下一代USG系列统一安全网关技术建议书范本

下一代USG系列统一安全网关技术建议书TIME\@"yyyy-M-d"2017-3-30机密，未经许可不得扩散第页目录TOC\o"1-4"\h\z\u1 概述 61.1 网络安全 61.2 威胁管理 61.3 网络安全管理 71.4 新网络带来的新威胁 72 ××企业网络安全分析 82.1 ××企业网络现状 82.2 ××企业网络业务流分析 82.3 ××企业网络安全问题与分析 83 ××企业网络安全需求 93.1 ××企业网络安全设计原则 93.2 ××企业网络安全需求 104 网络安全解决方案 104.1 ××企业网络安全解决方案 104.1.1 大中型企业边界防护方案 104.1.2 内网管控与安全隔离方案 124.1.3 数据中心边界防护方案 134.1.4 VPN远程接入与移动办公 144.1.5 云计算网关防护方案 164.1.6 MPLSVPN解决方案 174.1.7 IPv4向IPv6网络过渡解决方案 184.2 ××企业网络安全设备选择 195 安全解决方案特点 195.1 ××企业安全网络业务流分析 195.2 ××企业网络安全解决方案优点 196 USG系列防火墙统一安全网关 206.1 下一代USG系列防火墙简介 206.2 下一代USG系列防火墙功能特点 206.2.1 完善的传统防火墙安全功能 206.2.2 强大的内容安全防护 296.2.3 灵活的用户管理 366.2.4 精细的流量管理 376.2.5 领先的IPV6支持 386.2.6 多样的VPN接入方式 396.2.7 易用的虚拟防火墙 416.2.8 IDS联动 426.2.9 丰富的日志与报表 436.2.10 灵活的维护管理 446.2.11 符合多项测试和认证要求 457 服务 457.1 服务理念 457.2 服务内容 457.3 服务保障 45概述Internet的普及为社会的发展带来了巨大的推动力，但同时也产生了大量的网络安全问题，越来越受到金融、教育、电力、交通等机构以及众多企业的重视。网络安全问题主要包括两个层面：网络本身的安全问题和网络安全管理问题。随着电信网络向融合、开放、和宽带不断演进，电信网络变得庞大而又复杂了，其面临着来自多个网络的各种安全威胁，网络安全事件频频发生，主要集中在病毒、蠕虫、恶意代码，网页篡改，垃圾邮件等方面，政府网站常常成为攻击目标。传统的防火墙设备对上述威胁难以应付采用单一的安全防范技术很难行之有效。基于统一威胁管理的UTM技术应运而生。UTM设备采用专用多核架构平台，将IPS、Anti-Virus、UTRL过滤、VPN、防火墙和上网行为管理等安全特性集成于一体，形成立体的威胁防御解决方案。网络安全Internet由于其开放性，使得非常容易遭受攻击。随着攻击手段的变化多样而且攻击工具更容易获取，以及基于僵尸网络DDoS攻击的出现，使得基于网络层的攻击层出不穷。主要的攻击包括：ARPFlood、ICMPFlood、IPSpoofing、UDPFlood、Synflood、Smurf攻击、Land攻击、超大ICMP攻击、Fragile攻击、PingofDeath、TearDrop、PingScan、PortScan、IP路由选项攻击、Tracert攻击等等。网络层攻击的目标主要有三个：带宽攻击、主机或者网络设备攻击以及入侵前的主机扫描。带宽攻击指通过大量的攻击数据包占用正常业务数据的带宽，导致网络带宽拥挤，正常业务受到影响；主机或者网络设备攻击指的是攻击者通过攻击主机或者网络设备的某个应用端口导致被攻击设备处理不过来或者瘫痪使其不能处理正常业务数据；主机扫描指的是黑客在入侵之前通过IP或者端口扫描获取网络中活动的主机信息，为下一步入侵提供必要的信息。威胁管理越来越复杂的威胁、持续提高的规章要求以及持续发展的应用程序，不断给企业带来新的网络安全问题。威胁越来越复杂化，并且新的应用和技术也带来了更多漏洞。给IT管理者也带来巨大的挑战。统一威胁管理平台为企业提供全面的安全解决方案，提前扼杀网络威胁。网络安全管理网络安全管理指的是企业对自身的网络资源进行有效的安全区域、等级划分，使得在网络安全运行的基础上，促进企业自身的信息安全管理水平，更好的保证企业正常运作。安全区域指的是在网络中拥有相同网络资源访问权限的主机集合，安全区域的划分主要依据企业内部部门的划分，例如财务部门、研发部门、市场部门分别划分为三个不同安全等级的安全区域。将一个企业进行清晰的安全区域划分，大大简化了企业的网络资源控制与管理，在此基础上，实施适合企业管理要求的安全策略管理，提高企业信息安全管理水平。新网络带来的新威胁随着网络的发展，层出不穷的新应用虽然给人们的网络生活带来了更多的便利，但是同时也带来更多的安全风险：（1）IP地址不等于使用者在新网络中，通过操纵僵尸主机借用合法IP地址发动网络攻击，或者伪造、仿冒源IP地址来进行网络欺骗和权限获取已经成为最简单的攻击手段。一个报文的源IP地址已经不能真正反映发送这个报文的网络使用者的身份。同时，由于远程办公、移动办公等新兴的办公形式的出现，同一使用者所使用的主机IP地址可能随时在发生变化，所以通过IP地址进行流量控制已经不能满足现代网络的需求。（2）端口和协议不等于应用传统网络业务总是运行在固定的端口之上。例如HTTP运行在80端口，FTP运行在20、21端口。然而在新网络中，越来越多的网络应用开始使用未经因特网地址分配组织（InternetAssignedNumbersAuthority,IANA）明确分配的非知名端口，或者随机指定的端口（例如P2P协议）。这些应用因为难以受到控制，滥用带宽，往往造成网络的拥塞。同时，一些知名端口也被用于运行截然不同的业务。最为典型是随着网页技术的发展，越来越多不同风险级别的业务借用HTTP和HTTPS协议运行在80和443端口之上，例如WebMail、网页游戏、视频网站、网页聊天等等。（3）报文不等于内容单包检测机制只能对单个报文的安全性进行分析。这样无法防范在一次正常网络访问的过程中发生的病毒、木马等网络威胁。现在内网主机在访问Internet的过程中，很有可能无意中从外网引入蠕虫、木马及其他病毒，造成企业机密数据泄露，对企业经营造成巨大损失。所以企业的网络安全管理，有必要在控制流量的源和目的的基础上，再对流量传输的真实内容进行深入的识别和监控。××企业网络安全分析[通过与××企业进行深入的交流，我们对其网络进行了充分的了解与分析。……]××企业网络现状[此部分主要包括两个部分(注意：要给出网络的吞吐量)：1．××企业内部网络拓扑图，如果企业是新建网络，则提供没有安全设备的网络拓扑图，用来进行安全方案的分析。2．××企业内部网络承载的业务，主要是内部业务以及出口网络业务]××企业网络业务流分析[给出企业现网的业务流分析图，使得客户对现有网络安全问题理解的更加清晰]××企业网络安全问题与分析[此部分主要包括以下几个部分(主要根据与客户的沟通以及我们自己的分析给出)：1．××企业网络出口安全隐患：DoS攻击，端口扫描2．××企业内部网络内部安全区域的划分问题：不同部门安全网络资源权限管理3．××企业内部服务器保护：DMZ区域的FTP、WEB、MAIL、数据库服务器保护4．