Palo Alto:NGFW不一定能代替UTM

安全 应用安全
“我们并不是尽可能往一个盒子里多放功能,我们是对防火墙进行创新。即使有人说UTM可以被用来当做NGFW来使用,但是我不那么认为。而NGFW也不见得可以替代UTM,得看看UTM干了什么事。”——Palo Alto Networks产品及市场总监Chris King

虽然下一代防火墙已经在中华大地上开满希望之花,但是对于这个概念的缔造者之一以及先驱者PaloAltoNetworks却在国内很少有媒体提及。有鉴于此,网界网对PaloAltoNetworks产品及市场总监ChrisKing进行了独家专访,为大家打开一扇通往这个著名有神秘的公司之门。

笔者:您认为NGFW和UTM的区别是什么?

Chris:UTM和NGFW最根本的区别在于他们解决问题的方式。UTM通过将已有的网络安全功能固化到一个盒子中,例如状态检测防火墙,IPS,AV,URL地址过滤,从而达到让网络安全更廉价的目的而设计。我们认为NGFW的不同之处是在于我们不是将网络安全变得更价廉,而是将网络安全做的更好。我们并没有将很多的网络安全功能集成到一个盒子中,而是重新定义了防火墙应该有的核心特性。市面上所有的UTM中的防火墙功能都是基于状态检测防火墙的。而状态检测是checkpoint在90年代早期发明的。我们的防火墙的核心,不是状态检测,而是我们说的App-ID。通过应用识别和用户识别取代以前的通过端口和IP地址的识别来进行访问控制。

笔者:PaloAltoNetworks是如何解决价格和产品之间的矛盾的?

Chris:我们的很多客户以前都是用UTM,现在都转过来用我们的产品了。他们选择我们的原因不是因为我们更便宜,而是他们更喜欢具有可视化和洞察力的对于网络流量的管理控制。UTM中的功能都是一个接一个完成的,而我们的产品是一次通过的,单一检测技术是我们的核心竞争力。当你对机密信息进行内容检测时,你知道这个内容是由什么应用哪位用户产生的。别的产品都不是高度集成的。我们的产品对于网络流量只做一次扫描,而不像其他产品一样做几次,很大的降低了延迟,提高了流量通过的速度。我们的硬件平台分为数据处理平台和管理平台,这样很大程度上提升了可靠性。尤其是我们将网络流量,安全,以及内容扫描分开来做。通过NP和SP等专用处理芯片来进行数据平台的处理,在分析和应用识别以及调度方面充分发挥Intel处理器的专长。这样最大限度地发挥硬件性能。

笔者:您认为NGFW的发展方向会怎样?

Chris:我认为未来是将NGFW使用到更多的地方。防火墙一开始部署在互联网网关,然后一步步扩展到分支机构和数据中心等地方。我们的发展也是遵循这个路线。我2007年加入公司,那段时间我们只把我们的产品应用在网关处。我们保护终端用户的安全,尤其是防御对于各种应用带来的威胁。现在我们的设备已经部署在了数据中心,并且还在企业中用来保护移动设备的安全。因此,NGFW的发展方向将是在各个节点上取代传统防火墙。

笔者:NGFW是否已经成熟到可以在数据中心部署了呢?

Chris:世界范围内我们有11,000家数据中心用户使用我们的产品来保护数据中心安全。我们的PA-5000系列产品在企业级和数据中心市场上是很成功的。最高级别的设备具备20Gbps的吞吐,已经满足一般数据中心的使用。

笔者:什么样的NGFW可以被称为真正意义上的NGFW?

Chris:当我和客户进行沟通的时候,发现用户还是处于一个学习的过程。举个例子,在数据中心环境,用户表示,他们知道数据中心内部运行着什么应用程序,然而,很多用户都忘记了用来管理数据中心业务的一些应用,比如系统管理工具,备份和恢复软件,SSH,FTP等等。当问及这些应用的时候,客户会恍然大悟说忘记考虑这些应用了。所以,当NGFW用在数据中心环境时候,不是仅仅控制那些常规的共享应用,或者一些生产应用,而且还会控制一些管理应用,比如我允许SSH,但是只把权限开放给IT管理人员,或者负责管理设备的部门。

笔者:应用层识别是否应该是默认打开的?

Chris:这正是我们产品的样子,我们出场的时候都是所有端口上应用识别默认打开的。没有基于安全考虑的理由去关闭应用层识别。每一次关闭应用层识别功能,安全性就会降低。公平地说,你可以创建传统防火墙的规则,我们大多数的客户都知道可以关闭应用识别功能,但是他们并没有那么做。

笔者:如何平衡互联网发展速度与开发周期?

Chris:两件事需要考虑。由于互联网的发展速度非常快,所以对于我们的研发团队要求很高。我们专注研发App-ID的团队,时刻监视着网络上最新的应用,以及与客户联系,希望可以用户可以将自己开发的应用也呈报给我们。幸运的是,底层的变化不是很快,所以让我们硬件的研发有时间追赶最新的技术,提供高效并且非常稳定的硬件平台。我们做软件层面的研发团队也专注于APP-ID的研发,并且速度很快,得益于我们在研发上的大力度投入。最新的财报显示,我们有20%的人力(969人)是研发人员,并且研发资金的投入占总收入的16%。

笔者:贵公司的产品在NSSLabsSVM表现并不好,怎么回事?

