测17 11中国防火墙/UTM市场预测18 12北京邮电大学校园网及数据中心网络拓扑21 13360企业安全集团“边界塔防”体系25 14360企业安全集团NDR模型27 5 能源行业 能源行业的业务系统属于我国关键信息基础设施之一，在《网络安全法》对关键信息基础设施有如下描述“第三十一条国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。关键信息基础设施的具体范围和安全保护办法由国务院制定。国家鼓励关键信息基础设施以外的网络运营者自愿参与关键信息基础设施保护体系。” 在能源行业中，电力行业的IT安全建设处于领先的地位，从2000年起，电力行业针对电力生产运行中发现的一些实际问题，深入开展了电力监控系统安全防护工作，制定并印发了《电力监控系统安全防护规定》等相关法规和规范性文件，2014年电力行业又发布 《电力行业网络与信息安全管理办法（国能安全[2014]317号）》和《电力行业信息安全等级保护管理办法（国能安全[2014]318号）》两个信息安全管理办法文件。电力行业各单位按照“安全分区、网络专用、横向隔离、纵向认证”的安全防护总体策略，持续开展工作，基本建成了覆盖全行业的安全防护体系，有效保障了电力监控系统等关键信息基础设施的安全运行和电力的可靠供应。 但是，在2016年国家能源局发布的《电力企业网络与信息安全专项监管报告》中，提及多家电力企业在“电力监控系统安全防护、信息安全等级保护等方面存在问题”，“互联网出口防护、设备远程维护、工控设备漏洞整改等方面较为薄弱”。电力系统边界安全问题突显。 国家能源局副局长王晓林在接受中电新闻网记者采访时提及：“尽管我们在网络安全工作方面取得了一定的成效，但也应看到，由于网络安全发展水平不平衡、网络安全基础工作开展不到位、部分核心技术和关键设备受制于人等原因，当前我国电力行业网络安全工作依然存在较多的不足和薄弱环节，突出体现在部分单位对网络安全工作的重要性认识不足、网络安全责任未切实落实到位；部分单位网络安全从业人员的专业素养和技能还不能适应和满足自身岗位职责的要求；电力行业网络安全防护体系抵御APT（高级持续性威胁）攻击的能力还需要进一步提升等”。 事实上，石油、石化、煤炭、新能源等行业的IT系统也都面临相同的边界安全、APT攻击的网络安全问题。 当前，边界安全问题与对APT攻击的防御不再是彼此独立的事情，边界安全网关将作为其中的重要环节，协同沙盒等防御与监测体系共同提升能源行业对APT攻击的识别与防御能力。 12 金融行业 金融行业的业务系统属于我国关键信息基础设施之一，多年来金融行业用户对IT安全建设的重视程度保持着极高的状态，发布多项行业法规，包括：《计算机信息系统安全等级保护基本要求》、《银行业金融机构信息系统风险管理指引》、《商业银行合规风险管理指引》、《证券期货信息安全管理办法》、《保险公司信息系统安全管理指引》等。 在银行业，2016年是中国银行业深化改革之年，中国银行业正在步入一个崭新的金融科技（FinTech）时代，以云计算、大数据、移动互联、区块链和人工智能为代表的新一轮金融科技正在对中国银行业产生前所未有的冲击并将引发巨大的变革。2016年7月，中国银监会就《中国银行业信息科技“十三五”发展规划监管指导意见（征求意见稿）》公开征求意见，意见稿指出总体目标，包括信息科技治理有效性明显提升、信息科技服务能力持续提升、科技成为引领创新的关键引擎、网络和信息安全管控能力显著增强、信息科技风险管理“三道防线”协同水平持续提高。明确提出要求“主动开展架构转型，建立开放、弹性、高效、安全的新一代银行系统。”明确了科技引领金融创新的引擎作用与地位。由此突出网络和信息安全管控能力在银行业发展的重要性。 在保险行业，2016年中国保险行业IT解决方案市场继续保持稳定增长态势。同年，中国保监会公布了《中国保险业发展“十三五”规划纲要》，在“第八章夯实基础，持续改善保险业发展环境”中提及“加强信息安全基础设施建设，建立完善的信息安全保障体系，提升保险机构信息安全综合防范能力。” 对于互联网金融，互联网金融的兴起正在对传统银行的渠道产生重大变革。中国银监会在银行业“科技十三五规划”中明确提出，鼓励“尝试信息科技公司化运作”，协同创新，跨界合作构建互联网金融生态圈。与此同时，2016年，中国多个部委对互联网金融进行专项整治，推进监管落地，确保互联网金融业务安全稳定的运行。 整体上，金融行业对第三平台技术的需求尤为迫切，数据价值在金融行业将持续放大，甚至成为关乎企业生存的核心资产，而对于数据的保护，不是单一数据加密技术可以解决的，数据安全同样需一套完整的IT安全防御体系架构，由于移动化应用在金融行业的广泛使用，企业边界外延至智能终端，边界网关除了起到对应用的内容识别与防护、数据传输过程的安全性保障、访问者身份的真实性验证等作用外，与各类终端间的协同、与全网IT监测防御系统的协同尤为关键，起到承上启下的作用。 