××企业业务安全隐患：需要对不同安全区域的业务进行过滤，丰富企业管理手段5．××企业NAT设备问题：统一安全网关是专业的NAT设备，具有良好的性能以及灵活的策略NAT功能，以及丰富的NATALG功能6．××企业出差员工移动办公问题：统一安全网关提供丰富的VPN接入功能，实现内部资源的外部安全访问。7．××企业入侵隐患：与业界多数IDS联动，实现入侵检测监控。8．××企业NAT事后追踪：由于NAT隐藏了企业内部的网络结构，使得企业内部访问外网出现社会安全事件时，事后追踪措施变得极为重要。统一安全网关USG5300提供专用的日志服务器，二进制的NAT日志存储、查询为事后追踪提供重要的技术手段。××企业网络安全需求[针对××企业网络安全问题与分析给出简要的描述，例如：通过深入的交流与分析，××企业网络安全需求分为四个部分：网络攻击防护、安全区域划分、NAT地址转换。]××企业网络安全设计原则根据××企业对网络安全的需求以及公司对网络安全的积累，我们提出××企业网络安全设计必须满足以下原则：先进性原则：××企业网络中的安全设备必须采用专用的硬件平台和安全专业的软件平台保证设备本身的安全，符合业界技术的发展趋势，既体现先进性又比较成熟，并且是各个领域公认的领先产品。高可靠性：××企业网络是其信息化的基础，网络的稳定性至关重要；网络安全设备由于部署在关键节点，成为网络稳定性的重要因素。整个网络设计必须考虑到高可靠性因素。可扩展性：××企业处在发展阶段，其网络也会不断的扩充变化，要求在保证网络安全的基础上整个网络具有灵活的可扩展性，特别是对安全区域的新增以及原有安全区域扩充等要求具有良好的支持。开放兼容性：××企业的安全产品设计规范、技术指标符合国际和工业标准，支持多厂家产品，从而有效的保护投资。安全最小授权原则：××企业的安全策略管理必须遵从最小授权原则，即不同安全区域内的主机只能访问属于相应网络资源，对××企业的网络资源必须完全等到控制保护，防止未授权访问，保证××企业的信息安全。××企业网络安全需求[新增统一安全网关，用以满足××企业以下需求(根据××企业网络安全问题与分析给出需求)：安全区域划分：将财务部、市场业务部、研发部、生产部、总裁办……划分为不同的安全区域。防范网络攻击：在网络出口和不同的安全区域之间启用网络攻击防范，防止外网网络攻击和部门之间网络攻击蔓延。……]网络安全解决方案××企业网络安全解决方案[根据对××企业的需求分析选择以下的一个方案或者进行方案综合]大中型企业边界防护方案图1大中型企业边界防护典型部署大中型企业员工人数通常都比较多，一般在500人以上的企业。大中型企业通常具有以下业务特征：企业人员众多，业务复杂，流量构成丰富多样。对外提供网络服务，例如公司网站、邮件服务等。容易成为DDoS攻击的目标，而且一旦攻击成功，业务损失巨大。对设备可靠性要求较高，需要边界设备支持持续大流量运行，即使设备故障也不能影响网络运转。基于以上特征，USG系列防火墙作为大中型企业的出口网关提供如下功能：将企业员工网络、公司服务器网络、外部网络划分到不同安全区域，对安全区域间的流量进行检测和保护根据公司对外提供的网络服务的类型开启相应的内容安全防护功能。例如针对图1中的文件服务器开启文件过滤和数据过滤，针对邮件服务器开启邮件过滤，并且针对所有服务器开启反病毒和入侵防御。针对内网员工访问外部网络的行为，开启URL过滤、文件过滤、数据过滤、反病毒、应用行为控制等功能，既保护内网主机不受外网威胁，又可以防止企业机密信息的泄露，提高企业网络的安全性。在USG系列防火墙与出差员工、分支机构间建立VPN隧道，使用VPN保护公司业务数据，使其在Internet上安全传输。开启DDoS防御功能，抵抗外网主机对内网服务器进行的大流量攻击，保证企业业务的正常开展。对内外网之间的流量部署带宽策略，控制流量带宽和连接数，避免网络拥塞，同时也可辅助进行DDoS攻击的防御部署eSight网管系统（需要单独采购），记录网络运行的日志信息。日志信息可以帮助管理员进行配置调整、风险识别和流量审计采用双机热备部署，提高系统可靠性。单机故障时可以将业务流量从主机平滑切换至备机上运行，保证企业业务持续无间断的运行。内网管控与安全隔离方案图2内网管控与安全隔离典型部署如上图所示，对于一个大中型企业网络，通常其内部网络也需要划分安全等级。例如研发网络、生产网络、营销网络之间需要进行隔离，并对不同网络间的流量进行监控，以实现以下目的：不同网络的业务类型和安全风险不同，需要部署不同的安全策略；不同网络间的流量需要受控，避免企业核心信息资产通过网络泄露将网络进行隔离，避免一个网络感染病毒扩散到整个企业内网大部分流量主要发生在同一网络内，而同一网络内的流量传输往往无需过多干预。所以通过网络划分，可以降低安全设备的检测负担，提高检测效率，使网络更加通畅。基于以上特征，USG系列防火墙作为大中型企业的内网边界，提供如下功能：在内网部署一个或多个USG系列防火墙作为内部不同网络的边界网关，隔离不同网络。建立用户管理体系，对内网主机接入进行用户权限控制。相同安全等级的网络划分到同一个安全区域，只部署少量的安全功能，例如“研发部1”和“研发部2”同属于Research安全区域，但是两者间通信的流量仍可进行简单的包过滤、黑白名单、反病毒等功能。不同安全等级的网络划分到不同的安全区域，根据业务需求部署不同的安全功能，例如仅允许部分研发网络主机访问指定的市场部主机，并在Research与Marketing、Production、Server之间应用反病毒、文件类型过滤、数据过滤等功能。在各个区域之间应用带宽策略，控制带宽与连接数，避免内网网络拥塞。内网各个区域与外网之间应用入侵防御、反病毒、文件类型过滤、数据过滤、URL过滤、应用行为控制等功能。数据中心边界防护方案图3数据中心边界防护部署数据中心（InternetDataCenter，IDC），是基于Internet网络提供的一整套设施与相关维护服务体系。它可以实现数据的集中式收集、存储、处理和发送。通常由大型网络服务器提供商建设，为中小型企业或个人客户提供服务器托管、虚拟域名空间等服务。数据中心的网络结构通常具有以下特征：主要针对数据中心内的服务器进行保护，使用的安全功能需要根据服务器类型综合考虑。数据中心可能部署有多家企业的服务器，更容易成为黑客的攻击目标。数据中心的核心功能是对外提供网络服务，保证外网对数据中心服务器的正常访问极其重要，这不仅要求边界防护设备拥有强大的处理性能和完善的可靠性机制，还可以在发生网络攻击时仍不影响正常的网络访问。数据中心流量复杂，如果流量可视度不高，则不能进行有针对性的配置调整。基于以上特征，USG系列防火墙作为数据中心的边界，提供如下功能：开启流量统计功能，基于IP、用户、应用对流量状况进行长期统计分析，以帮助安全策略的制定。基于IP地址和应用进行限流，使服务器稳定运行，也避免网络出口拥塞，影响网络服务。开启入侵防御、反病毒功能，使服务器免受入侵以及蠕虫、木马等病毒危害。开启DDoS及其他攻击防范功能，避免服务器受到外网攻击导致瘫痪。开启垃圾邮件过滤功能，保护内网邮件服务器不受垃圾邮件侵扰，也避免其无意中转发垃圾邮件被反垃圾邮件组织列入黑名单，影响正常邮件的发送。开启文件过滤和数据过滤，避免数据泄露。