下一代防火墻將通過集成入侵防御和應用與用戶監(jiān)控功能來提升網絡安全性，但是它們也會帶來新的管理挑戰(zhàn)。由于傳統(tǒng)防火墻充斥了大量廢棄的規(guī)則，所以防火墻管理總是一個有挑戰(zhàn)的工作。但是，在使用下一代防火墻管理技術之后，網絡安全專業(yè)人員將需要維護更多的規(guī)則和策略。

斯坦福德Gartner公司研究副總裁Greg Young說：“防火墻規(guī)則總是到處泛濫，但是入侵防御和應用控制使問題更加復雜。現(xiàn)在正是使用下一代防火墻降低復雜性的時機，但是如果實施不當，則可能會適得其反。”

最近，Osterman Research代表安全與風險管理公司Skybox Security對209家企業(yè)進行了一次關于下一代防火墻管理的調查。在調查中，他們邀請網絡安全人員列舉下一代防火墻管理的三大挑戰(zhàn)，其中包括：確認訪問策略與網絡分片策略是否正確實施（39%）；維護入侵防御系統(tǒng)(IPS)簽名（37%）；以及優(yōu)化防火墻規(guī)則集（36%）。

在有狀態(tài)防火墻中，規(guī)則與策略的復雜性迫使網絡安全管理員在防火墻管理方法中整合更多的業(yè)務邏輯。Skybox的CEO及創(chuàng)始人Gidi Cohen說：“下一代防火墻規(guī)則將控制哪些用戶群組在哪個時間段可以訪問Web應用或社交網絡。不僅規(guī)則變得更加復雜，而且組織的安全策略邏輯也變得更加復雜。這是一個計劃挑戰(zhàn)、協(xié)調挑戰(zhàn)，也是一個技術挑戰(zhàn)。”

Young指出，網絡安全人員需要拋棄“老派的”防火墻管理方法，轉而采用下一代產品。例如，他說，改變對應用控制規(guī)則和策略的控制不可能像基于端口的傳統(tǒng)規(guī)則一樣。

在傳統(tǒng)防火墻上，任何變更都需要發(fā)起一個變更請求。如果開發(fā)團隊希望啟動一個新應用程序，那么它會發(fā)送一個變更請求到防火墻上要求打開端口。這種細致方法不適用于下一代防火墻的應用監(jiān)控。Young說：“要采用不同的方法。您可以批準特定類型的應用程序。您可以說：‘除了特定的情況，我們不允許使用任何點對點應用程序。’所以如果發(fā)現(xiàn)一個點對點應用程序，而防火墻管理員又希望批準這條規(guī)則，那么它應該以預先批準的方式進行處理。”

Young指出，網絡安全人員需要拋棄“老派的”防火墻管理方法，轉而采用下一代產品。例如，他說，改變對應用控制規(guī)則和策略的控制不可能像基于端口的傳統(tǒng)規(guī)則一樣。

在傳統(tǒng)防火墻上，任何變更都需要發(fā)起一個變更請求。如果開發(fā)團隊希望啟動一個新應用程序，那么它會發(fā)送一個變更請求到防火墻上要求打開端口。這種細致方法不適用于下一代防火墻的應用監(jiān)控。Young說：“要采用不同的方法。您可以批準特定類型的應用程序。您可以說：‘除了特定的情況，我們不允許使用任何點對點應用程序。’所以如果發(fā)現(xiàn)一個點對點應用程序，而防火墻管理員又希望批準這條規(guī)則，那么它應該以預先批準的方式進行處理。”

下一代防火墻管理是一種成熟且協(xié)調的方法

企業(yè)管理聯(lián)盟研究主管Scott Crawford指出，在廣義上，防火墻管理就是變更控制。擁有成熟防火墻變更管理方法的企業(yè)更能避免安全漏洞和性能破壞問題。在下一代防火墻中，隨著防火墻環(huán)境變得越來越復雜，自動化也變得越來越重要。Skybox的調查發(fā)現(xiàn)，有58%的企業(yè)在他們的下一代防火墻上部署了100條以上的規(guī)則，而有35%的公司每個月執(zhí)行100次以上變更。

Crawford說，在這些復雜環(huán)境中，用戶必須利用自動化方法，因為他們通常過于復雜，而無法通過手工流程進行可靠管理。在部署之前，一定要在您的建模范圍內驗證您規(guī)劃的所有變更，然后跟蹤這些變更，保證它們按預期方式部署。此外，您需要設定一個回滾變更的流程，這樣才不會產生其他問題。

Skybox、Tufin Technologies、AlgoSec和Athena Security等供應商在專門研究這些問題。他們提供了防火墻變更控制產品，其中大多數(shù)都可以對這些變更影響網絡的方式進行建模。此外，這些供應商正在將他們的產品更新到下一代防火墻管理技術。

如果一個IT組織的下一代防火墻管理團隊與網絡運營團隊屬于獨立實體，那么網絡安全團隊還應該保證要這兩個團隊協(xié)調一致。Crawford說：“即使在下一代防火墻出現(xiàn)之前，我們也發(fā)現(xiàn)一些組織遇到一些預料到的性能水平和可用性中斷的問題，因為安全策略在不知道會產生什么影響的情況下就應用了。”

“當您增加了感知應用的防火墻，這個挑戰(zhàn)越來越大。即使在分布式網絡的客戶端，如果您部署WAN優(yōu)化設備，那么您會希望將它是專門為應用程序的設備。您需要在網絡性能、可用性與安全性需求之間做出協(xié)調，以避免出現(xiàn)沖突和增加暴露風險。”

另一個問題：防火墻的入侵防御

Skybox的調查證明，許多企業(yè)在管理下一代防火墻上的入侵防御簽名時舉步維艱。有86%的公司計劃在他們的防火墻上使用IPS模塊；他們中有65%處于在線防御模式。管理這些模塊的IPS簽名并不容易。只有54%的公司由供應商自動更新。三分之二的公司正嘗試手動管理這些簽名。

Gartner的Young說：“默認簽名集只是一個入口。接著是優(yōu)先值。例如，如果您沒有Oracle數(shù)據庫，則不要啟用Oracle簽名。相反，如果您有大量的Oracle流量，則確實需要進行優(yōu)化和調優(yōu)這些Oracle簽名。”

根據Skybox全球銷售副總裁Michelle Johnson Cobb的觀點，有一些企業(yè)希望了解這些簽名如何有效地阻擋威脅。她說：“他們是否真的阻擋住了原本我想要阻擋的威脅？有一些方法可以檢驗它是否真的有用。”

如果用戶實施了大量潛在威脅的默認簽名，那么它將會減慢流量傳輸速度。Cobb說：“所以，如果您的目標之一是保證最高性能，同時有效阻擋威脅，那么這里需要一種平衡。此外，事情總會發(fā)生變化。在網絡中，每天都會出現(xiàn)新的漏洞或威脅。您可能要確定是否需要激活新的簽名。”

SkyBox剛剛增加了對Palo Alto Networks的IPS功能支持，它可以分析簽名，然后將它們映射到漏洞上。“您可以在一個控制面板顯示哪些簽名已激活，哪些漏洞被阻擋住，以及您可以打開哪些控制，從而得到更多的保護。”