UTM：网关安全终结者

　　作者:毕学尧 刘科全　

　　【赛迪网讯】

　　群魔乱舞，

　　信息社会入侵威胁与日俱增

　　群众呼声，

　　少花钱多办事，

　　还要一体化解决诸问题。

　　网关安全系统向何处去？

　　是孤胆英雄还是团队作战？

　　我们还需要更加冷静思索

　　如何真正满足用户的安全需求，是摆在信息安全厂商面前的一个难题。尽管各个厂家前仆后继，技术路线层出不穷，但鲜有成功者。究竟UTM趋势如何，我们不妨来看两个观点的PK。

　　防火墙、入侵检测、防病毒俗称网络安全“老三样”,长期以来一直作为标准安全产品，在实现网络安全从无到有的过程中发挥了重要作用。

　　但是，随着技术不断进步，用户对于网络安全的投入产出比要求越来越高，希望在构建、部署和维护网络安全系统的过程中能尽量少花钱多办事，能一步到位解决常见的安全威胁。

　　正方：

　　一、用户不断要求降低安全投资成本

　　构建安全系统是一件非常复杂的过程，用户需要投入大量财力、物力和精力，除网络信息安全涉及的技术门槛高、产品昂贵的因素之外，主要原因在于大部分安全产品如防火墙、VPN、IPS、防病毒等功能单一，每个设备买之前都需要货比三家，购买总价高。为了集中管理、存储日志或者及时更新产品，可能还需要为各家不同的产品分配策略服务器、日志服务器或更新服务器，这些附加的投入会随着安全产品的引进而成倍增加。可见，对用户来说，非常迫切希望降低在安全建设上的投入，希望能省时、省心、省力地完成安全建设。

　　二、用户不断要求增强安全防范能力

　　相当一段时间内，对PPDR模型的理解被简化为IDS联动，这从侧面反应了用户对安全效果的不满：防火墙有控制能力但不能做深度检查，IDS可以检查应用安全但没有控制能力。单一功能安全设备的防范效果肯定是有限的，用户不满意是正常的。随着防垃圾邮件、防钓鱼欺骗等更多安全设备的出现，用户对安全设备的整合、联动的需求更加强烈，只有做到真正的融合和互动，才能进行全面的安全过滤和防范。

　　三、用户不断要求提高安全运维效率

　　首先，大部分网络安全系统是在原有的信息系统基础上增加的，在增加的安全设备与原有网络设备、安全设备之间都可能遇到产品兼容性问题，在部署实施中会相互冲突，安全设备越多，冲突的机会就越多，这在客观上增加了部署实施的难度。有时，个别安全设备可能导致系统验收推迟几个月。

　　其次，每个安全设备都有一套自己的配置管理方法，因此，很多用户要求厂家派人安装调试，包括配置安全策略，自己基本不改动。众所周知，安全策略必须根据实际情况不断调整，如果固定不变，系统的安全保障效果肯定会打折扣。

　　最后，在安装调试完成后，如果设备出现问题，用户还需要联系不同厂商来解决，有时甚至需要协调相关的几家厂商同时到场分析解决，非常复杂。

　　可见，从安全系统运行维护的角度看，在不牺牲功能、性能的前提下，用户希望安全设备越少越好。

　　四、技术不断发展趋向深度协同安全

　　防火墙、IDS、防病毒技术经过多年发展，现在已经逐渐成熟并稳定下来，开始相互渗透，相互补充。近两年，出现了一个明显的趋势：防火墙、IDS、防病毒甚至内容过滤厂商分别从自有产品出发，通过增加不同的安全功能模块发展UTM。实际上，这主要得益于硬件技术的发展。为了解决深度检查大量耗费CPU资源，除ASIC加速芯片外，一批新的硬件解决方案出现了，如Seaway、Bivil、RMI、Cavium、Sensory、IDT、TARARI，这些硬件能大幅度加速内容匹配，使UTM从概念变成了可用的产品。