部署eSight网管系统（需要单独采购），记录网络运行的日志信息。日志信息可以帮助管理员进行配置调整、风险识别和流量检查。采用双机热备部署，提高系统可靠性。单机故障时可以将业务流量平滑切换至备机上运行，保证服务器业务持续无间断的运行。VPN远程接入与移动办公图4VPN远程接入与移动办公典型部署方案现代企业为了在全球范围内开展业务，通常都在公司总部之外设立了分支机构，或者与外地机构进行业务合作。分支机构、合作伙伴、出差员工都需要远程接入企业总部网络开展业务，目前通过VPN技术可以实现安全、低成本的远程接入和移动办公。远程接入和移动办公通常都具有以下特征：分支机构通常都需要无缝接入总部网络，并且持续不间断地开展业务。合作伙伴需要根据业务开展的情况，灵活进行授权，限制合作伙伴可以访问的网络范围、可以传输的数据类型。出差员工的地理接入位置不固定，使用的IP地址不固定，接入时间不固定，需要灵活地随时接入。而且出差员工所处位置往往不受企业其他信息安全措施的保护，所以需要对出差员工进行严格的接入认证，并且对出差员工可以访问的资源和权限进行精确内网控制。所有远程接入的通信过程都需要进行加密保护，防止窃听、篡改、伪造、重放等行为，同时还需要从应用和内容层面防止机密数据的泄露。基于以上特征，USG系列防火墙作为企业VPN的接入网关，提供如下功能：对于拥有固定VPN网关的分支机构和合作伙伴，使用IPSec或者L2TPoverIPSec建立静态永久隧道。当需要进行接入账号验证时，建议使用L2TPoverIPSec。对于地址不固定的出差员工，可以使用VPNClient或者SSLVPN技术，对于VPNClient可以免费下载使用，对于SSLVPN无需安装VPN客户端，只需使用网络浏览器即可与总部建立隧道，方便快捷。同时可以对出差员工可访问的资源进行精细化控制。在上述隧道中，通过IPSec加密算法或者SSL加密算法，对网络数据进行加密保护。对于通过VPN隧道接入后的用户，进行接入认证，保证用户合法性。并且基于用户权限进行访问授权。部署入侵防御、反病毒、文件过滤、数据过滤、DDoS攻击防范，避免网络威胁经由远程接入用户穿过隧道进入公司总部，同时防止机密信息泄露。部署用户行为审计，及时发现风险，并且便于后续的回溯。云计算网关防护方案图5USG系列云计算网关防护方案云计算是目前一种新兴的网络服务提供模式，需要一系列技术的配合和支持。USG系列防火墙可以在云计算的部署中担任云计算网关的角色。云计算技术目前存在多种应用方式，最为典型的方式是由网络服务提供商为网络用户提供硬件资源和计算能力，网络用户只需使用一台终端通过网络接入云端，就可以像操作家庭电脑一样操作自己保存在云端的资源。云计算的核心技术是通过服务器的集群为大量网络用户提供相互独立而又完整的网络服务，其中涉及到多种虚拟化技术。基于以上特征，USG系列防火墙作为云计算网关，提供如下功能：在这个场景中，USG系列防火墙担任的是云计算网关的角色。通过虚拟系统功能，可以将一台物理设备划分为多台相互的独立的逻辑设备。每台逻辑设备都可以拥有自己的接口、系统资源以及配置文件，可以独立进行流量的转发和安全防护，所以被称为虚拟系统。虚拟系统从逻辑上相互隔离，所以对于每一个云终端看来都拥有一个独享的防火墙设备。同时由于这些虚拟系统共用同一个物理实体，所以当需要虚拟系统之间进行流量转发时，转发效率非常高。所以USG系列防火墙在此场景中主要负责进行虚拟服务器之间的数据快速交换，以及在云终端接入云服务器的通信过程中进行网络安全的防护，为云计算方案提供增值的安全业务MPLSVPN解决方案MPLS无缝地集成了IP路由技术的灵活性和ATM标签交换技术的简捷性。MPLS在无连接的IP网络中增加了面向连接的控制平面，为IP网络增添了管理和运营的手段。USG系列防火墙系列业务路由网关支持MPLSVPN功能，既可以做PE设备，也可以做P设备。支持VRF的路由表多实例支持L2TP方式接入VPN支持IPSEC方式接入VPN支持灵活的VPN组网，包括跨域、“运营商至运营商”等基于标准协议，能全面与其他主流厂家互通支持CE－PE间静态路由或动态路由协议IPv4向IPv6网络过渡解决方案目前还存在大量的IPV4网络，随着IPV6的部署，很长一段时间是IPV4与IPV6共存的过渡阶段，USG系列防火墙系列业务路由网关支持多种IPV4向IPV6网络过渡解决方案，主要包括双栈技术、隧道技术以及IPV4/IPV6协议转换技术。双栈技术：USG系列防火墙系列业务路由网关与IPV4节点通讯时使用IPV4协议栈，与IPV6节点通讯时使用IPV6协议栈；USG系列防火墙系列业务路由网关具有三种工作模式：只运行IPv6协议，表现为IPv6节点；只运行IPv4协议，表现为IPv4节点；双栈模式，同时打开IPv6和IPv4协议。隧道技术：提供两个IPV6站点之间通过IPV4网络实现通讯连接，以及两个IPV4站点之间通过IPV6网络实现通讯连接的技术；USG系列防火墙系列业务路由网关支持多种隧道技术，包括IPv6OverIPv4的GRE隧道、IPv6手工配置隧道、6over4隧道、IPv4兼容地址自动隧道以及6to4自动隧道。IPV4/IPV6协议转换技术：提供了IPV4网络与IPV6网络之间的互访技术。USG系列防火墙系列业务路由网关支持NAT-PT（NetworkAddressTranslation-ProtocolTranslation）技术，负责在IPv4报文与IPv6报文之间进行翻译转换，从而达到只支持IPv6协议的主机与只支持IPv4协议的主机能进行互联互通的目的。××企业网络安全设备选择[根据具体的情况选择部署USG系列防火墙的网络位置]安全解决方案特点[根据选用的方案进行具体的分析]××企业安全网络业务流分析[(分析清楚网络中的业务流图，客户对我们的安全方案理解更加清晰)]××企业网络安全解决方案优点[针对××企业原有网络业务流分析、具体方案的选择、××企业安全网络业务流分析给出解决方案的优点：网络拓展性优点；(针对××企业具体的网络情况展开)高可靠性优点；(针对××企业具体的网络情况展开)高安全性特点；(针对××企业具体的网络情况展开)高性价比特点；(针对××企业具体的网络情况展开)]USG系列防火墙统一安全网关下一代USG系列防火墙简介为了解决新网络带来的新威胁，下一代防火墙产品应运而生。通常要求下一代防火墙产品具有以下特征。使用签名和特征，而不是端口号和协议来对应用进行定义，以识别报文的真实属性和所携带的不安全因素。集成SA（ServiceAwareness，业务感知）功能，并且使用专业的硬件系统来检测报文的真实应用和内容。集成IPS功能，性能更高，威胁的识别和阻断结合得更加紧密。丰富而完善的可视化管理、审计、报表功能，使得网络管理员可以掌握全面真实的网络状况，以帮助管理员更好地做出防护措施。公司推出的下一代防火墙USG系列产品不仅完全满足上述特征，而且还具有以下明显优势：稳定高效的万兆多核全新硬件平台专业内容安全防御技术安全、路由、VPN多业务集成基于应用和用户的精细化管理可视化管理与丰富的日志报表电信级可靠性保证方案灵活的扩展能力下一代USG系列防火墙功能特点完善的传统防火墙安全功能（1）安全区域管理基于安全区域的隔离USG系列防火墙统一安全网关的安全隔离是基于安全区域，这样的设计模型为用户在实际使用统一安全网关的时候提供了十分良好的管理模型。