企業(yè)IT系統(tǒng)中應用防火墻能做什么？

申請免費試用、咨詢電話：400-8352-114

“業(yè)務全球化”、“世界地理區(qū)域扁平化”給企業(yè)帶來更多商業(yè)機遇的同時，也帶來了前所未有的壓力。比如：企業(yè)管理運行成本和復雜性的提高，要為客戶提供持續(xù)的服務可用性和高質量體驗，企業(yè)要迎接前所未有的安全性、永續(xù)性和制度遵從挑戰(zhàn)，要利用新興技術來推動業(yè)務創(chuàng)新、提高效率及響應性。

而在安全性挑戰(zhàn)中，有統(tǒng)計數(shù)字顯示，過去的2008年中，安全漏洞的數(shù)量比2007年增長了13.5%，總共發(fā)現(xiàn)了7,406個全新的安全漏洞。2001-2006年間，安全漏洞平均年增長率是36.5%。安全漏洞數(shù)量在2008年達到前所未有的水平。在所有的安全漏洞中，有54.9%是Web應用安全漏洞，2008年披露的Web應用安全漏洞中，有74%到年底還沒有補丁。

中國在躍升為世界上第一互聯(lián)網(wǎng)大國的同時，2008年中國的惡意網(wǎng)站數(shù)量也首次超過美國，位居世界第一。

在企業(yè)的IT系統(tǒng)中，傳統(tǒng)的防火墻重在抵御簡單的威脅和入侵攻擊。企業(yè)級防火墻增加了統(tǒng)一威脅管理（UTM）服務，如防病毒、防間諜軟件、入侵防御、內容過濾，甚至一些防垃圾郵件服務，以增強威脅防御功能。穿越防火墻的大多數(shù)流量都不具威脅性，而是些應用和數(shù)據(jù)。而這就是應用防火墻由來的原因，應用防火墻可管理和控制穿越防火墻的數(shù)據(jù)和應用。

應用防火墻有什么作用？

應用防火墻提供了帶寬管理和控制、應用層訪問控制、數(shù)據(jù)泄露控制功能、對特定文件和文檔傳輸進行限制及其它功能。

應用防火墻的工作原理是什么？

應用防火墻可根據(jù)用戶、應用、進程或IP子網(wǎng)層允許自定義訪問控制。這樣，管理員可以創(chuàng)建各種應用策略，使應用可供訪問并首次真正實現(xiàn)對應用的管理。應用防火墻可以幫助企業(yè)做十件事。

第一件事：管理流視頻

訪問流視頻網(wǎng)站如youtube.com 有時對我們非常有用，但通常會被濫用。攔截網(wǎng)站本身可能有效，但最好是限制分配給流視頻網(wǎng)站的帶寬。

創(chuàng)建策略來限制流視頻：

■ 使用深度包檢測（DPI）引擎在HTTP報頭中搜索HTTP網(wǎng)址=www.youtube.com。

■ 將帶寬限制應用于帶此報頭的流量。

第二件事：分組帶寬管理

在第一件事中，我們對youtube.com等流視頻網(wǎng)站運用了帶寬限制。如今，公司首席執(zhí)行官和首席財務官總在抱怨每天訪問的“商業(yè)新聞視頻”速度太慢。您可以通過放松對每個人的帶寬限制來改善這種情況，但還有一個更好的方法，那就是進行分組帶寬管理。

創(chuàng)建不限制管理層瀏覽流視頻的策略，方法如下：

■ 將此策略應用于LDAP 服務器導入的“管理”組

■ 使用深度包檢測（DPI）引擎在HTTP報頭中搜索HTTP網(wǎng)址= www.youtube.com

■ 確保包含此報頭的流量具有足夠的帶寬

第三件事：郵件和數(shù)據(jù)丟失

假設公司現(xiàn)有的防垃圾郵件防護系統(tǒng)可以檢測和阻止包含“公司機密”信息的外發(fā)電子郵件。但是，如果員工使用Yahoo或Gmail郵件服務來發(fā)送“公司機密”信息呢？

創(chuàng)建策略來攔截“公司機密”電子郵件：

■ 使用深度包檢測（DPI）引擎搜索電子郵件內容=“公司機密”

■ 阻止郵件發(fā)送，并通知發(fā)件人此郵件為“公司機密”

