搜索

[11139] 2017-03-17_【企业研究报告】新一代防火墙的撕X大戏：PaloAltoNetworks安全公司全解读

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-03-17_【企业研究报告】新一代防火墙的撕X大戏：PaloAltoNetworks安全公司全解读 【 企 业 研 究 报 告 】 新 一 代 防 火 墙 的 撕 X 大 戏 ： P a l o   A l t o   N e t w o r k s 安 全 公 司 全 解 读 欧 阳 洋 葱   F r e e B u f   2 0 1 7 - 0 3 - 1 7 “ 防 火 墙 防 火 墙 ” 到 底 是 谁 发 明 的 ？ 如 果 你 去 追 本 溯 源 ， 会 发 现 到 底 是 谁 发 明 的 ？ 如 果 你 去 追 本 溯 源 ， 会 发 现 “ 防 火 墙 之 父 防 火 墙 之 父 ” 的 这 个 头 衔 似 乎 存 在 于 很 多 人 身 上 。 的 这 个 头 衔 似 乎 存 在 于 很 多 人 身 上 。 早 在 早 在 9 0 年 代 初 ， 年 代 初 ， W i l l i a m   C h e s w i c k 和 和 S t e v e n   B e l l o v i n 撰 写 了 有 关 防 火 墙 的 一 本 书 《 防 火 墙 与 互 联 网 安 全 》 ； 撰 写 了 有 关 防 火 墙 的 一 本 书 《 防 火 墙 与 互 联 网 安 全 》 ； D a v i d   P e n s a k 宣 称 宣 称 他 构 建 了 首 个 在 商 业 上 成 功 的 防 火 墙 ； 他 构 建 了 首 个 在 商 业 上 成 功 的 防 火 墙 ； M a r c u s   R a n u m 说 他 的 成 就 就 是 防 火 墙 发 明 者 ； 还 有 个 名 叫 说 他 的 成 就 就 是 防 火 墙 发 明 者 ； 还 有 个 名 叫 N i r   Z u k 的 家 伙 说 ， 当 代 防 的 家 伙 说 ， 当 代 防 火 墙 是 他 发 明 的 火 墙 是 他 发 明 的 … G a r t n e r 副 总 裁 、 著 名 分 析 师 J o h n   P e s c a t o r e 对 此 有 这 样 一 番 解 释 ： “ C h e s w i c k 和 B o l l o v i n 是 网 络 防 火 墙 概 念 之 父 ： 即 采 用 包 过 滤 的 方 式 D e n y   A l l ， 并 设 定 A l l o w 例 外 。 而 R a n u m 是 初 代 防 火 墙 ‘ 产 品 ’ — — D E C   S E A L 之 父 ， 就 是 那 个 著 名 的 开 源 防 火 墙 （ 1 9 9 2 年 就 正 式 推 出 了 ） 。 ” “ P r e s o t t o （ 及 其 同 事 ） 创 造 了 状 态 检 测 防 火 墙 的 概 念 。 Z u k 则 是 状 态 防 火 墙 产 品 之 父 （ 在 C h e c k   P o i n t 的 时 候 ） ， 随 后 Z u k 在 N e t S c r e e n 公 司 的 时 候 则 推 出 了 应 用 防 火 墙 ， 所 以 我 觉 得 应 该 称 他 为 防 火 墙 设 备 之 父 。 ” [ 1 ] 我 们 来 单 独 看 看 最 后 这 个 叫 N i r   Z u k 的 以 色 列 人 ， 他 曾 经 说 过 ： “ 现 如 今 这 个 世 界 只 有 一 种 防 火 墙 技 术 ， 那 就 是 我 发 明 的 这 种 。 而 其 他 人 所 有 的 工 作 都 纯 粹 只 停 留 在 纸 面 上 。 ” 细 究 谁 是 防 火 墙 之 父 的 问 题 并 没 有 多 大 价 值 ， 而 这 个 叫 N i r   Z u k 的 家 伙 乃 是 这 篇 文 章 将 要 详 细 讨 论 的 公 司 ， P a l o   A l t o   N e t w o r k s 的 联 合 创 始 人 兼 C T O 。 然 而 ， N i r   Z u k 帮 助 构 建 状 态 检 测 防 火 墙 技 术 ， 其 实 是 他 还 在 C h e c k   P o i n t 这 家 公 司 的 事 情 了 。 P a l o   A l t o   N e t w o r k s 联 合 创 始 人 兼 C T O   N i r   Z u k 在 F r e e B u f 看 来 ， 即 便 对 于 防 火 墙 技 术 研 发 有 杰 出 贡 献 的 人 有 很 多 ， N i r   Z u k 也 不 愧 “ 防 火 墙 之 父 ” 的 名 号 。 可 以 说 ， 这 两 年 很 火 的 “ 新 一 代 防 火 墙 （ N e x t - G e n e r a t i o n   F i r e w a l l ， N G F W ） ” 概 念 就 是 P a l o   A l t o   N e t w o r k s 一 手 打 造 的 。 P a l o   A l t o   N e t w o r k s 这 家 公 司 也 因 此 从 未 脱 离 “ 革 命 ” 二 字 ， 这 与 Z u k 的 个 性 和 经 历 存 在 莫 大 关 联 。 本 文 尝 试 以 本 文 尝 试 以 Z u k 的 故 事 为 出 发 点 ， 以 的 故 事 为 出 发 点 ， 以 “ 革 命 革 命 ” 为 关 键 词 ， 探 讨 为 关 键 词 ， 探 讨 P a l o   A l t o   N e t w o r k s 这 家 公 司 的 特 色 。 这 家 公 司 的 特 色 。