统一安全网关提供了基于安全区域的隔离模型，每个安全区域可以按照网络的实际组网加入任意的接口，因此统一安全网关的安全管理模型是不会受到网络拓扑的影响。可管理的安全区域业界很多防火墙一般都提供受信安全区域（trust）、非受信安全区域（untrust）、非军事化区域（DMZ）三个独立的安全区域，这样的保护模型可以适应大部分的组网要求，但是在一些安全策略要求较高的场合，这样的保护模型还是不能满足要求。统一安全网关默认提供四个安全区域：trust、untrust、DMZ、local，在提供三个最常用的安全逻辑区域的基础上还新增加了本地逻辑安全区域，本地安全区域可以定义到统一安全网关本身的报文，保证了统一安全网关本身的安全防护。例如，通过对本地安全区域的报文控制，可以很容易的防止不安全区域对统一安全网关本身的Telnet、ftp等访问。统一安全网关还提供自定义安全区域，可以最大定义16个安全区域，每个安全区域都可以加入独立的接口。基于安全区域的策略控制统一安全网关支持根据不同的安全区域之间的访问设计不同的安全策略组（ACL访问控制列表），每条安全策略组支持若干个独立的规则。这样的规则体系使得统一安全网关的策略十分容易管理，方便用户对各种逻辑安全区域的独立管理。基于安全区域的策略控制模型，可以清晰的分别定义从trust到untrust、从DMZ到untrust之间的各种访问，这样的策略控制模型使得统一安全网关的网络隔离功能具有很好的管理能力。（2）NAT功能优异的地址转换性能统一安全网关采用基于连接的方式提供地址转换特性，针对每条连接维护一个Session表项，并且在处理的过程中采用优化的算法，保证了地址转换特性的优异性能。在启用NAT的时候，性能下降的非常少，这样就保证了在通过统一安全网关提供NAT业务的时候不会成为网络的瓶颈。灵活的地址转换管理统一安全网关提供了基于安全区域的管理功能，利用“安全区域”的概念把统一安全网关管理的网络按照功能区域、安全要求等因素从逻辑上划分为几个逻辑子网，每个逻辑子网称为一个“安全区域”。默认情况，统一安全网关提供了4个默认的安全区域：trust、untrust、DMZ、local，一般情况下，untrust区域是连接Internet的，trust区域是连接内部局域网的，DMZ区域是连接一些内部服务器的，例如放置邮件服务器、FTP服务器等。统一安全网关的地址转换功能是按照安全区域之间的访问进行配置的，这样就可以非常方便的进行网络管理。例如，对于内部服务器的网络如果有足够的IP地址，可以直接使用公网IP地址，在DMZ->untrust区域间不使用地址转换，而内部局域网使用私网地址，在trust->untrust区域间使用地址转换。同时地址转换可以和ACL配合使用，利用ACL来控制地址转换的范围，因此即使在同一个网络区域，有公网、私网混合组网的情况，统一安全网关依然可以方便的设定地址转换的规则。强大的内部服务器支持内部服务器就是可以使得外部网络的用户可以访问到内部网络，比如可以对外提供Web服务器。很多统一安全网关实现内部服务器的时候是提供一个“静态映射”，将一个私有地址和一个公有地址绑定，这个方式的最大弱点就是浪费合法的IP地址。例如有一个内部局域网的主机IP地址是/24，而该局域网利用专线连接到Internet上，拥有从ISP申请来的合法的IP地址：。如果该局域网想设置一台WEB服务器，IP地址为，配置一个静态的映射，将地址和地址绑定，Internet如果想访问这台WEB服务器，使用访问，就会实际访问到主机，这样虽然可以提供内部服务器了，但是也使得内部网络的其他主机不能访问Internet了，因为该局域网只有一个合法的IP地址。该IP地址被内部服务器占用，因此其他主机就不能访问Internet了，同时该局域网不能再提供任何对外服务了（比如想提供一个DNS或者FTP服务器都是不可能的了）。静态绑定方式存在如下弱点：这个方式严重浪费IP地址，地址转换技术的最大优势就是节省IP地址，但是通过这个静态绑定的方式，使得IP地址不能被充分利用，虽然解决了地址转换技术中“反向访问”的问题，但是同时带来了浪费地址的问题。存在比较大的安全隐患，一般对外提供的服务器都是单一用途，例如WEB服务器就是为了给外部提供Http服务，对于这个机器来说，只需要提供80端口的访问就可以了。但是使用了静态绑定的方式提供WEB内部服务器的时候，存在这样的问题：外部网络的用户不但可以访问到内部服务器的80端口，而且可以访问任何的端口。这样就存在安全隐患。例如某个服务器可以通过Telnet进行维护，但是这种维护只能是内部网络本身的机器才可以进行，如果使用了静态绑定的地址转换方式，则外部网络的主机也可以Telnet到这个服务器上了。提供不是标准端口的服务器存在困难。例如用户想提供2个WEB服务器，其中一个WEB服务器不想使用80端口，而想使用8080端口，使用静态绑定的方式也很难实现。统一安全网关的地址转换功能可以对内部服务器的支持到达端口级。允许用户按照自己的需要配置内部服务器的端口、协议、提供给外部的端口、协议。对于上面的例子使用的地址转换，不仅可以保证做为WEB服务器的地址，同时可以做为FTP服务器的地址，同时可以使用:8080提供第二台WEB服务器，还可以满足内部用户同时使用的地址进行访问Internet。统一安全网关提供了基于端口的内部服务器映射，可以使用端口来提供服务，同时也可以提供地址的一对一映射。同时，每台统一安全网关可以提供多达256个内部服务器映射，而且不会影响访问的效率。强大的业务支撑地址转换比较难处理的情况是报文载荷中含有地址信息的情况，这种情况的代表协议是FTP。统一安全网关的地址转换现在已经非常完善的支持了ICMP重定向、不可达、FTP（支持被动主动两种模式）、H323、NetMeeting、PPTP、L2tp、DNS、NetBIOS、SIP、QQ、MSN等特殊协议。依靠现在支持的各种业务，统一安全网关已经可以提供非常好的业务支撑，可以满足绝大部分的Internet业务，使得地址转换不会成为网络业务的瓶颈。为了更好的适应网络业务的发展，统一安全网关还提供了一种“用户自定义”的ALG功能，对于某些特殊业务应用，通过命令行进行配置就可以支持这种业务的ALG，通过这样的方式更可以保证统一安全网关对业务的支撑，达到快速响应的效果。另外统一安全网关在结构上面，充分考虑了地址转换需要支持特殊协议的问题。从结构上保证可以非常快速的支持各种特殊协议，并且对报文加密的情况也做了考虑。因此在应用程序网关方面，统一安全网关在程序设计、结构方面做了很大的努力和考虑，在针对新出现的各种特殊协议的开发方面上，统一安全网关可以保证会比其他设备提供更快、更好的反应，可以快速的响应支持用户的需求，支持多变的网络业务。无数目限制的PAT方式转换统一安全网关可以提供PAT（PortAddressTranslation）方式的地址转换，PAT方式的地址转换使用了TCP/UDP的端口信息，这样在进行地址转换的时候使用的是“地址＋端口”来区分内部局域网的主机对外发起的不同连接。这样使用PAT方式的地址转换技术，内部局域网的很多用户可以共享一个IP地址上网了。