保护企业网络安全 谨慎选择防火墙（3）

　　依靠北大方正雄厚的科研实力和方正数码公司研制的方御(FireGate)防火墙系列产品是一套全面、高性能的网络安全系统，具有高效、多层次、高安全性、易于管理和高可靠性等特点。

　　与传统的软件防火墙不同，方御防火墙是一体化的硬件产品。它通过与硬件系统的深层结合，比传统的基于软件的防火墙更高效、安全，而且更国中实时化。为了减少由于安装了防火墙的原因而导致的网络流量的降低，方御防火墙采用了3I(Intelligent IP Identifying)技术，能够实现快速匹配，这样能够使一个数据包快速的通过Hash表找到相应的规则列表，而不是顺序匹配，从而使网络流量不受到较大的影响。方御防火墙可以根据数据包的地址、协议和端口进行访问和监控。同时还对任何网络连接和会话的当前状态进行分析和监控。传统的防火墙的包过滤只是与规则表进行匹配，而方御防火墙则对每个连接都作为一个数据流汇总到连接表中，通过规则表与连接表的配合，来完成状态检测的功能。

　　方御防火墙入侵检测系统集成了网络监听监控、实时协议分析、基于入侵行为分析及详细日志审计跟踪，对黑客入侵进行全方位的检测。它拥有较为完备的网络检测规则库，可检测的网络事件现多达1192种，并可随着新的入侵行为的发现加以更新和扩充，提供了良好的规则库升级接口。而且方御防火墙的入侵检测系统优化了算法，不会对网络流量造成影响。

　　在和入侵检测系统实现互动方面，方御防火墙采用了自动报警和自动防范结合的方法，一旦在入侵检测系统检测到攻击事件，立即会通知防火墙封禁该IP地址，这样一来可能黑客在扫描主机的时候就被方御防火墙封禁掉。针对入侵检测系统可能发出的误报警，方御防火墙提供了特征字识别技术，用户只要把误报的特征字提供给入侵检测系统，以后就不会对这种事件再进行误报。方御防火墙的审计功能严格遵守了国家安全部计算机信息系统安全产品质量检测中心公布的要求，分别对防火墙日志和审计管理日志进行了记录，可以方便地按照用户要求进行查询，而且在权限管理上分别设置了审计管理员和日志查询员。

　　方御防火墙的代理服务器功能允许在访问控制中对时间、协议、方法、地址、DNS域、目的端口和URL等进行设置，访问控制的种类比较全面，并可以在此基础上实现流量统计和流量控制。方御防火墙的地址转换功能(NAT)实现了真正的双向，也就是支持正向NAT、反向NAT和双向NAT。系统还提供了IP地址和MAC地址绑定的功能，有效的限制了内部用户非法盗用他人的IP地址的行为。

　　在用户权限管理方法，方御防火墙遵循国家有关安全标准规定，对用户作了四级授权，即实施域管理权、策略管理权、审计管理权和日志查看权。用户认证时采用了基于PKI的高级授权认证方式，低层通过SSL协议进行通讯，数据的安全性得到了保障。

　　方御防火墙的双机热备功能可以在网络中智能地寻找与其对等的备份机，并且使备份机自动进入等待状态，而一旦备份机发现主工作机失败，可及时启动，防止网络中断事故的发生。

　　方御防火墙的管理程序采用了GUI界面，易于操作，而且可以进行集中管理。通过一个管理程序就可能管理多个防火墙系统，给用户带来了很大的便利。

　　广州众达天网技术有限公司的天网防火墙系统

　　天网防火墙系列产品功能全面，具有较高的性能。该系列产品提供有强大的访问控制、身份认证、应用选通、网络地址转换(NAT)、数据过滤、虚拟专用网(VPN)、流量控制、虚拟网桥等功能。与国内外的防火墙产品相比较，天网防火墙有以下突出的技术优势和特点：

