深信服下一代防火墙技术白皮书20231120

深信服下一代防火墙技术白皮书深信服科技股份有限公司2022年5月版权声明深信服科技股份有限公司版权所有，并保留对本文档及本声明的最终解释权和修改权。本文档中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明外，其著作权或其它相关权利均属于深信服科技股份有限公司。未经深信服科技股份有限公司书面同意，任何人不得以任何方式或形式对本文档内的任何部分进行复制、摘录、备份、修改、传播、翻译成其他语言、将其全部或部分用于商业用途。免责条款本文档仅用于为最终用户提供信息，其内容如有更改，恕不另行通知。深信服科技股份有限公司在编写本文档的时候已尽最大努力保证其内容准确可靠，但深信服科技股份有限公司不对本文档中的遗漏、不准确、或错误导致的损失和损害承担责任。信息反馈如果您有任何宝贵意见，请反馈至：地址：深圳市南山区学苑大道1001号南山智园A1栋邮编：518055电话真也可以访问深信服科技股份有限公司官方网站：获得最新技术、产品和方案信息。目录218161.产品概述 583042.产品设计概述 622402.1.分离平面设计 6283692.2.多核并行处理技术 6104442.3.单次解析架构处理技术 768482.4.跳跃式扫描技术 7306942.5.SangforRegex正则引擎 8203223.深信服下一代防火墙功能介绍 993043.1.防火墙基础功能 9232043.1.1.链路聚合 94843.1.2.路由功能 9124553.1.3.网络地址转换 9281623.1.4.IPv4/IPv6双栈 10295583.1.5.VPN功能 1069733.1.6.攻击防范 11269913.1.7.访问控制 1293303.1.8.入侵防御 13245923.1.9.失陷主机检测 1338283.1.10.病毒防护 1497293.1.11.应用层安全防护 15232673.1.12.黑链检测 15242073.1.13.三权分立 16315523.1.14.一虚多 16168953.2.防火墙技术特点 1770343.2.1.深度内容检测技术 17146793.2.2.加密账号爆破检测技术 1816713.2.3.NTA异常流量行为分析技术 19311203.2.4.人工智能病毒文件检测技术 21255583.2.5.实时漏洞分析技术 2285353.2.6.WISE智能语义分析技术 23247143.2.7.恶意加密流量检测技术 24137573.2.8.欺骗防御 25204563.2.9.网端云联动 26321424.典型部署场景 28255664.1.网关模式 28307484.2.网桥模式 29263734.2.1.单网桥模式 29214534.2.2.多网桥模式 30275474.3.旁路模式 31106684.4.双机模式 32161854.4.1.主主模式 32119674.4.2.主备模式 33126324.5.多分支集中管控 33产品概述近年来，随着互联网+、业务数字化转型的深入推进，各行各业都在加速往互联网化、数字化转型。业务越来越多的向公众、合作伙伴、第三方机构等开放，在数字化业务带给我们高效和便捷的同时，信息暴露面的增加，网络边界的模糊化以及黑客攻击的产业化使得网络安全事件相较以往成指数级的增加。传统防火墙基于五元组的方式对进出网络的数据流量进行访问控制，基于网络层特征进行攻击检测与识别。由于Web2.0的普及，通过少数端口和协议的数据流量越来越多，部分应用甚至使用非标准端口，基于端口/协议类检测方式的安全策略不再具有有效性，缺乏对基于应用发起的网络攻击行为的防御。2009年国外著名咨询机构Gartner首次提出“下一代防火墙”的概念，为了应对当前和未来的网络安全威胁，必须将防火墙升级为“下一代防火墙”。下一代防火墙不仅具备传统防火墙的功能与特点，同时集成应用层安全防御技术、可视化技术和智能化技术。深信服下一代防火墙以保障用户核心资产为目标，在传统防火墙的基础上集成丰富的应用层安全功能，为用户提供L2-L7层网络的全面安全防护能力，是一款能够有效应对传统网络攻击和未知威胁攻击的创新网络安全产品。为实现对各类安全风险的有效防御，深信服下一代防火墙集成云端订阅服务、机器学习和大数据分析等业内领先的创新安全技术，增强组织网络边界的安全检测与防控能力，保障网络的正常运行，实现业务的稳定运营。产品底层设计防火墙通常部署在网络边界出口，是日常网络安全建设最常见且重要的网络产品。作为网络出口的网关类安全产品，产品性能对于衡量业务连续性和安全性至关重要。深信服下一代防火墙采用自主研发硬件系统和专用防火墙软件系统（深信服自主知识产权专用操作系统SangforOS），在保障高可用性的同时，提供优异的应用层安全防御能力，保证用户业务的可靠性。分离平面设计深信服下一代防火墙采用专用软件操作系统，将进入网络的网络层和应用层的数据处理进行分离，在底层以应用识别模块为基础，对所有网卡接收到的数据进行有效识别，并通过抓包驱动把待处理的应用数据报文抓取到应用层安全模块。