因为TCP/UDP的端口范围是1~65535，一般1～1024端口范围是系统保留端口，因此从理论上计算，通过PAT方式的地址转换一个合法的IP地址可以提供大约60000个并发连接。但是统一安全网关采用专利技术提供了一种“无限制端口”连接的算法，可以保证使用一个公网IP地址可以提供无限个并发连接，通过这种技术就突破了PAT方式上网的65535个端口的限制，更大的满足了地址转换方式的实际使用，更加节省了公网的IP地址。多种NATALG下一代USG系列防火墙支持多种协议的NATALG转换功能，包括：支持FTP协议的NATALG。支持NBT（NetBIOSoverTCP）协议的NATALG。支持ICMP(InternetControlMessageProtocol)协议的NATALG。支持H.323（包括T.120、RAS、Q.931和H.245等）协议的NATALG。支持SIP(SessionInitiationProtocol)协议的NATALG。支持RTSP(Real-TimeStreamingProtocol)协议的NATALG。支持HWCC(HuaweiConferenceControlProtocol)协议的NATALG。支持ILS(InternetLocatorService)协议的NATALG。支持PPTP（PointtoPointTunnelingProtocol）协议的NATALG。支持对腾讯公司的QQ聊天会话的NATALG。支持Microsoft公司提供的MSN聊天会话的NATALG。（3）安全策略控制灵活的规则设定统一安全网关可以支持灵活的规则设定，可以根据报文的特点方便的设定各种规则。可以依据报文的协议号设定规则可以依据报文的源地址、目的地址设定规则可以使用通配符设定地址的范围，用来指定某个地址段的主机针对UDP和TCP还可以指定源端口、目的端口针对目的端口、源端口可以采用大于、等于、介入、不等于等方式设定端口的范围针对ICMP协议，可以自由的指定ICMP报文的类型和Code号，可以通过规则针对任何一种ICMP报文可以针对IP报文中的TOS域设定灵活的规则可以将多个报文的地址形成一个组，作为地址本，在定义规则时可以按组来设定规则，这样规则的配置灵活方便高速策略匹配通常，防火墙的安全策略都是由很多规则构成的，因此在进行策略匹配的时候会影响防火墙的转发效率。统一安全网关采用了ACL匹配的专门算法，这样就保证了在很多规则的情况下，统一安全网关依然可以保持高效的转发效率，系统在进行上万条ACL规则的查找时，性能基本不受影响，处理速度保持不变，从而确保了ACL查找的高速度，提高了系统整体性能。MAC地址和IP地址绑定统一安全网关根据用户配置，将MAC和IP地址进行绑定从而形成关联关系。对于从该IP地址发来的报文，如果MAC地址不匹配则被丢弃；对于发往该IP地址的报文都被强制发送到指定的MAC地址处，从而有效避免IP地址假冒的攻击行为。动态策略管理－黑名单技术统一安全网关可以将某些可疑报文的源IP地址记录在黑名单列表中，系统通过丢弃黑名单用户的所有报文，从而有效避免某些恶意主机的攻击行为。统一安全网关提供如下几种黑名单列表维护方式：手工添加黑名单记录，实现主动防御与攻击防范结合自动添加黑名单记录，起到智能保护可以根据具体情况设定"白名单"，使得即使存在黑名单中的主机，依然可以使用部分的网络资源。例如，即使某台主机被加入到了黑名单，但是依然可以允许这个用户上网。黑名单技术是一种动态策略技术，属于响应体系。统一安全网关在动态运行的过程中，会发现一些攻击行为，通过黑名单动态响应系统，可以抑制这些非法用户的部分流量，起到保护整个系统的作用。（4）攻击防范功能优秀的Dos防御能力的必要条件Internet上的DOS攻击已经成为很常见的攻击行为，Dos（Denyofservice）是一类攻击方式的统称，其攻击的基本原理就是通过发送各种垃圾报文导致网络的阻塞、服务的瘫痪。Dos攻击方式其利用IP无连接的特点，可以制造各种不同的攻击手段，而且攻击方式非常简单，普通到一台PC、一个发包工具就可以制造Dos攻击，因此Dos攻击方式在Internet上非常流行，对企业网、甚至骨干网都造成了非常严重的影响，引发很大的网络事故，因此优秀的Dos攻击防范功能是统一安全网关的必备功能。业界几乎所有的防火墙设备都宣传具有Dos攻击防御功能，但是那么为什么Dos攻击导致网络瘫痪的攻击事件为什么还是层出不穷呢？一个优秀的Dos攻击防御体系，应该具有如下最基本的特征：防御手段的健全和丰富，因为Dos攻击手段种类比较多，因此必须具有丰富的防御手段，才可以保证真正的抵御Dos攻击。优秀的处理性能，因为Dos攻击伴随这一个重要特征就是网络流量突然增大，如果防火墙本身不具有优秀的处理能力，则防火墙在处理Dos攻击的同时本身就成为了网络的瓶颈，根本就不可能抵御Dos攻击。因为Dos攻击的一个重要目的就是使得网络瘫痪，网络上的关键设备点发生了阻塞，则Dos攻击的目的就达到了。这里同时需要提醒大家注意的是，防火墙设备不但要考察转发性能，同时一定要考察对业务的处理能力。在进行Dos攻击防御的过程中，防火墙的每秒新建能力就成为保证网络通畅的一个重要指标，Dos攻击的过程中，攻击者都是在随机变化源地址因此所有的连接都是新建连接。准确的识别攻击能力。很多防火墙在处理Dos攻击的时候，仅仅能保证防火墙后端的流量趋于网络可以接受的范围，但是不能保证准确的识别攻击报文。这样处理虽然可以保证网络流量的正常，可以保证服务器不会瘫痪，但是这样处理还是会阻挡正常用户上网、访问等的报文，因此虽然网络层面是正常的，但是真正的服务还是被拒绝了，因此还是不能达到真正的Dos攻击防御的目的。统一安全网关产品，对上述各个方面都做了详尽的考虑，因此Dos防御的综合性能、功能等方面在同类防火墙产品中都具有很强的优势。丰富的Dos防御手段统一安全网关产品根据数据报文的特征，以及Dos攻击的不同手段，可以针对ICMPFlood、SYNFlood、UDPFlood等各种Dos攻击手段进行Dos攻击的防御。同时，统一安全网关可以主动识别出数十种常见的攻击种类，很多种攻击种类造成的后果就是Dos形式的攻击，统一安全网关可以主动发现并隔断这些非法攻击，消除了内部网络遭受攻击的可能。通过对各种攻击的防御手段，利用统一安全网关可以组建一个安全的防御体系，保证网络不遭受Dos攻击的侵害。针对不同的攻击特点，统一安全网关采用了一些不同的防御技术，这样保证在抵御Dos攻击的时候更有针对性，使得设备的抵御特性更加完整。统一安全网关不但在攻击手段上面进行了详细考虑，同时也在使用方式和网络适应性方面做了周全的考虑，攻击防范既可以针对一台特定的主机也可以针对一个安全区域的所有主机进行保护。高级的TCP代理防御体系统一安全网关支持使用TCP代理方式来防止SYNFlood类的Dos攻击，这种攻击可以很快的消耗服务器资源，导致服务器崩溃。在一般的Dos防范技术中，在攻击发生的时候不能准确的识别哪些是合法用户，哪些是攻击报文。统一安全网关采用了TCP透明代理的方式实现了对这种攻击的防范，统一安全网关通过精确的验证可以准确的发现攻击报文，对正常报文依然可以通过，允许这些报文访问统一安全网关资源，而攻击报文则被丢弃。有些攻击是建立一个完整的TCP连接用来消耗服务器的资源。