13 教育行业 教育部早在2014年8月就发布了《教育部关于加强教育行业网络与信息安全工作的指导意见》并取得了一定的效果。随着网络安全事件对教育行业影响加大，2016年10月教育部办公厅成立教育部网络安全和信息化领导小组，旨在贯彻落实中央关于网络安全和信息化工作的战略部署，切实做好新时期的教育系统网络安全和信息化工作，陈宝生部长亲自担任组长。2017年2月，教育部科技司在《教育部科技司2017年工作要点》中明确了“统筹教育信息化，维护行业网络安全”的重点任务。2017年7月教育部办公厅下发了《各地开展学校大检查》的通知，通知要求，各地教育部门和各级各类学校要切实树立“隐患就是事故”的观念，按照“全覆盖、零容忍”的总体要求，结合危险化学品综合治理和电气火灾综合整治工作，深入开展覆盖电气安全、校车安全、校舍安全、网络安全、食品及饮用水安全、传染病防控、危险化学品安全、特种设备安全及校园周边治理等领域的安全隐患全面排查工作。教育行业的IT安全建设进入新阶段。 教育网具备流量大、内容复杂的特点，内外部的边界安全网关可以有效隔离恶意软件在教育网内部的泛滥，而下一代防火墙智能化、可视化、协同特性对于提升边界安全防护效果具有积极的作用。 另外，2015年，教育部办公厅印发《2015年教育信息化工作要点》中提及“完善教育资源云服务体系。提升国家教育资源公共服务平台技术水平和服务能力，建立健全国家平台运行、资源汇聚与服务的政策机制，实现与20个以上省级平台以及若干地区平台、企业平台的互联互通”。面向云环境，虚拟化特性将使得下一代防火墙可以运行在云平台上，在云边界起到安全防护的作用。 14 校园网边界部署新一代智慧防火墙 •通过HA的方式部署360新一代智慧防火墙，在提供高性能、缜密安全防护的同时，确保网络稳定性。360新一代智慧防火墙所采用第四代SecOS操作系统实现了管理平面、数据平面的独立运行，确保设备在极端条件下依然稳定可靠； •通过启用360新一代智慧防火墙的漏洞防护、防间谍软件、反病毒、URL过滤功能，高效拦截常见的间谍软件、病毒、木马的入侵，防止内网用户访问钓鱼网站、恶意URL； •360新一代智慧防火墙专属的“天御云”安全服务，可为360新一代智慧防火墙提供云端的协防能力。在360新一代智慧防火墙本地启用病毒云查杀、URL云识别后，将与“天御云”协同防御从而进一步增强边界防护能力； •通过URL分类控制、网页内容关键字过滤等功能，对师生访问网络的内容进行控制，确保合法用网。 数据中心边界部署新一代智慧防火墙 •360新一代智慧防火墙深度集成漏洞防护、间谍软件防护等应用层安全功能，通过单引擎一次性数据处理对穿越数据中心边界的所有流量进行深度威胁检测。启用入侵防御策略后，可对缓冲区溢出、跨站脚本、拒绝服务等3000余种漏洞利用攻击进行防护，同时，基于本地预置的恶意程序特征，通过双向检测恶意程序植入后可能产生的C&C（命令与控制）通信等异常行为，实现对已知的木马、间谍软件进行高效防护。 •基于威胁情报订阅服务，高确定性的情报IOC（黑域名、黑IP、黑文件MD5）将实时推送至360新一代智慧防火墙，由防火墙对命中的恶意流量进行实时阻断，进一步提升对流行威胁的防护能力。同时，当突发漏洞大规模爆发后，“天御云”自动向360新一代智慧防火墙推送应急处置告警，信息中心管理员仅仅通过一键点击，设备即可自动完成特征库更新及策略加载，确保对最新的入侵行为准确、有效的识别，加快应急响应速度； 22 •360新一代智慧防火墙将对服务器外联产生的网络行为数据进行采集，并上报至“天御云”大数据分析引擎，“天御云”一方面通过大数据技术挖掘偏离正常基线的异常行为，另一方面，将行为数据与威胁情报进行对撞，从多个维度检测网内的失陷服务器，最终将检测结果回传至360新一代智慧防火墙并向管理员作出告警。 价值分析 北京邮电大学校园网边界安全防护建设是校信息中心经过几年的长期测试、反复验证后进行的，用户认为“360企业安全集团新一代智慧防火墙在可视化、智能化、协同及稳定性方面表现出色，切实帮助用户发现并解决了网络中的安全问题”。综合来讲，客户认为360企业安全集团的新一代智慧防火墙所带来的价值如下： 降低安全防护的TCO：过去信息中心曾经部署过传统的防火墙、IPS等产品，由于都是串联在网络中成本增加很多，现在通过一个设备替代了以前串联的网关设备，成本大幅降低； 威胁感知能力大幅提升：过去网络发现问题时很难通过串联的安全设备分析问题，网络管理员排查问题难度很大。目前，采购360企业安全集团的新一代智慧防火墙后，能够通过产品的威胁感知能力和可视化特性，快速发现并定位问题； 边界防护能力明显提升：360企业安全集团的新一代智慧防火墙与360“天御云”协同，能够快速防范全球最新流行的网络攻击。受访者认为：“目前现有网络的企业版杀毒软件采用的是360的‘天擎’，而360最大的优势就是可以通过庞大的终端安全用户群积累大量的威胁特征，这些特征通过‘天御云’同步到360新一代智慧防