防火墻已死？至少本世紀(jì)不會！

在過去一年里，我和上百家大型企業(yè)就SASE進行了交流。我對云端交付的網(wǎng)絡(luò)和安全服務(wù)如何深入改變企業(yè)很感興趣，同時也深有體會。盡管如此，我依然堅信防火墻對于數(shù)字業(yè)務(wù)領(lǐng)域仍十分重要。分析師們也同意這一點：Gartner預(yù)測，到2026年，60%以上的企業(yè)將部署一種以上的防火墻，這將推動混合式網(wǎng)狀防火墻（HMF）的應(yīng)用。隨著云計算在企業(yè)中日漸成為主流，防火墻變得比以往更加重要。關(guān)于防火墻在未來幾年的重要戰(zhàn)略意義，我在與首席信息安全官（CISO）和首席信息官（CIO）交流時談到了以下幾個重要方面：

 

防火墻已今非昔比

 

防火墻不但不會消亡，而且還會不斷發(fā)展進化。多年來，領(lǐng)先的防火墻架構(gòu)已從單純的網(wǎng)絡(luò)層檢查發(fā)展到應(yīng)用感知，從提供基本的安全功能發(fā)展到幫助檢測和阻止零日攻擊，從保護IT發(fā)展到保護OT/IoT等等。防火墻還是保障5G網(wǎng)絡(luò)安全的關(guān)鍵部分，而且發(fā)展出了嵌入式代理功能，使用戶不再需要管理多個不同的網(wǎng)絡(luò)安全架構(gòu)和部署。

 

如今，混合式網(wǎng)狀防火墻（HMF）的概念正在興起，其中的防火墻并不僅是硬件設(shè)備。客戶希望能夠自行選擇防火墻功能的提供形式，比如硬件、軟件、容器化、防火墻即服務(wù)等。所有這些形式都需要通過同一個管理控制臺進行管理，才能使混合式網(wǎng)狀防火墻戰(zhàn)略生效。

 

別讓防火墻成為擺設(shè)

 

防火墻的部署不應(yīng)只是為了完成任務(wù)。只有當(dāng)防火墻被用于防御具有躲避能力的攻擊者并啟用真正的零信任架構(gòu)時，它才能發(fā)揮作用。如果企業(yè)的防火墻廠商未能將深度學(xué)習(xí)和機器學(xué)習(xí)模型應(yīng)用于流量，那么防火墻就只是擺設(shè)。要想實時抵御攻擊，防火墻不僅需要具備高級安全功能，還要在開啟這些功能的同時保持出色的性能。這就需要仔細(xì)查看防火墻廠商的數(shù)據(jù)表并按照實際用例進行測試。在某些情況下，防火墻在打開關(guān)鍵的安全檢查功能時，性能會下降近75%。以上都是在選擇防火墻供應(yīng)商時非常重要的評估標(biāo)準(zhǔn)。

 

防火墻在SASE架構(gòu)中的作用

 

通用的網(wǎng)絡(luò)安全架構(gòu)非常罕見。當(dāng)企業(yè)想使用“安全即服務(wù)”架構(gòu)檢查云中流量，而非回傳到DC中的集中設(shè)備時，SASE/SSE能夠發(fā)揮作用。這種方法在很多用例中都非常有效，比如分支機構(gòu)流量、遠(yuǎn)程用戶、云應(yīng)用安全訪問等。而當(dāng)企業(yè)想要實現(xiàn)高帶寬數(shù)據(jù)中心環(huán)境、關(guān)鍵基礎(chǔ)設(shè)施保護、5G網(wǎng)絡(luò)安全、東西向流量檢測、云安全、物聯(lián)網(wǎng)安全等專門用例時，防火墻和網(wǎng)絡(luò)安全設(shè)備就會派上用場。關(guān)鍵在于網(wǎng)絡(luò)安全架構(gòu)中的SASE 部分是否可以與防火墻和代理服務(wù)器使用相同的管理控制臺進行管理，例如兩個具有獨立策略結(jié)構(gòu)和管理控制臺的不同技術(shù)堆棧會降低運行效率和安全性。建議企業(yè)選擇在混合式網(wǎng)狀防火墻（HMF）和SASE領(lǐng)域都具有領(lǐng)先優(yōu)勢的網(wǎng)絡(luò)安全合作伙伴。

 

網(wǎng)絡(luò)轉(zhuǎn)型路徑

 

防火墻作為企業(yè)安全戰(zhàn)略的重要組成部分無法孤立存在。它需要接入安全堆棧的其他部分才能充分發(fā)揮潛力。我們觀察到客戶正在大規(guī)模轉(zhuǎn)向XDR，將網(wǎng)絡(luò)安全與端點和云安全相連接，從而統(tǒng)一對威脅的認(rèn)知并加快檢測和響應(yīng)速度。因此，企業(yè)應(yīng)向防火墻供應(yīng)商了解的關(guān)鍵信息是：他們的XDR解決方案是什么？如何助力實現(xiàn)跨網(wǎng)絡(luò)、終端和云的統(tǒng)一分析？

 

另一個需要考慮的重要方面是將云防火墻集成到更大的云安全平臺（通常稱為CNAPP，即云原生應(yīng)用保護平臺）中。因此企業(yè)需要關(guān)心的另一個重點就是防火墻供應(yīng)商的CNAPP戰(zhàn)略，以及防火墻和企業(yè)整個云安全架構(gòu)的結(jié)合點。

 

在云服務(wù)提供商（CSP）環(huán)境中部署防火墻

 

一個常見誤區(qū)是Azure、AWS和GCP等公有云服務(wù)提供商（CSP）環(huán)境不需要防火墻，然而事實上情況恰恰相反。我們發(fā)現(xiàn)擁有嚴(yán)謹(jǐn)云戰(zhàn)略的CISO都會在云端VPC中部署虛擬化（有時是容器化）版本的企業(yè)防火墻。不過值得注意的是，我們要關(guān)注的不僅是形式，還有深度安全檢查和可管理性。在同頭部CSP合作的過程中，采取極富策略性的方法十分重要——讓防火墻技術(shù)作為CSP管理控制臺中的本地服務(wù)提供。

 

總而言之，防火墻的生命力非常旺盛，且正向混合式網(wǎng)狀防火墻（HMF）發(fā)展，這使得企業(yè)能夠選擇在哪里以及如何利用這項重要的網(wǎng)絡(luò)安全功能。建議CIO、CISO和網(wǎng)絡(luò)領(lǐng)導(dǎo)者根據(jù)企業(yè)支持?jǐn)?shù)字業(yè)務(wù)需求的能力，謹(jǐn)慎選擇防火墻架構(gòu)和供應(yīng)商。