统一安全网关可以实现增强代理的功能，在客户端与统一安全网关建立连接以后察看客户是否有数据报文发送，如果有数据报文发送，再与服务器端建立连接否则丢弃客户端的报文。这样可以保证即使采用完成TCP三次握手的方式消耗服务器资源，也可以被统一安全网关发现。扫描攻击防范扫描窥探攻击是利用ping扫描（包括ICMP和TCP）来标识网络上存活着的系统，从而准确的定位潜在的目标；利用TCP和UDP端口扫描，就能检测出操作系统监听的潜在服务。攻击者通过扫描窥探能大致了解目标系统提供的服务种类和潜在的安全漏洞，为进一步侵入系统做好准备。统一安全网关通过比较分析，可以灵活高效地检测出这类扫描窥探报文，从而预先避免后续的攻击行为。这些扫描窥探包括：地址扫描、端口扫描、IP源站选路选项、IP路由记录选项、利用tracert工具窥探网络结构等。畸形报文防范统一安全网关可以提供针对各种畸形报文的防范，主要包括Land攻击、Smurf攻击、Fraggle攻击、WinNuke攻击、ICMP重定向或不可达报文、TCP报文标志位（如ACK、SYN、FIN等）不合法、PingofDeath攻击、TearDrop攻击等，可以自动的检测出这些攻击报文。（5）ASPF深度检测功能统一安全网关提供了ASPF技术，ASPF是一种高级通信过滤技术，它检查应用层协议信息并且监控基于连接的应用层协议状态。统一安全网关依靠这种基于报文内容的访问控制，能够对应用层的一部分攻击加以检测和防范，包括对于FTP命令字、SMTP命令的检测、HTTP的Java、ActiveX控件等的检测。ASPF技术是在基于会话管理的技术基础上提供深层检测技术的，ASPF技术利用会话管理维护的信息来维护会话的访问规则，通过ASPF技术在会话管理中保存着不能由静态访问列表规则保存的会话状态信息。会话状态信息可以用于智能的允许/禁止报文。当一个会话终止时，会话管理会将该会话的相关信息删除，统一安全网关中的会话也将被关闭。针对TCP连接，ASPF可以智能的检测“TCP的三次握手的信息”和“拆除连接的握手信息”，通过检测握手、拆连接的状态检测，保证一个正常的TCP访问可以正常进行，而对于非完整的TCP握手连接的报文会直接拒绝。在普通的场合，一般使用的是基于ACL的IP包过滤技术，这种技术比较简单，但缺乏一定的灵活性，在很多复杂应用的场合普通包过滤是无法完成对网络的安全保护的。例如对于类似于应用FTP协议进行通信的多通道协议来说，配置统一安全网关则是非常困难的。FTP包含一个预知端口的TCP控制通道和一个动态协商的TCP数据通道，对于一般的包过滤防火墙来说，配置安全策略时无法预知数据通道的端口号，因此无法确定数据通道的入口。这样就无法配置准确的安全策略。ASPF技术则解决了这一问题，它检测IP层之上的应用层报文信息，并动态地根据报文的内容创建和删除临时的规则，以允许相关的报文通过。ASPF使得统一安全网关能够支持一个控制通道上存在多个数据连接的协议，同时还可以在应用非常复杂的情况下方便的制订各种安全的策略。许多应用协议，如Telnet、SMTP使用标准的或已约定的端口地址来进行通信，但大部分多媒体应用协议（如H.323、SIP）及FTP、netmeeting等协议使用约定的端口来初始化一个控制连接，再动态的选择端口用于数据传输。端口的选择是不可预测的，其中的某些应用甚至可能要同时用到多个端口。ASPF监听每一个应用的每一个连接所使用的端口，打开合适的通道让会话中的数据能够出入统一安全网关，在会话结束时关闭该通道，从而能够对使用动态端口的应用实施有效的访问控制。当报文通过统一安全网关时，ASPF将对报文与指定的访问规则进行比较，如果规则允许，报文将接受检查，否则报文直接被丢弃。如果该报文是用于打开一个新的控制或数据连接，ASPF将动态的修改规则，对于回来的报文只有属于一个已经存在对应的有效规则，才会被允许通过。在处理回来的报文时，状态表也会随时更新。当一个连接被关闭或超时后，该连接对应的状态表将被删除，确保未经授权的报文不能随便通过。强大的内容安全防护（1）一体化检测机制USG一体化检测机制不仅提供了强大的内容安全功能，还使得即使在内容安全功能全开的情况下，也可以保持较高性能功能。一体化检测机制是指设备仅对报文进行一次检测，就可以获取到后续所有内容安全功能所需的数据，从而大幅提升设备处理。（2）反病毒功能反病毒功能可以对网络中传输的文件进行扫描，识别出其中携带的病毒，并且予以记录或清除。病毒是指编制或者在计算机程序中插入的破坏计算机功能或者数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码。病毒通常被携带在文件中，通过网页、邮件、文件传输协议进行传播。内网主机一旦感染病毒，就可能导致系统瘫痪、服务中止、数据泄露，令企业蒙受巨大损失。下一代USG防火墙提供的反病毒功能对最容易传播病毒的文件传输与共享协议以及邮件协议进行检测和扫描，可以防范多种躲避病毒检测的机制，实现针对病毒的强大防护能力。支持丰富的应用层协议和应用程序支持对HTTP、FTP、SMTP、POP3、IMAP、NFS、SMB传输的文件进行病毒检测。支持对部分常见的基于HTTP协议的应用程序设置例外动作。支持对压缩文件进行病毒扫描支持对zip、gzip压缩文件进行解压，然后再进行病毒扫描。支持海量的病毒特征库下一代USG系列防火墙自带的病毒特征库支持检测3000多个主流的病毒家族，可以覆盖100万种常见的流行病毒，海量的病毒特征库使得下一代USG系列防火墙拥有强大的病毒检测能力。同时通过专业的病毒分析团队，实时跟踪最新出现的病毒类型，并对其进行分析，在第一时间更新病毒特征库供网络管理员下载使用，使得下一代USG系列防火墙始终拥有最新最强大的病毒识别能力。支持针对不同流量配置不同的防护措施，支持添加应用例外和病毒例外定制病毒防护策略通过安全策略，网络管理员可以针对不同流量制定细粒度的防护策略，对不同的网络环境采取不同级别的保护。同时，通过对部分常见的基于HTTP协议的应用程序设置额外的防护动作，或者根据日志将部分误报的病毒类型添加到病毒例外中，可以对反病毒策略进行灵活的调整，以保证业务的正常传输。（3）入侵防御功能入侵防御功能主要可以防护应用层的攻击或入侵，例如缓冲区溢出攻击、木马、后门攻击、蠕虫等。下一代USG系列防火墙的入侵防御功能可以通过监控或者分析系统事件，检测应用层攻击和入侵，并通过一定的响应方式，实时地中止入侵行为。支持多种部署方式，支持针对不同流量配置不同的防护措施下一代USG系列防火墙支持直路部署和旁路部署两种部署模式。在直路部署时可以作为IPS设备工作，实时检测威胁事件的发生并及时中止其流量传输，保护内部网络；在旁路部署时可以作为IDS设备工作，检测并记录网络中发生的可疑事件，及时通知网络管理员采取行动，或者帮助管理员进行事后检查，同时又不影响流量的正常传输。通过安全策略，网络管理员可以针对不同流量制定细粒度的防护策略，对不同的网络环境采取不同级别的保护。支持对应用层报文进行深度解析通过强大的报文深度识别功能，以及不断更新的应用特征库，下一代USG系列防火墙可以对数千种常见的应用程序进行报文深度解析，并检测出其中携带的攻击和入侵流量。