与 与 C h e c k   P o i n t 不 得 不 说 的 那 些 年 不 得 不 说 的 那 些 年 有 关 状 态 检 测 防 火 墙 ， 和 新 一 代 防 火 墙 （ 或 者 叫 下 一 代 防 火 墙 ） 的 概 念 ， 我 们 在 先 前 思 科 防 火 墙 的 评 测 中 已 经 花 了 比 较 大 的 篇 幅 去 介 绍 （ 点 击 这 里 ） 。 用 一 句 话 来 概 括 ， 新 一 代 防 火 墙 相 较 状 态 检 测 防 火 墙 ， 其 特 点 是 将 对 流 量 的 检 测 提 升 到 了 应 用 层 （ 第 七 层 ） ， 而 状 态 检 测 防 火 墙 仅 停 留 在 网 络 层 和 传 输 层 （ 第 三 层 & 第 四 层 ） 。 2 0 1 6 Q 1 防 火 墙 设 备 的 市 场 占 比 排 名 前 些 年 ， 思 科 的 A S A 状 态 检 测 防 火 墙 市 场 占 有 率 就 在 连 年 下 滑 ， 其 根 本 原 因 是 思 科 对 于 新 一 代 防 火 墙 的 反 映 比 较 慢 ， 自 2 0 1 3 年 收 购 S o u r c e f i r e 之 后 才 开 始 力 推 F i r e P O W E R 系 列 “ 新 一 代 防 火 墙 ” — — 这 部 分 市 场 正 被 C h e c k   P o i n t 和 P a l o   A l t o   N e t w o r k s 全 面 蚕 食 。 从 G a r t n e r 去 年 的 统 计 数 据 也 不 难 发 现 防 火 墙 市 场 现 如 今 的 格 局 。 故 事 在 此 背 景 下 便 可 说 开 去 。 状 态 检 测 防 火 墙 就 是 状 态 检 测 防 火 墙 就 是 C h e c k   P o i n t 公 司 最 早 推 出 的 。 公 司 最 早 推 出 的 。 当 时 从 U n i t   8 2 0 0 （ 以 色 列 国 防 部 旗 下 的 神 秘 间 谍 部 队 ） 退 役 、 二 十 多 岁 的 N i r   Z u k 就 是 C h e c k   P o i n t 公 司 的 技 术 主 力 — — 他 和 C h e c k   P o i n t 联 合 创 始 人 G i l   S h w e d ， 早 在 U n i t   8 2 0 0 部 队 的 时 候 就 是 非 常 要 好 的 朋 友 。 S h w e d 说 来 也 是 个 神 人 ， 他 在 U n i t   8 2 0 0 服 役 期 间 就 打 造 了 全 球 首 款 基 于 I P 地 址 对 流 量 进 行 筛 选 的 包 过 滤 设 备 。 Z u k 在 1 9 9 0 年 加 入 了 S h w e d 的 队 伍 ， 直 到 S h w e d 退 役 并 于 1 9 9 3 年 成 立 了 C h e c k   P o i n t （ 和 另 外 两 个 同 为 军 人 出 身 的 S h l o m o   K r a m e r 和 M a r i u s   N a c h t ） 。 1 9 9 4 年 ， Z u k 也 加 入 了 C h e c k   P o i n t ， 并 帮 助 公 司 打 造 了 极 富 盛 名 的 状 态 检 测 防 火 墙 。 [ 2 ]
C h e c k   P o i n t 联 合 创 始 人 兼 C E O   G i l   S h w e d 用 现 在 的 话 来 说 ， Z u k 本 人 当 时 就 是 个 极 客 ， 每 天 都 在 想 着 开 发 新 产 品 ， 似 乎 没 有 “ 革 命 ” 就 没 法 活 下 去 。 这 也 是 Z u k 被 称 作 “ 防 火 墙 之 父 ” 的 原 因 之 一 。 1 9 9 7 年 之 后 ， Z u k 搬 去 美 国 加 州 为 C h e c k   P o i n t 开 发 新 产 品 ， 他 与 妻 子 还 一 起 在 美 国 买 了 房 子 准 备 在 美 国 常 住 。 当 时 他 对 于 团 队 打 造 的 新 产 品 极 具 信 心 ， 但 C h e c k   P o i n t 以 色 列 总 部 在 这 款 产 品 即 将 发 布 之 际 砍 掉 了 该 项 目 。 按 照 Z u k 本 人 的 说 法 ， 总 部 给 的 理 由 是 ： “ 以 色 列 总 部 的 工 程 师 对 于 有 人 只 是 为 了 好 玩 ， 而 在 美 国 打 造 新 产 品 感 到 很 愤 怒 。 ” （ 2 0 1 0 年 在 I T W o r l d 采 访 Z u k 的 时 候 ， 他 特 别 补 充 说 ： 我 没 在 开 玩 笑 ， 这 就 是 他 们 给 的 理 由 。 [ 3 ] ） Z u k 旋 即 选 择 了 离 开 C h e c k   P o i n t 。 在 离 开 C h e c k   P o i n t 之 后 ， 他 自 己 开 办 了 一 家 公 司 ， 这 家 公 司 2 0 0 2 年 被 N e t s c r e e n 收 购 。 在 不 到 一 年 的 时 间 里 ， N e t S c r e e n 就 成 为 全 球 第 二 大 防 火 墙 供 应 商 。 