第四件事：應用使用強制

您的老板：希望使用Internet Explorer（IE）7.0版本作為標準瀏覽器。

您的任務：確保公司所有系統(tǒng)都使用IE 7.0 版本，而不使用其它任何版本！

您可能采用的解決方案如下：

1. 每天檢查每個人的系統(tǒng)，查找“外來”瀏覽器。

2. 安裝一種腳本來檢查每個人的系統(tǒng)，以查找出“外來”瀏覽器，同時確保腳本每天都會檢查每個人的系統(tǒng)。

3. 在應用防火墻中設置一種策略，從此便不再擔心。

創(chuàng)建“我找到了更好的解決方案”策略：

■ 使用深度包檢測（DPI）引擎在HTTP報頭中搜索用戶代理=MSIE 7.0

■ 允許 IE 7.0 流量，阻止其它瀏覽器

第五件事：拒絕FTP上傳

您可以建立一個FTP 網(wǎng)站，以便與業(yè)務合作伙伴交換大型文件，同時，您希望確保合作伙伴方面只有項目經(jīng)理可以上傳文件，其他任何人都不允許這樣做。

創(chuàng)建策略來允許FTP上傳，但上傳只限于少數(shù)人

■ 使用深度包檢測（DPI）引擎搜索FTP命令=放置

■ 使用DPI引擎搜索驗證的用戶名= “pm_partner”

■ 如果兩者均符合，就允許放置

第六件事：控制P2P應用

問題1：對等網(wǎng)（P2P）應用如BitTorrent 可盜用寬帶，同時會帶來各種各樣的惡意文件。

問題2：創(chuàng)建新的P2P應用或簡單修改現(xiàn)有的P2P應用（如修改版本號）是常有的事。

創(chuàng)建策略來檢測P2P應用，使用深度包檢測（DPI）引擎搜索IPS簽名表中的P2P應用簽名

第七件事：管理流音樂

流音頻網(wǎng)站和流廣播網(wǎng)站占用了非常寶貴的帶寬，但是，公司又不得不訪問這類網(wǎng)站。目前，只有兩種辦法可以應對這一挑戰(zhàn)。

（1） 通過網(wǎng)站進行控制

■創(chuàng)建一份您希望管理的流音頻網(wǎng)站名單

■創(chuàng)建策略來檢測流音頻網(wǎng)站

■ 使用深度包檢測（DPI）引擎在HTTP報頭中搜索HTTP網(wǎng)址= 流音頻網(wǎng)站攔截列表

（2）通過文件擴展名進行控制

■創(chuàng)建一份您希望管理的音頻文件擴展名列表

■創(chuàng)建策略來檢測流音頻內容

■ 使用深度包檢測（DPI）引擎在HTTP報頭中搜索文件擴展名= 流音頻擴展名攔截列表

第八件事：對應用帶寬進行優(yōu)先排序

如今，許多關鍵業(yè)務應用如SAP、Salesforce.com和SharePoint都是基于云計算的應用，或者，它們的運行需要跨越不同地理位置的網(wǎng)絡。確保這些應用可以優(yōu)先獲得運行所需的帶寬，從而改善業(yè)務效率。

創(chuàng)建策略為 SAP 應用分配帶寬優(yōu)先權：

■ 使用深度包檢測（DPI）引擎搜索應用簽名或應用名稱

■ 為 SAP 應用分配更高的帶寬優(yōu)先級

第九件事：攔截機密文件

在一些公司內，外發(fā)電子郵件無法穿越電子郵件安全系統(tǒng)或系統(tǒng)無法檢查電子郵件附件的內容。不管是以上哪種情況，作為電子郵件附件的“公司機密”文件可被輕松地帶出公司外。

一旦外發(fā)網(wǎng)絡流量穿越公司防火墻，您可以檢測并攔截“移動中的數(shù)據(jù)”。

創(chuàng)建策略來攔截包含加蓋了“公司機密”水印的電子郵件附件

■ 使用深度包檢測（DPI）引擎搜索：電子郵件內容 =“公司機密”和“公司專有”和“私有”……

第十件事：攔截被禁止文件并發(fā)出通知

貴公司防火墻可以攔截以下內容嗎？

■ 從網(wǎng)頁中下載的EXE 文件。

■ 作為電子郵件附件的EXE 文件。

■ 經(jīng)由FTP傳輸?shù)腅XE 文件。

那么，PIF、SRC或VBS文件呢？

■創(chuàng)建被禁止文件擴展名列表。

■創(chuàng)建策略來攔截被禁止文件擴展名。

■ 使用深度包檢測（DPI）引擎搜索HTTP、電子郵件附件或FTP的文件擴展名= 被禁止文件擴展名。

■如果文件被攔截，對發(fā)件人發(fā)出通知。

（來自互聯(lián)網(wǎng)）