根据基于应用的安全策略，可以对不同的应用程序作出不同的响应工作，方便管理员灵活部署入侵防御功能。支持进行报文分片重组和TCP流重组之后再进行威胁检测支持网络攻击利用IP报文分片和TCP流乱序重组等技术躲避威胁检测的行为，下一代USG系列防火墙支持将IP分片报文重组还原为原始报文后再进行检测，还支持对TCP流进行重组，按照流序号还原为正序流后再进行检测。支持海量的签名库，支持自定义签名IPS设备通常使用签名来识别攻击流量的特征，签名库的容量就代表了设备识别应用层威胁的能力。然而新型的攻击层出不穷，威胁日新月异，所以通过专业的签名开发团队密切跟踪全球知名安全组织和软件厂商发布的安全公告，对这些威胁进行分析和验证，生成保护各种软件系统（操作系统、应用程序、数据库）漏洞的签名库。此外，通过遍布全球的蜜网（通过诱使黑客进行攻击捕捉攻击行为特征的站点），实时捕获最新的攻击、蠕虫病毒、木马，提取威胁的特征，发现威胁的趋势。在此基础上，当新的漏洞被发现时，能够在最短时间内发布最新的签名，及时升级检测引擎和签名库，来防御针对该漏洞的已知的和未知的攻击，真正实现零日防御。下一代USG系列防火墙自带的签名库可以识别出数千种应用层攻击行为。通过签名库的不断升级，还可以持续获取最新的识别和防护能力。网络管理员还可以根据自己掌握的流量信息自行定义签名，使得下一代USG系列防火墙的入侵防御功能更加完善。超低的签名误报率误报率是衡量签名库质量的重要标准，代表着签名的准确率。出现误报有可能会影响网络正常业务，同时会产生大量的攻击事件，管理员需要在海量日志数据中寻找真正有价值的攻击内容。误报的原因一般是签名不够精确，或者检测机制不够完善。拥有众多安全研究人员，具有丰富数据来源，从而可以分析更多的样本，签名编写完成后经过了完备的误报测试，所以发布的签名几乎是零误报率。得益于签名的超低误报，下一代USG系列防火墙默认开启阻截的签名的比率非常高，在不影响用户正常业务的情况下，可以最大程度地化解威胁。这样，管理员就无需对照冗长的日志来查看是否有误报，以及是否需要关闭一些签名。（4）数据泄露防护数据泄密防护（DateLeakagePrevention，DLP）是通过一定的技术手段，防止企业的指定数据或信息资产以违反安全策略规定的形式流出企业的一种策略。数据泄露防护的主要目的是保护企业或个人的重要数据。由于窃取数据的手段众多，所以实现数据泄露防护需要一组技术来实现。下一代USG系列防火墙提供的数据泄露防护技术主要防止的是数据在网络传输过程中发生泄露，例如：通过网络通信工具将机密数据从企业内部网络传输到外部网络。大部分的数据泄露都是由企业内部员工有意或无意造成的。外部网络的黑客通过入侵技术进入企业内网主机，获取控制权限并获取机密数据，甚至长期监控内网主机运行的情况。由于内网主机无意中感染木马或其他间谍病毒，机密数据被病毒自动搜寻并发送至外部网络。在内网主机与外网主机进行必要通信的过程中，由于黑客进行了监听或截取导致机密数据泄露。为了解决以上问题，根据数据泄露的途径，下一代USG系列防火墙分别提供了不同的技术应对：表1数据泄露防护技术泄露途径技术说明通过HTTP、FTP等文件传输协议，或者即时通信软件等应用程序以文本或文件的方式泄露应用识别、文件过滤、数据过滤基于强大的应用识别能力，下一代USG系列防火墙可以对具有网络通信功能的应用程序以及传输协议进行报文的深度解析，识别其中包含的文件和信息。数据过滤根据文本或文件中出现的关键词，文件过滤根据文件的类型等信息分别对流量进行过滤。通过电子邮件程序以文本或附件的方式泄露邮件过滤、文件过滤、数据过滤邮件过滤根据邮件的收发件人地址、附件大小、附件个数等信息对邮件进行过滤。文件过滤根据邮件附件的文件类型信息对邮件进行过滤。数据过滤根据邮件的收发件人地址、主题、正文、附件文件名中出现的关键字对邮件进行过滤。外网中的黑客通过入侵内网方式窃取数据入侵防御对网络攻击、应用层攻击以及入侵行为的监控，及时阻断外网队内网的渗透和数据窃取。内网主机因为感染病毒无意中泄露反病毒对木马及其他间谍病毒的扫描与识别，避免内网感染具有类似功能的病毒，防止危害在内网泛滥。在内网与外网的正常通信过程中，数据被黑客窃取VPN针对内网主机与外网主机的通信，或者两个被Internet隔离的内网之间的通信，采用VPN加密技术对通信过程进行保护，防止数据被窃听、篡改、伪造和重放。除了以上主动防御措施外，下一代USG系列防火墙还可以通过对网络中出现的应用行为进行审计，记录相应的源、目的、时间、传输的文件、进行的操作等等信息，从而实现对数据泄露行为的监管、追溯与事后取证。通过下一代USG系列防火墙提供的这一系列技术，结合企业内部已有的对存储介质的存放管理、文档数据的加密管理、用户认证与网络资源的授权等等技术，可以对企业数据进行端到端的安全保护，实现完整的数据泄露防护方案。（5）WEB安全防护随着云技术的发展，越来越多的应用开始往Web上进行迁移。Web已经从单纯的提供网页浏览演变成为集金融、社交、音乐、视频、游戏等领域为一身的综合平台。Web业务的丰富和发展同时也带来了多种多样的安全风险，通过综合多种技术可以实现对Web站点和访问行为的安全防护。Web安全问题中最为显著的就是非法网站和恶意网站。非法网站是指暴力、色情等不被当地法律法规或者企业管理制度所允许访问的网络资源。非法网站带来的危害包括影响社会稳定、降低员工工作效率、占用企业带宽、浪费企业网络资源等；恶意网站是指挂马网站、钓鱼网站等试图在用户浏览过程中向用户主机植入木马、进行SQL注入和跨站脚本攻击、利用浏览器/系统漏洞获取主机权限或数据、骗取用户钱财等存在恶意行为的网站。恶意网站有可能带来用户或企业的大量经济损失。恶意网站的显著特征就是在没有安全机制保护的情况下，用户对其恶意行为完全不知情，往往在无意中就造成了损失；URL过滤根据用户访问的URL地址对URL访问行为进行控制。管理员可以根据下一代USG系列防火墙提供的海量URL分类数据库，以及自己定义的URL地址及分类，对不同的URL地址设置不同的处理措施。同时，下一代USG系列防火墙提供的URL分类数据包含了大量已知的挂马网站、钓鱼网站等恶意网站的网址。用户在访问URL时，设备可以自动查询这个URL是否属于恶意网站，并作出相应的处理措施。由于URL地址的数量极其庞大，而且每天都增加，作用也可能发生改变。提供的海量URL分类数据库可以及时跟踪Internet上的URL地址变化，实时更新URL分类信息，保证了URL过滤功能的不断增强。同时，管理员也可以在本地网络搭建URL分类查询服务器。由本地URL分类查询服务器从的查询服务器上学习完整的URL分类信息，本地网络中的多台USG系列防火墙再向该服务器进行查询。这种部署方式节约了网络带宽，提高了查询速度，还可以在内网中的USG系列防火墙无法直接连接Internet时，仍能实现实时查询。（6）应用行为控制应用行为控制可以对企业网络中的特定网络行为进行控制，以避免安全风险，提高管理效率，在现代企业中，网络是不可或缺的工作平台和工具，但是同时因为员工滥用网络的行为，会带来一系列的问题：由于员工在工作时间内浏览与工作无关的网站网页、下载音乐视频等行为导致工作效率的下降和企业网络资源的浪费。由于员工通过网络向外传输文本或文件，泄露企业的机密信息。