2 0 0 4 年 ， N e t S c r e e n 又 被 J u n i p e r   N e t w o r k s 收 购 。 J u n i p e r 在 当 时 的 安 全 行 业 已 经 是 家 大 公 司 了 ， Z u k 觉 得 他 根 本 就 不 能 适 应 大 公 司 整 天 削 减 支 出 ， 一 个 决 策 就 要 在 企 业 内 部 打 转 好 几 圈 的 这 种 官 僚 作 风 ， 所 以 再 度 决 定 辞 职 。 J u n i p e r 在 对 他 挽 留 的 当 下 ， 他 提 要 求 说 ： 要 我 留 下 ， 我 的 要 求 包 括 ： 我 想 要 个 自 己 的 项 目 ， 我 要 打 造 一 款 全 新 的 防 火 墙 ， 我 需 要 我 想 要 个 自 己 的 项 目 ， 我 要 打 造 一 款 全 新 的 防 火 墙 ， 我 需 要 1 0 0 0 万 美 元 的 预 算 ， 我 还 需 要 万 美 元 的 预 算 ， 我 还 需 要 挑 选 挑 选 2 5 个 人 ， 给 我 两 年 时 间 ！ 个 人 ， 给 我 两 年 时 间 ！ J u n i p e r 并 没 有 满 足 Z u k 的 要 求 ， Z u k 便 离 开 了 这 家 公 司 。 现 在 想 想 ， 假 若 J u n i p e r 真 的 拨 出 了 这 些 人 和 预 算 ， “ 新 一 代 防 火 墙 ” 的 话 语 权 说 不 定 就 已 经 在 J u n i p e r 手 中 了 。 只 不 过 大 企 业 错 失 良 机 的 故 事 比 比 皆 是 ， 这 样 的 事 也 算 不 得 稀 罕 。 2 0 0 5 年 ， Z u k 的 生 活 和 事 业 陷 入 低 谷 ， 1 0 年 婚 姻 也 随 工 作 变 迁 而 消 失 。 此 时 的 Z u k 已 经 3 5 岁 ， 他 搬 到 了 山 景 城 的 一 座 小 公 寓 中 生 活 ， 位 于 P a l o   A l t o 外 围 。 在 Z u k 的 生 活 不 如 意 之 际 ， 他 接 到 了 A s h e e m   C h a n d n a 的 电 话 — — C h a n d n a 是 谁 ？ 这 人 原 本 是 C h e c k   P o i n t 的 副 总 裁 ， 比 先 前 Z u k 还 早 2 年 从 C h e c k   P o i n t 离 职 。 C h a n d n a 当 时 在 一 家 名 叫 G r e y l o c k 风 投 公 司 ， 据 说 他 一 直 在 关 注 Z u k 这 些 年 的 动 向 ， 因 为 Z u k 是 C h e c k   P o i n t 团 队 中 “ 最 醒 目 的 （ b r i g h t e s t ） ” 。
G r e y l o c k 和 S e q u o i a   C a p i t a l 两 家 风 投 公 司 随 后 给 了 Z u k   2 5 万 美 元 的 启 动 资 金 ， Z u k 就 是 在 这 两 家 公 司 的 办 公 室 一 手 打 造 了 当 下 极 富 盛 名 的 “ 新 一 代 防 火 墙 ” ， 这 便 是 P a l o   A l t o   N e t w o r k s 公 司 的 由 来 。 值 得 一 提 的 是 ， 第 二 年 ， 这 两 家 风 投 公 司 又 给 P a l o   A l t o   N e t w o r k s 注 资 超 过 9 0 0 万 美 元 ， 而 C h e c k   P o i n t 的 另 一 名 联 合 创 始 人 S h l o m o   K r a m e r 也 选 择 了 给 这 家 新 公 司 注 资 。 这 样 一 来 ， P a l o   A l t o   N e t w o r k s 与 C h e c k   P o i n t 这 种 千 丝 万 缕 的 联 系 便 始 终 不 曾 断 过 。 前 者 的 董 事 会 成 员 就 包 括 了 后 者 的 两 名 “ 叛 兵 ” ， C h e c k   P o i n t 联 合 创 始 人 S h l o m o   K r a m e r 和 前 副 总 裁 A s h e e m   C h a n d n a 。 这 已 经 足 够 说 明 Z u k 在 技 术 上 是 何 等 受 到 其 他 人 的 肯 定 。 新 一 代 防 火 墙 的 撕 新 一 代 防 火 墙 的 撕 X 大 戏 大 戏 似 乎 在 早 前 Z u k 离 开 C h e c k   P o i n t 之 后 ， 便 与 昔 日 好 友 S h w e d （ C h e c k   P o i n t 的 联 合 创 始 人 ， 也 是 现 在 的 C E O ） 真 正 变 得 势 不 两 立 。 即 便 是 P a l o   A l t o   N e t w o r k s 早 已 上 市 的 今 天 （ 2 0 1 2 年 6 月 ， P A N 募 集 2 . 6 亿 美 元 资 金 I P O 上 市 ） ， 依 然 可 以 看 到 Z u k 隔 空 与 S h w e d 撕 X ， 讽 刺 对 方 的 产 品 很 糟 糕 。 福 布 斯 杂 志 当 年 追 问 S h w e d 这 段 历 史 的 时 候 ， S h w e d 甚 至 对 于 Z u k 和 P a l o   A l t o   N e t w o r k s 的 名 字 都 绝 口 不 提 。 “ 我 觉 得 一 个 好 人 这 样 做 事 是 件 很 悲 哀 的 事 情 。 这 个 人 是 先 前 C h e c k   P o i n t 的 一 个 很 不 开 心 的 员 工 ， 一 个 很 聪 明 的 人 ” ， “ 他 们 也 有 好 的 一 面 ， 我 倾 向 于 去 考 虑 我 们 越 来 越 好 ， 技 术 也 越 来 越 棒 ” 。 这 番 话 中 不 知 省 略 了 几 万 字 用 以 表 达 双 方 现 如 今 的 状 态 。 其 实 无 论 P a l o   A l t o   N e t w o r k s 如 何 讽 刺 C h e c k   P o i n t 的 防 火 墙 产 品 根 本 就 不 能 算 是 新 一 代 防 火 墙 ， 我 们 从 G a r t n e r 的 企 业 防 火 墙 魔 力 象 限 之 上 也 依 旧 能 看 到 ， 这 两 家 公 司 的 防 火 墙 常 年 占 据 第 一 象 限 的 制 高 点 ， 几 乎 被 G a r t n e r 认 为 是 现 如 今 最 优 秀 的 防 火 墙 产 品 。
2 0 1 6 年 G a r t n e r 企 业 网 络 防 火 墙 魔 力 象 限 看 G a r t n e r 在 去 年 5 月 份 发 布 的 企 业 网 络 防 火 墙 魔 力 象 限 ， P a l o   A l t o   N e t w o r k s 已 经 连 续 第 五 年 位 于 L e a d e r s 领 导 者 象 限 ， 而 且 在 纵 坐 标 的 执 行 能 力 （ A b i l i t y   t o   E x e c u t e ） 方 面 冠 压 群 雄 。 然 而 ， “ 唯 二 ” 与 P a l o   A l t o   N e t w o r k s 位 于 L e a d e r s 象 限 的 ， 也 就 只 有 C h e c k   P o i n t 了 ， 且 C h e c k   P o i n t 在 横 坐 标 的 前 瞻 性 （ C o m p l e t e n e s s   o f   V i s i o n ） 方 面 表 现 得 更 优 秀 。 （ 看 看 J u n i p e r … ） 实 际 上 C h e c k   P o i n t 在 这 个 魔 力 象 限 中 也 已 经 连 续 数 年 蝉 联 L e a d e r s 位 置 ， 所 以 这 两 者 的 实 力 都 并 不 是 吹 出 来 的 。 翻 看 这 两 家 公 司 近 期 的 季 度 财 报 ， 其 季 度 营 收 都 越 来 越 靠 近 ， 可 C h e c k   P o i n t 早 在 1 9 9 3 年 就 成 立 了 ， P a l o   A l t o   N e t w o r k s 却 整 整 晚 了 1 2 年 ， 其 追 赶 速 度 不 可 谓 不 神 速 。 那 么 这 两 位 撕 X 的 点 究 竟 在 哪 儿 呢 ？ 这 是 本 文 接 下 来 要 分 析 的 重 点 ， 理 解 了 这 个 问 题 ， 自 然 也 就 能 够 了 解 “ 新 一 代 防 火 墙 ” 这 个 概 念 究 竟 谁 才 是 正 统 。 从 2 0 0 9 年 G a r t n e r 正 式 对 “ 新 一 代 防 火 墙 ” 这 个 名 词 下 定 义 [ 5 ] ， 新 一 代 防 火 墙 就 已 经 不 光 是 个 营 销 噱 头 了 。 我 们 再 回 顾 一 下 新 一 代 防 火 墙 需 要 满 足 的 主 要 要 求 ： -   标 准 第 一 代 防 火 墙 能 力 （ 包 过 滤 、 N A T 、 状 态 协 议 检 查 、 V P N 等 ） ；
-   不 仅 限 于 融 入 网 络 入 侵 防 御 能 力 ； -   应 用 感 知 ， 和 全 栈 可 视 性 ； -   支 持 防 火 墙 以 外 的 威 胁 情 报 。 实 际 上 ， 这 其 中 最 重 要 的 部 分 就 是 所 谓 的 “ 应 用 感 知 和 全 栈 可 视 性 ” 。 这 是 新 一 代 防 火 墙 相 较 状 态 检 测 防 火 墙 最 大 的 区 别 ， 将 针 对 流 量 的 检 测 提 升 到 了 O S I 模 型 中 的 第 七 层 ， 并 依 据 对 应 用 层 的 流 量 检 查 ， 实 现 对 应 用 的 识 别 ， 以 及 直 观 的 可 视 化 。 比 如 说 ， 在 这 种 功 能 的 加 持 下 ， 防 火 墙 可 以 实 现 允 许 S k y p e 应 用 流 量 ， 但 同 时 却 禁 止 S k y p e 应 用 中 的 文 件 共 享 功 能 。 这 是 以 前 的 防 火 墙 无 法 实 现 的 功 能 。 当 代 很 多 防 火 墙 提 供 商 都 宣 称 自 己 所 推 的 是 新 一 代 防 火 墙 ， 但 我 们 认 为 ， 从 G a r t n e r 针 对 新 一 代 防 火 墙 的 完 整 定 义 来 看 ， P a l o   A l t o   N e t w o r k s 可 能 是 为 数 不 多 真 正 有 底 气 可 以 说 自 己 的 产 品 才 是 新 一 代 防 火 墙 的 厂 商 （ 毕 竟 这 货 就 是 他 们 发 明 的 ） 。 