Chris:我认为NSSLabs主要测试状态检测防火墙和IPS。如果你看看他们怎么测应用层的,可以看看他们的测试方法,用户和应用测试只有一页。他们对于每个厂商提供的产品测出来应用防护都是100%。不可否认他们在状态检测防火墙和IPS测试上的专业性。我也认为他们在NGFW的测试上很优秀,我们认为应用的测试应该专注于通过所有端口的所有应用。我们与他们合作很多,而他们也确实很优秀,但是需要注意的是,他们著名的原因是在IPS测试上的成绩。在与他们的沟通中,我们发现他们在NGFW特性的测试范围很有限,更多地还是关注于传统状态检测防火墙和IPS的功能。当你看UTM的时候,你会知道UTM是在为了让网络安全更便宜而做努力,然而我们的NGFW是为了让网络安全更好,更健壮,所以我们的价格会有些高。尽管价格是客户采购时需要考虑的,但不是重点。在我们的角度讲,安全和性能是首要考虑的问题,价格次之。然而其他的厂商把价格放在了首位。

笔者:PA成长如此快速的原因是什么?

Chris:原因是我想我们拥有一些特殊的且唯一的东西,还有我们在安全领域所作出的很多努力,并且客户看到了这些东西的价值。他们拥有了对于网络流量可视的能力,这个能力是他们以前没有的,并且他们可以控制那些流量,这也是他们以前所不能的。另外一个原因我想是我们非常以客户为中心,以客户需求为导向。我们很乐意去解决客户们遇到的安全问题,在Gartner最新的企业级防火墙MQ中可以看到Gartner对我们的评价,我们拥有一大群忠实且充满热情的客户。所以我向我们成长快速的原因就是两点,极大的研发投入和客户为导向的服务。

笔者:PaloAlto起初的两年是不是很艰苦?毕竟用新产品改变客户固有的思想是很难的事情。

Chris:回溯到2007年我加入公司的时候,公司非常非常艰难去开发客户,现在是很容易做了。当我加入公司的时候,可能都不到11个客户,但是现在我们有11,000客户。6年的时间,PA的用户数量增加了1000倍。最近一年来,每个季度PA的用户数量都增加至少1000。

笔者:您对Gartner将一些UTM产品划分为NGFW有什么看法?

Chris:诚实得说,Gartner企业防火墙魔力象限中的产品指的是网络防火墙,并没有特指是下一代防火墙。Gartner还是认为UTM和NGFW有很大的区别。他们认为UTM缺乏整合性,更适合于中小企业或者价格敏感的地点。NGFW则是更高的整合性,更适合大企业的解决方案。我们认为,UTM还是为了价格因素在致力于将大量的功能放进一个盒子中。这一点来说UTM很难声称为NGFW。我们并不是尽可能往一个盒子里多放功能,我们是对防火墙进行创新。即使有人说UTM可以被用来当做NGFW来使用,但是我不那么认为。而NGFW也不见得可以替代UTM,得看看UTM干了什么事,比如我们不做反垃圾邮件,不做防钓鱼等等。有很多网络安全的事情我们都没有做。我们做的是重新创造了你在网络安全中需要的东西,不是将你知道的所有功能放在一个盒子里。

笔者:为什么不把反垃圾邮件什么的功能集成到你们的NGFW中?

Chris:你可以看看我们所做的事情,我们专注于做的产品是提供高安全性和高性能。你不需要快速的反垃圾邮件或者邮件保护什么的功能,我们只专注于难以解决的问题。

笔者:安全网关的未来发展趋势是All-in-one吗?

Chris:这个目标并不能说错。只是现在很多的防火墙和UTM厂商,他们不愿意重新来过。而我们进入市场的时候是从零开始的。所以我们创造一种新的以应用,用户和内容为主体代替状态检测的防火墙的产品,我们没有历史包袱。如果我们在2007年开始做的时候也是做状态检测防火墙,那我们不会有现在这样的成功。我们不得不做一些不一样而且更好的东西。

 

责任编辑:吴玮 来源: 网界网
相关推荐

2017-01-19 17:57:47

大数据

2016-01-11 11:50:39

JavaScript闭包面试题

2011-12-11 17:52:40

2020-08-30 14:31:40

Python编程语言开发

2021-02-26 09:04:22

数组ArrayListHashMap

2010-11-17 11:11:44

跳槽

2021-01-29 09:17:00

深度学习AI人工智能

2022-12-26 09:16:45

Guava架构模型

2016-11-28 11:19:48

术语神秘

2018-01-18 05:20:59

2015-06-29 11:38:47

物联网

2018-03-09 10:34:48

显卡参数超频

2022-04-26 06:53:37

HBaseMD5RowKey

2012-07-20 09:56:20

checkpointpaloalto防火墙

2020-05-20 09:37:45

人工智能

2009-11-25 09:20:31

Windows 7网络掉线

2017-03-06 18:43:09

2010-12-08 09:02:24

2018-02-08 09:11:25

Linux命令rm

2015-09-21 09:39:35

Java数组初始化
点赞
收藏

51CTO技术栈公众号