　　反过来，从UTM定义可以看出，UTM集中了多种安全功能，但这些安全功能不一定同时应用，可以只使用某一个功能。因此，可以预测，将来，UTM完全有可能取代防火墙、网络入侵检测等单一功能的安全产品。

　　综上所述，不论是从用户需求来看，还是从技术发展和技术支撑来看，UTM作为网络安全整体解决方案的重要组成部分，是必要的，也是可行的，是网关安全发展的必然趋势。这从IDC的调查报告中也可以得出同样的结论。

　　反方：

　　百炼成钢困难重重

　　一、防火墙胖瘦之争由来已久

　　防火墙是胖(功能多)好还是瘦(功能少)好，一直是业界不断争论的问题。首先，防火墙到底该不该胖，一种观点认为防火墙作为访问控制设备，不宜集成太多功能，否则容易不稳定。另外一种观点认为防火墙在做好访问控制的基础上，应该加入如IDS、内容过滤等安全功能模块，从而提高防火墙使用价值；其次，胖防火墙到底应该集成哪些安全功能，特别是防病毒功能，争论很大；最后，如果防火墙胖了，性能能否保证？不论是理论分析还是过去的大量实践都表明，如果没有特别的硬件支持，性能确实无法接受。

　　二、各厂商前仆后继鲜有成功

　　尽管防火墙胖瘦之争一直存在，出于市场竞争的需要，也随着技术的不断发展，国内外主流防火墙厂商大多都尝试过扩充防火墙的功能。比如：加入内容过滤、IDS、防病毒等功能，希望最终做成UTM，但是，真正能做成的很少，分析原因主要有以下三点：

　　·防火墙厂商对于抗攻击、访问控制技术非常熟练，但对于内容过滤、防病毒等技术并不熟悉。

　　·防火墙基本上是对单个数据包进行检查和控制，用的是状态包过滤技术。而防病毒、内容过滤如果要实现准确的检查和控制，必须使用应用代理技术。如果利用防火墙状态包过滤技术进行防病毒处理，效果肯定不理想。

　　·UTM的性能难以保证。当UTM的功能都打开后会耗费大量计算资源，必须依赖硬件加速才能保证性能，但是硬件也只能加速部分工作，如何利用软硬结合方式处理复杂的应用内容安全是个难题。

　　Fortinet

　　新任大中华区副总裁

　　6月28日，Fortinet公司宣布，王平被任命为Fortinet大中华区销售副总裁, 主管大中华区渠道和OEM业务工作。王平将于2006年7月3日起在北京办公室上任。 王平曾在NetScreen、Juniper、SurfControl等知名全球安全公司担任中国区高管。(李刚)

　　病 毒 故 事

　　WEBSENSE 发出网上攻击警报

　　近期，Websense Security Labs发现黑客于Google网站的寄存服务“Google Pages”投放恶意程序。

　　该恶意程序寄存于与googlepages.com网站相同IP地址的网页内。有关的恶意程序档案经过ASPack压缩为木马及按键记录程序，待用户浏览特定金融机构时偷取账户身份证明数据。

　　Websense已经把该恶意程序分类，以及向Websense Security Premium Group客户发出实时安全更新和拦截有关网址的信息。

　　查询如何侦察和预防此类攻击请浏览www.websensesecuritylabs.com

　　灰鸽子作祟 上演裸女

　　目前，江民公司反病毒中心监测到，一个最新的灰鸽子后门变种，正通过和足球视频捆绑的形式传播。被截获的样本文件名称为“裸体女足.exe”，运行后，会播放一段裸体女球员进球的视频，同时在后台释放并执行灰鸽子病毒的最新变种。感染此病毒的用户，系统可以被黑客远程完全控制。

　　江民反病毒专家提醒广大网民，不要随便下载来源不明的和足球相关的可疑程序。上网时一定要开启