如 F o r t i n e t 之 类 前 期 在 推 U T M （ 统 一 威 胁 管 理 ） 设 备 的 厂 商 曾 经 说 ， 新 一 代 防 火 墙 只 是 个 营 销 噱 头 ， 本 质 上 新 一 代 防 火 墙 就 是 U T M 。 如 果 你 对 U T M 有 过 了 解 就 不 难 发 现 ， U T M 的 理 念 是 对 诸 多 网 络 安 全 设 备 做 整 合 ， 企 业 购 买 一 台 设 备 就 能 解 决 很 多 问 题 ， U T M 中 的 I P S 模 块 本 质 上 的 确 也 有 应 用 层 的 深 度 包 检 测 能 力 ， 这 应 该 是 F o r t i n e t 认 为 新 一 代 防 火 墙 和 U T M 本 质 相 同 的 原 因 所 在 。 但 这 些 年 ， 不 难 发 现 像 F o r t i n e t 这 样 的 厂 商 也 开 始 热 推 “ 新 一 代 防 火 墙 ” 产 品 ， 且 与 其 看 家 的 U T M 是 区 分 开 的 ， 两 者 是 否 有 差 异 也 就 不 难 理 解 了 。 那 么 P a l o   A l t o   N e t w o r k s 说 自 家 新 一 代 防 火 墙 “ 正 宗 ” 的 底 气 在 哪 儿 ？ 从 其 产 品 的 源 起 开 始 ， P a l o   A l t o   N e t w o r k s 的 几 大 杀 手 锏 就 包 括 了 防 火 墙 的 单 流 架 构 （ S i n g l e - P a s s   A r c h i t e c t u r e ， 或 者 译 作 单 通 架 构 ） 、 对 A p p - I D 、 U s e r - I D 和 C o n t e n t - I D 的 识 别 ， 从 应 用 、 内 容 和 用 户 三 个 层 面 ， 做 到 七 层 可 视 性 。 其 中 的 单 流 架 构 单 流 架 构 可 能 就 是 根 源 所 在 了 。 我 们 先 前 在 分 析 思 科 的 防 火 墙 产 品 的 时 候 曾 经 提 到 过 ， 思 科 刚 开 始 应 对 新 一 代 防 火 墙 来 势 汹 汹 的 方 法 是 ， 相 对 机 械 地 给 A S A 状 态 检 测 防 火 墙 ， 直 接 搭 配 F i r e P O W E R 模 块 （ 来 自 收 购 的 S o u r c e F i r e ） 。
就 好 像 一 个 机 架 上 有 两 台 设 备 ， A S A 代 码 和 F i r e P O W E R 部 分 分 开 ， 在 流 量 流 经 的 时 候 ， 一 个 包 至 少 需 要 被 检 查 2 次 ， 首 先 是 A S A 部 分 ， 随 后 再 借 由 F i r e P O W E R 引 擎 处 理 检 查 。 即 便 后 来 推 出 的 F i r e P O W E R 防 火 墙 已 经 采 用 统 一 镜 像 ， 也 仍 然 是 A S A 运 行 在 F T D   O S 之 上 的 容 器 中 ， F T D 镜 像 或 本 身 更 像 是 设 备 中 跑 在 e X t e n s i b l e   O S 系 统 上 的 虚 拟 机 。 这 很 大 程 度 上 是 上 一 代 做 防 火 墙 产 品 的 常 规 思 路 ， P a l o   A l t o   N e t w o r k s 的 说 法 是 ， “ 传 统 安 全 整 合 的 方 式 就 是 在 基 础 防 火 墙 之 上 加 入 功 能 。 ” “ 这 甚 至 不 能 称 为 整 合 ， 而 是 合 并 （ c o n s o l i d a t i o n ） ， 只 是 简 单 将 多 个 产 品 做 成 一 个 独 立 的 设 备 只 是 简 单 将 多 个 产 品 做 成 一 个 独 立 的 设 备 。 ” “ 由 于 功 能 都 在 同 一 台 设 备 上 实 现 ， 所 以 会 有 整 合 的 错 觉 。 ” “ 每 个 功 能 都 在 消 耗 系 统 资 源 。 ” [ 6 ] 这 些 用 词 看 起 来 很 大 程 度 上 是 在 讽 刺 U T M 。 从 结 构 复 杂 性 、 网 络 性 能 的 角 度 来 看 ， 在 安 全 部 署 中 每 加 入 一 台 新 的 安 全 设 备 的 确 会 增 加 架 构 和 管 理 的 复 杂 性 ； 且 新 设 备 的 加 入 意 味 着 网 络 延 迟 会 有 增 加 。 如 上 图 所 示 ， 不 同 模 块 捕 捉 不 同 的 应 用 ， 这 是 个 相 对 混 乱 的 局 面 ， 最 终 要 呈 现 的 综 合 可 视 性 也 有 难 度 。 这 种 非 持 续 性 在 流 量 分 类 的 问 题 上 是 存 在 缺 陷 的 ， 也 一 定 程 度 增 大 了 安 全 风 险 。 P a l o   A l t o   N e t w o r k s 相 较 当 前 绝 大 部 分 防 火 墙 市 场 的 玩 家 都 更 年 轻 ， 所 以 的 确 是 如 Z u k 想 的 那 样 从 头 打 造 了 一 款 防 火 墙 。 其 防 火 墙 从 设 计 之 初 就 想 到 采 用 单 流 架 构 来 处 理 包 。 这 种 架 构 针 对 每 个 包 只 执 行 一 次 操 作 。 在 防 火 墙 进 行 包 处 理 的 时 候 ， 针 对 所 有 流 量 ， n e t w o r k i n g 、 策 略 查 询 、 应 用 与 解 码 以 及 签 名 匹 配 都 只 执 行 一 次 ； 而 且 这 种 架 构 在 首 先 执 行 全 栈 （ f u l l - s t a c k ） 检 查 后 ， 将 结 果 上 下 文 面 向 所 有 安 全 执 行 选 项 开 放 。 