由于员工在网络上发表不符合当地法律法规或者企业管理制度的言论，对企业形象或利益造成损失。下一代USG系列防火墙提供的应用行为控制功能，可以有效地监控和控制以上网络行为，避免企业利益的损失，提升企业效率：HTTP行为控制：支持对论坛发帖、表单提交、用户登录等HTTPPOST行为进行阻断。支持对网页浏览行为进行阻断。支持对HTTP代理上网行为进行阻断。支持根据HTTP上传/下载的文件大小进行告警或阻断。FTP行为控制：支持根据FTP上传/下载的文件大小进行告警或阻断。支持对FTP删除文件行为进行阻断。（7）垃圾邮件过滤垃圾邮件过滤功能可以根据邮件发送服务器的IP地址以及邮件内容对垃圾邮件进行拦截。通常来说，凡是未经用户许可就强行发送到用户的邮箱中的任何电子邮件都可以称之为垃圾邮件。垃圾邮件最初只是宣传广告的传播途径，但是演变至今已经对网络的正常运转产生了非常恶劣的影响：占用网络带宽，造成邮件服务器拥塞，进而降低整个网络的运行效率。侵犯收件人的隐私权，占用收件人信箱空间，耗费收件人的时间、精力和金钱。有的垃圾邮件还盗用他人的电子邮件地址做发信地址，严重损害了他人的信誉。包含木马和病毒，被黑客利用，成为网络攻击的工具。严重影响ISP的形象。在国际上，频繁转发垃圾邮件的主机会被上级国际因特网服务提供商列入国际垃圾邮件数据库，从而导致该主机不能访问国外许多网络。而且收到垃圾邮件的用户会因为ISP没有建立完善的垃圾邮件过滤机制，而转向其它ISP。传播虚假、反动、色情等内容，对现实社会造成危害。下一代USG系列防火墙提供的垃圾邮件过滤技术包括：本地定义黑白名单，对允许通过的邮件服务器进行控制。向Internet上的RBL服务器实时查询邮件服务器是否属于垃圾邮件服务器。RBL服务器可以提供完整、丰富、不断更新的已知垃圾邮件服务器清单。根据邮件的发件人、主题与正文内容中出现的关键字对邮件进行过滤，实现对未知垃圾邮件的基于内容的防护。灵活的用户管理随着应用协议的发展，IP地址已经不能代表网络使用者的真实身份，并且因此带来诸多安全隐患。通过基于用户的管理，可以有效解决这些问题。在网络发展之初，IP地址是一台主机在网络中的唯一标识，防火墙产品也都是基于IP地址进行流量控制。但是由于移动办公、无线办公以及远程办公等办公形式的出现，企业主机的IP地址难以受到集中管理。加上IP地址是以明文形式存储在报文中，极易窃取和篡改，所以通过仿冒IP地址形式进行的网络欺骗也日益增多。下一代USG系列防火墙所采用的基于用户部署安全措施的机制解决了上述问题。主机在接入网络时，首先需要输入用户名和密码，设备认证通过后才允许其接入网络。用户名和密码真正代表该主机当前使用者的真实身份，设备基于用户配置各种策略，就可以使资源授权、安全防护、流量管理等措施的部署更加精确。下一代USG系列防火墙提供了用户信息的存储和管理、用户认证、权限控制与流量管理的一系列解决方案：用户信息的存储和管理（用户名、密码等）支持在USG上创建本地用户和用户组，支持树状的组织结构管理，支持组嵌套，满足大部分企业的组织结构需求。支持在第三方认证服务器上管理用户，设备与其进行同步或导入。支持的认证服务器包括AD、RADIUS、LDAP、HWTACACS、SecurID、TSM。用户认证支持本地认证。即在设备上创建和管理的用户，由USG推送认证页面至用户的浏览器，由设备对其进行认证。支持代理认证。即在第三方认证服务器上创建和管理用户。USG作为代理设备转发用户的认证请求，并获取用户是否认证成功的结果。为了使USG可以对这些用户部署策略，需要将用户名及其组织结构从服务器导入到USG中。支持与AD服务器进行实时同步。当用户已通过AD服务器的认证时，设备可以直接从AD服务器同步到该用户已经认证通过的结果，就不再对其进行认证。支持对使用VPN隧道接入内网的用户，根据接入方式的不同选择是否进行二次认证。权限控制与流量管理支持对本地创建和从服务器导入的用户部署以下策略：安全策略：控制网络访问权限和进行内容安全防护。带宽策略：控制用户的带宽、连接数占用，调整用户流量转发优先级。策略路由：控制用户流量的转发出口。审计策略：对用户网络行为进行合法审计。精细的流量管理网络业务在飞速发展，但是网络带宽不可能无限扩展。所以必要时管理员需要对流量的带宽占用进管理，保证高优先级的网络业务，降低低优先级的网络业务的带宽占用。目前网络管理员在管理网络带宽时经常遇到以下问题：P2P流量在网络中建立了大量连接，占用了绝大部分网络带宽。由于遭受DDoS攻击，普通主机无法正常访问企业所提供的服务。无法为些特殊业务保证稳定带宽或连接数。超负荷的业务流量导致设备运行效率低下，影响网络的体验。针对以上问题，下一代USG系列防火墙提供的流量管理技术可以实现以下功能：基于IP地址、用户、应用、时间分配带宽和连接数，降低P2P流量的带宽占用，只给特定用户开放P2P的下载权限。基于安全区域或接口限定最大带宽，即使发生DDoS攻击，也可以保证内网服务器和设备本身不会因为流量过大而性能下降甚至瘫痪。通过给不同的应用分配不同的保证带宽和最大带宽，实现带宽的合理分配，保证特殊业务的需求。下一代USG系列防火墙强大的应用识别能力可以实现精细化的带宽管理。下一代USG系列防火墙提供了灵活的带宽分配方式，通过引入带宽策略和带宽通道，每个带宽通道代表一个带宽/连接数范围，每个带宽策略可以给一类流量分配一个带宽通道，从而实现以下分配方式：多个带宽策略共享带宽通道，带宽策略中的各条流量通过抢占的方式使用带宽通道的带宽/连接数资源，使得网络资源得到充分利用。同时还可以限制其中每个IP或用户的最大带宽，既可以保证全局流量不拥塞，也可以保证单台主机不会因为其他主机占用带宽过多导致无法上网。一个带宽策略独享带宽通道。通常用于保证特殊业务或主机的流量带宽不受其他流量的影响，使高优先级业务可以正常运行。领先的IPV6支持下一代USG系列防火墙对下一代IP网络技术IPv6进行了全面支持，可以满足多种IPv6组网模式，有效保护IPv6网络的安全。IPv6（InternetProtocolVersion6）是新版本的网络层协议，它是Internet工程任务组（IETF）设计的一套规范。IPv6和IPv4之间最显著的区别就是IP地址的长度从32位升为128位。IPV6可以较为彻底的解决IP地址缺乏问题。同时，使用IPv6后，网络中路由设备的路由表项将会变少，可以提高路由设备转发报文的速率。在IPv6网络的搭建中，主要涉及以下两类IPv6技术：IPV6主机之间的通信技术，又被称为IPv6基础技术。在IPV4网络逐渐向IPv6网络演进的过程中，IPv6主机和IPv4主机之间的通信技术，又被称为IPv6过渡技术。（1）IPv6基础技术IPv6地址：支持IPv4和IPv6双协议栈，支持对IPv6报文的报文头进行解析，根据其中的IPv6地址进行报文转发。支持IPv6地址的手工配置和自动配置，支持IPv6邻居发现。支持ICMPv6、DNSv6、DHCPv6、PPPoEv6等配套技术。IPv6路由：支持IPv6的静态路由、策略路由、路由策略，用于路由表的灵活调整。支持RIPng动态路由协议。支持OSPFv3动态路由协议支持BGP4+动态路由协议支持IS-IS动态路由协议的IPv6功能（2）IPv6过渡技术IPv4向