　　特有的DdoS、Dos攻击防御网关(专利技术)，可以有效的抵御各种DoS、DdoS攻击。天网防火墙采用经过优化的TCP连接监控方式来保护防火墙内的脆弱机器。这种算法的特点是在处理TCP连接请求的时候，在确定连接请求是否合法以前，用户端与服务端是隔断的。这就令到DoS攻击者在发动攻击的时候并不能直接连接到防火墙内部的机器，所以攻击者所发出的所有DoS攻击包只能到达防火墙，从而保护了防火墙内部的机器不受到DoS攻击。而且，天网防火墙通过高效的算法(64K位的Hash)提供了超过30万以上的同时连接数的容量，为数据传输的高效和可靠提供了强有力地保障。

　　完全支持高保密的VPN功能。天网防火墙采用符合IPSEC标准的高保密性虚拟专用系统，系统支持多种加密算法，使系统具有完善的安全特征，保证了数据的真实性、完整性和机密性。

　　先进的负载分担能力。负载分担系统主要是将集中在一台服务器上的用户服务请求分发到多台服务器。天网防火墙采用分布式方案，可以根据服务器的负载情况，包括CPU占用量，系统Load等情况，自动选择负载最小的服务器，将用户的服务请求发送到该机器上。可以自动检测服务器的可用性，当某一台服务器出现故障的时候，分布式系统会自动绕开发生故障的机器，不会将用户的服务请法语发送到该机器上，保证了系统的正常运作。天网防火墙负载分担模块在设计时采用的高性能的专用散列算法，保证系统即使在处理巨大的用户(每秒同时连接数大于30000用户)下，网络效率仍然可以达到80%以上。

　　特有的TCP标志位检测功能。天网防火墙系统通过在安全规则上的设置对数据包的SYN/ACK等标志位进行合法性检测和判断。防止不法攻击者利用常用服务的低端口与内部主机的高端口的连接，从而攻击内部主机。

　　强大的URL级栏截与内容过滤技术。天网防火墙系统中采用了分布式并进行处理结构的计算机辅助监管、URL级拦截系统。它具有自动的信息地址监管功能，并且可以对URL访问进行记录统计，即使对想用外部代理的方式饶过安全检查的办法，它也能轻而易举的识破。

　　独立开发的高效率系统内核。天网防火墙采用专用设计、自动开发的独立操作系统核心SNOS，使得它有着最贴近系统底层的高效率。

　　另外，天网防火墙中还实现了方便的地址转换(ANT)、透明代理、透明网桥、网络黑洞、双机热备份等技术。天网防火墙全中文化的基于WEB的网络管理界面，使用起来简单方便。

　　联想的网御2000系列防火墙

　　联想网御2000系列防火墙是联想充分利用自身的优势，结合国内外信息安全的最新技术及国内用户特点开发的具有自主知识产权的网络安全产品。它采用软硬件一体化设计，在硬件体系、操作系统、加密算法等核心技术方法全部拥有自主产权，是一个具有信息分析、信息检测、VPN功能、网络防病毒等多种安全策略综合应用的稳定可靠的网络防火墙系统。

　　该系列产品基本安全功能模块、VPN功能模块、防病毒功能模块等多个功能模块组成。基本安全功能模块实现对端口、服务、地址等的IP包过滤，同时还可实现针对邮件、HTTP地址等的内容过滤。能够实现地址转换(NAT)和反向端口映射，应用级代理网关支持HTTP、FTP、SMTP、Telnet等多种应用。用户身份认证机制中采用了一次口令认证和PAP认证方式，具有较完备的日志管理功能，能够实时智能检测是否有入侵行为发生。VPN功能模块中采用了经国家密码委批准的、具有自主产权的SFH03加密算法，支持IPSec，提供开放的密密钥管理和PKI X509公钥管理。防病毒功能模块则可对动态更新病毒码、FTP病毒和邮件病毒进行实时检测和过滤，并右动态更新病毒码。采用了完全WEB图形化的管理界面，友好、直观，方便快捷，易于管理。