总 结 成 一 句 话 ， 是 “ 扫 描 全 部 ， 扫 描 一 次 扫 描 全 部 ， 扫 描 一 次 ” 。 实 际 上 ， 这 是 相 当 理 想 化 的 一 种 防 火 墙 架 构 ， 尤 其 是 在 增 加 了 第 七 层 应 用 可 视 性 之 后 。 从 理 论 上 来 说 ， 这 样 的 架 构 的 确 更 有 助 于 节 约 硬 件 资 源 ， 也 能 保 持 更 低 的 网 络 延 迟 。 而 且 其 技 术 亮 点 还 有 一 点 是 值 得 一 提 的 ， 就 是 硬 件 加 速 。 其 实 硬 件 加 速 在 传 统 多 安 全 设 备 叠 加 的 架 构 上 是 个 很 奢 侈 的 概 念 ， 一 旦 涉 及 到 多 引 擎 扫 描 ， 硬 件 加 速 就 很 难 了 — — 因 为 很 多 厂 商 开 发 的 “ 新 一 代 防 火 墙 ” 针 对 应 用 层 的 内 容 扫 描 是 后 来 添 加 到 设 备 之 上 的 ， 而 不 是 从 设 计 伊 始 就 从 硬 件 和 软 件 层 面 做 到 贯 穿 整 合 。
所 以 P a l o   A l t o   N e t w o r k s 宣 称 他 们 的 防 火 墙 产 品 能 为 每 个 主 要 功 能 模 块 提 供 硬 件 加 速 ， 各 种 功 能 （ 包 括 U s e r - I D 、 A p p - I D 等 ） 都 在 专 门 的 处 理 器 上 执 行 ， 而 且 实 现 了 并 行 处 理 ， 这 就 是 依 据 所 在 。 P A - 5 0 0 0 系 列 的 硬 件 核 心 模 块 示 意 图 从 我 们 掌 握 的 信 息 来 看 ， 这 里 所 谓 的 “ 专 用 处 理 器 ” 算 不 上 什 么 黑 科 技 ， 或 者 说 并 没 有 奢 侈 到 采 用 非 标 准 器 件 的 程 度 。 以 P A 5 0 0 0 系 列 为 例 ， 防 火 墙 采 用 I n t e l   X e o n 四 核 处 理 器 ， 依 据 其 宣 传 册 上 画 的 处 理 流 程 ， 我 们 猜 测 应 该 是 令 F P G A （ 或 为 A S I C ？ ） 通 过 P C I e 总 线 连 接 X e o n 处 理 器 。 所 以 P a l o   A l t o   N e t w o r k s 防 火 墙 的 价 格 并 不 便 宜 ， 这 部 分 当 然 也 是 需 要 研 发 成 本 的 。 只 不 过 这 应 该 不 算 是 单 流 架 构 的 最 大 功 臣 ， 整 体 架 构 的 单 流 才 的 确 让 主 要 模 块 都 实 现 了 硬 件 加 速 和 并 行 处 理 。 基 于 这 种 单 流 架 构 ， P a l o   A l t o   N e t w o r k s 和 其 他 竞 争 对 手 撕 X 的 主 要 立 足 点 就 在 于 此 。 比 如 P a l o   A l t o   N e t w o r k s 嘲 笑 嘲 笑 C h e c k   P o i n t 的 所 谓 新 一 代 防 火 墙 ， 其 实 就 是 状 态 检 测 简 单 地 叠 加 了 的 所 谓 新 一 代 防 火 墙 ， 其 实 就 是 状 态 检 测 简 单 地 叠 加 了 “ A p p l i c a t i o n   B l a d e ” ， 甚 至 说 “ C h e c k   P o i n t 基 于 状 态 检 测 的 防 火 墙 ， 加 上 像 U T M 似 的 b l a d e ， 无 法 提 供 P a l o   A l t o   N e t w o r k s 所 能 提 供 的 安 全 应 用 能 力 [ 7 ] ” 。 P a l o   A l t o   N e t w o r k s 防 火 墙 简 要 解 析 防 火 墙 简 要 解 析 自 2 0 1 1 年 P a l o   A l t o   N e t w o r k s 在 G a r t n e r 的 企 业 防 火 墙 魔 力 象 限 位 居 L e a d e r s 象 限 以 来 ， G a r t n e r 都 言 明 这 种 单 流 架 构 都 为 其 客 户 所 乐 道 ， 而 且 的 确 在 性 能 方 面 相 较 竞 品 更 出 色 。 而 除 此 之 外 ， G a r t n e r 这 些 年 反 复 强 调 P a l o   A l t o   N e t w o r k s 的 另 一 个 强 项 在 A p p - I D 应 用 识 别 能 力 上 ， 在 管 理 类 设 备 中 ， 其 防 火 墙 产 品 总 是 在 配 置 方 便 性 和 应 用 识 别 上 拿 到 最 高 分 。
这 也 就 要 谈 到 P a l o   A l t o   N e t w o r k s 防 火 墙 在 应 用 可 视 化 、 威 胁 防 护 方 面 的 三 板 斧 了 — — 这 三 板 斧 可 能 是 目 前 所 有 新 一 代 防 火 墙 产 品 学 习 的 对 象 。 它 们 分 别 是 ： -     A p p - I D ： ： 从 这 个 宣 传 词 汇 不 难 理 解 ， 就 是 指 识 别 穿 越 网 络 的 应 用 是 什 么 。 这 实 际 上 是 新 一 代 防 火 墙 都 在 着 力 的 能 力 ， 也 是 实 现 应 用 可 视 性 的 基 础 。 P a l o   A l t o   N e t w o r k s 的 防 火 墙 针 对 应 用 的 识 别 也 并 不 依 赖 单 一 要 素 ， 包 括 应 用 签 名 、 T L S / S S L 和 S S H 流 量 的 解 密 、 应 用 和 协 议 D e c o d e （ 检 查 那 些 可 能 在 协 议 内 部 搞 隧 道 技 术 的 应 用 ， 以 及 在 应 用 内 识 别 某 个 特 别 的 功 能 ） 、 启 发 式 识 别 （ 针 对 隐 蔽 性 更 强 的 应 用 ， 比 如 使 用 专 门 加 密 的 V o I P 应 用 ） 。 新 一 代 防 火 墙 的 七 层 检 查 特 性 不 止 用 于 威 胁 检 测 拦 截 ， 还 在 于 应 用 控 制 ， 而 且 是 细 粒 度 的 应 用 功 能 控 制 。 比 如 说 允 许 企 业 员 工 浏 览 F a c e b o o k ， 但 是 不 允 许 使 用 F a c e b o o k 邮 件 、 聊 天 、 内 容 发 布 和 应 用 的 使 用 ； 再 比 如 说 允 许 用 户 用 即 时 通 讯 工 具 聊 天 ， 但 是 禁 止 文 件 传 输 ， 或 者 只 允 许 特 定 文 件 类 型 的 传 输 。 这 也 是 A p p - I D 能 够 实 现 的 。 P a l o   A l t o   N e t w o r k s 本 身 会 维 护 一 个 云 端 A p p - I D 数 据 库 ， 每 周 都 会 更 新 （ 每 周 更 新 3 - 5 个 可 识 别 的 A p p ） ， 增 加 更 多 已 知 的 商 业 应 用 。 对 于 A p p - I D 未 知 的 企 业 内 部 自 制 应 用 ， 防 火 墙 也 支 持 用 户 定 制 一 个 A p p - I D ， 由 用 户 定 义 应 用 分 类 和 检 查 ， 且 不 会 受 到 每 周 A p p - I D 更 新 的 影 响 。 -     U s e r - I D ： ： 基 于 用 户 和 分 组 — — 而 非 I P ， 来 实 现 可 视 性 、 安 全 策 略 和 报 告 的 一 种 能 力 。 从 名 字 就 不 难 理 解 ， 利 用 U s e r - I D 可 以 基 于 用 户 身 份 信 息 ， 进 行 应 用 和 内 容 启 用 策 略 的 部 署 ； 也 就 是 了 解 谁 在 网 络 中 使 用 应 用 。 实 现 以 非 I P 的 方 式 来 识 别 用 户 和 分 组 ， 其 中 的 方 式 还 是 比 较 多 的 。 针 对 U s e r - I D 的 识 别 方 式 包 括 G l o b a l P r o t e c t 客 户 端 （ 而 且 是 跨 主 流 平 台 的 ） 、 X M L   A P I 、 s y s l o g 监 听 、 端 口 映 射 （ 针 对 如 C i t r i x   X e n A p p 多 用 户 使 用 相 同 I P 的 情 况 ， 这 种 识 别 方 式 可 以 区 分 用 户 和 应 用 ） 、 X F F   H e a d e r s （ 代 理 服 务 器 会 隐 藏 用 户 I P ， 这 种 方 式 则 从 H T T P 客 户 端 请 求 的 X F F   h e a d e r 中 读 取 I P 地 址 ， 将 用 户 真 正 的 I P 地 址 和 用 户 名 对 应 起 来 ） 、 服 务 器 监 听 （ 针 对 M i c r o s o f t A c t i v e   D i r e c t o r y 、 E x c h a n g e 和 N o v e l l   e D i r e c t o r y 环 境 ） 、 客 户 端 探 查 。 -     C o n t e n t - I D ： ： 这 才 是 防 火 墙 威 胁 防 护 的 根 本 ； 主 要 是 用 于 限 制 未 经 授 权 的 数 据 和 文 件 传 输 ， 依 据 类 型 阻 止 敏 感 数 据 和 文 件 传 输 ； 检 测 和 阻 止 大 范 围 e x p l o i t 、 恶 意 程 序 、 具 有 威 胁 的 w e b 浏 览 ； 通 过 整 合 的 U R L 数 据 库 进 行 w e b 过 滤 。 在 具 体 实 现 上 包 括 了 与 A p p - I D 中 的 应 用 与 协 议 D e c o d e r 结 合 、 S S L 解 密 、 绕 行 技 术 控 制 等 方 式 ， 对 所 有 的 流 量 和 端 口 进 行 分 析 。
这 三 板 斧 解 决 的 问 题 概 括 成 三 句 话 就 是 ： 通 过 的 流 量 是 什 么 以 及 是 否 允 许 通 过 （ 通 过 的 流 量 是 什 么 以 及 是 否 允 许 通 过 （ A p p - I D ） ？ 是 否 允 许 特 定 用 户 或 分 组 通 过 （ ） ？ 是 否 允 许 特 定 用 户 或 分 组 通 过 （ U s e r - I D ） ？ 流 量 中 存 在 哪 些 风 险 和 威 胁 （ ） ？ 流 量 中 存 在 哪 些 风 险 和 威 胁 （ C o n t e n t - I D ） ？ ） ？ 这 其 中 尤 为 值 得 一 提 的 是 这 其 中 尤 为 值 得 一 提 的 是 W i l d F i r e ， 本 质 上 这 是 P a l o   A l t o   N e t w o r k s 的 威 胁 情 报 云 ， 是 这 家 公 司 安 全 版 图 布 局 中 相 当 重 要 的 一 部 分 — — 威 胁 情 报 本 身 就 是 从 端 点 到 网 络 安 全 设 备 都 在 着 力 的 组 成 部 分 。 针 对 防 火 墙 （ 以 及 端 点 安 全 的 T r a p s ） 无 法 识 别 的 应 用 和 威 胁 ， 防 火 墙 会 捕 捉 那 些 未 知 文 件 ， 交 由 W i l d F i r e 来 处 理 。 W i l d F i r e 也 是 P a l o   A l t o   N e t w o r k s 宣 称 可 预 防 未 知 威 胁 和 A P T 攻 击 的 根 本 所 在 。 W i l d F i r e 的 主 体 技 术 包 括 了 4 部 分 ， 分 别 是 动 态 分 析 ： 本 质 上 是 种 沙 盒 技 术 ， 不 过 是 云 上 的 沙 盒 — — 将 可 疑 文 件 放 置 到 虚 拟 环 境 中 ， 对 文 件 进 行 观 察 ， 利 用 数 百 种 行 为 特 色 ， 实 现 0 d a y 恶 意 程 序 和 e x p l o i t 的 检 查 ； 静 态 分 析 ： 动 态 分 析 的 补 充 ； 机 器 学 习 ： 训 练 可 预 测 的 机 器 学 习 c l a s s i f i e r ， 识 别 新 型 恶 意 程 序 和 e x p l o i t ； B e a r   M e t a l 分 析 ： 将 那 些 真 正 具 有 极 强 隐 蔽 性 的 威 胁 发 往 真 实 的 硬 件 环 境 进 行 检 测 。 当 某 个 原 本 未 知 的 样 本 被 标 记 为 恶 意 之 后 ， W i l d F i r e 就 会 更 新 ， 并 将 其 在 5 分 钟 内 推 送 给 所 有 W i l d F i r e 订 阅 用 户 。 此 外 ， 对 于 企 业 的 应 急 响 应 团 队 来 说 ， W i l d F i r e 会 给 出 事 件 的 整 合 日 志 、 分 析 和 可 视 化 ， 安 全 团 队 就 能 快 速 定 位 数 据 ， 做 出 响 应 。 按 照 P a l o   A l t o   N e t w o r k s 的 说 法 ， 已 经 有 超 过 1 4 0 0 0 家 企 业 、 政 府 和 服 务 提 供 商 在 共 建 W i l d F i r e 这 个 威 胁 情 报 云 了 。 不 光 是 上 述 防 火 墙 C o n t e n t - I D 利 用 W i l d F i r e 威 胁 情 报 云 ， P a l o   A l t o   N e t w o r k s 的 产 品 服 务 ， 比 如 的 产 品 服 务 ， 比 如 T r a p s 端 点 防 护 、 端 点 防 护 、 A p e r t u r e                 S a a S 安 全 服 务 ， 都 用 到 了 安 全 服 务 ， 都 用 到 了 W i l d F i r e 。 这 朵 云 有 与 F i r e E y e 的 威 胁 情 报 直 接 竞 争 的 意 思 。 撕 撕 X 从 没 怕 过 谁 的 从 没 怕 过 谁 的 Z u k   和 一 路 开 挂 的 和 一 路 开 挂 的 P a l o   A l t o   N e t w o r k s 无 论 从 哪 个 角 度 来 看 ， P a l o   A l t o   N e t w o r k s 的 防 火 墙 产 品 都 是 G a r t n e r 定 义 下 的 标 准 “ 新 一 代 防 火 墙 ” ， 或 者 说 G a r t n e r 可 能 就 是 按 照 这 家 公 司 的 防 火 墙 产 品 来 给 新 一 代 防 火 墙 下 定 义 的 。 我 们 从 这 些 漂 亮 的 理 论 解 决 方 案 ， 不 难 理 解 从 头 打 造 一 款 新 产 品 ， 而 无 需 像 老 厂 商 那 样 瞻 前 顾 后 ， 在 旧 有 技 术 上 做 新 技 术 的 粗 暴 加 法 ， 具 备 了 对 一 类 产 品 “ 革 命 ” 性 的 意 义 。 这 大 概 也 是 P a l o   A l t o   N e t w o r k s 这 些 年 发 展 如 此 神 速 的 原 因 。 早 些 年 ， （ 素 有 以 色 列 余 承 东 之 称 的 ） Z u k 大 嘴 就 曾 经 这 么 评 价 过 包 括 思 科 、 S o u r c e f i r e （ 那 时 思 科 还 没 收 购 S o u r c e f i r e ） 、 C h e c k   P o i n t 等 在 内 的 竞 争 对 手 ： “ 这 些 厂 商 就 是 在 做 一 些 犯 人 在 做 的 事 情 ， 提 出 上 诉 ！ [ 1 0 ] ” 那 些 产 品 应 用 层 控 制 只 是 在 做 “ 无 用 功 ” ， 比 如 C h e c k   P o i n t 防 火 墙 产 品 提 供 8 5 % 的 折 扣 ， 因 为 P a l o   A l t o 的 成 功 ， 他 们 基 本 宣 布 “ 以 免 费 的 方 式 放 弃 产 品 ” 了 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理