在分离平面设计架构下，实现分层、独立和并行的工作模式，保证高效可靠的数据报文处理。图2-1软件系统平面设计多核并行处理技术深信服下一代防火墙的硬件平台采用英特尔X86多核架构，在保障网络层高转发的同时，提供优异的应用层处理能力。在系统软件设计层面，通过在计算指令设计上采用先进的无锁并行处理技术，实现异步并行处理，保证产品能够实现多流水线并行处理能力的同时，确保产品应用层处理的高性能，满足用户日益增长的业务安全性能需求。图22多核并行处理技术单次解析架构处理技术深信服下一代防火墙系统软件采用单次解析架构，实现数据报文一次解析一次匹配，有效提升应用层处理效率。产品系统软件架构设计通过实现网络层、应用层的平面分离，将数据通过“0”拷贝技术提取到应用平面上实现威胁特征的统一解析和统一检测，减少冗余的数据包封装，实现高性能的数据处理。图23单次解析架构跳跃式扫描技术深信服下一代防火墙利用多年积累的应用识别技术，在系统软件的内核驱动层面通过私有协议，将所有经过下一代防火墙的数据包都打上应用的标签。当数据包被提取到内容检测平面进行检测时，产品找到对应的应用威胁特征标签，通过应用跳跃式扫描技术跳过无关的应用威胁检测特征标签，减少无效扫描，比加快安全策略匹配速率。例如经过防火墙的数据流量被识别为HTTP流量，那么FTPserver的相关漏洞攻击特征便不会对系统造成威胁，便可以暂时跳过检测进行转发，提升数据流量转发的效率。SangforRegex正则引擎正则表达式是一种识别特定模式数据的传统检测方法，通过字符串匹配凡是检测并判定数据流量中是否包含攻击特征，但是业界常用的正则表达式匹配方法的速度较慢，制约防火墙产品的检测与转发速度。因此，深信服下一代防火墙产品采用自主研发的SangforRegex正则引擎，将正则表达式的匹配速度提高到数十倍，并达到业界领先水平。深信服下一代防火墙采用的SangforRegex正则引擎不仅降低CPU占用率，而且提高了深信服下一代防火墙的吞吐量，该项技术适用于对每秒吞吐量要求特别高的场景，如运营商、电商等。深信服下一代防火墙功能技术原理防火墙基础功能深信服下一代防火墙兼容传统防火墙的所有功能特性，包括交换/路由、访问控制，双机热备、抗DDoS攻击、应用代理、DHCP/DNS、VPN等功能。链路聚合链路聚合（LinkAggregation），是指将多个物理接口捆绑在一起，成为一个逻辑接口，以实现出/入流量在各成员接口中的负荷分担。深信服下一代防火墙根据用户配置的端口负荷分担策略(主备、负载均衡-hash、负载均衡-RR)决定报文从哪一个成员接口发送到下一跳地址。当交换机检测到其中一个成员接口链路发生故障时，就停止在此接口上发送报文，并根据负荷分担策略在剩下接口链路中重新计算报文发送的接口。故障接口恢复后会再次重新计算报文发送接口。链路聚合在增加链路带宽（如果一个接口1G带宽，另外一个接口也是1G带宽，如果将这两个接口聚合成一个逻辑接口，理论上这个逻辑接口的带宽就是2G）实现链路传输弹性和冗余等方面是一项很高效的技术。路由功能由于用户网络复杂性，防火墙作为常用网络产品应该具备良好的组网适应能力。深信服下一代防火墙在提供多种安全功能的同时，集成了丰富的路由功能，不仅支持静态路由、策略路由、多播路由，同时支持BGP、RIP、OSPF等动态路由协议，进一步提升产品组网的灵活性。网络地址转换网络地址转换（NAT）是将IP数据报文头中的IP地址转换为另一个IP地址的过程。在实际应用中，网络地址转换主要应用在连接两个网络的网关产品上，用于实现允许内部网络用户访问外部公共网络，以及允许外部公共网络访问部分内部网络资源（例如内部服务器）的目的。深信服下一代防火墙支持丰富的网络地址转功能，包括支持静态网络地址转换（StaticNAT）和动态网络地址转换（DynamicNAT），同时产品支持目的地址转换和双向地址转换。NATALG技术对多通道协议进行应用层报文信息的解析和地址转换，将载荷中需要进行地址转换的IP地址和端口或者需特殊处理的字段进行相应的转换和处理，为内外部网络的通信提供了基于应用的访问控制。深信服下一代防火墙支持多种应用层协议NATALG功能，包括支持FTP、、RTSP、SQLNET、PPTP、TFTP、H.323、SIP应用协议的NAT穿越，从而保证应用层通信的正确性。IPv4/IPv6双栈深信服下一代防火墙支持完整的IPv4/IPv6双栈协议，支持IPv6协议下多种网络功能和安全功能，满足日常IPv6改造要求。产品支持丰富的路由协议，包括静态路由、动态路由，满足IPv4网络与IPv6网络正常访问通讯。同时，产品支持在IPv6协议下设置安全访问控制策略，可针对IPv6协议下的目的/源地址、目的/源服务端口、对象、服务等条件安全策略，对进出网络的IPv6深度检测与安全控制，确保内部网络的安全性。VPN功能深信服下一代防火墙作为网络边界安全产品，可以支持多种VPN隧道业务，包括GRE、IPSecVPN和SSLVPN等多种类型，通过防火墙产品为企业单位之间建立安全可靠的VPN连接服务。GRE（GenericRoutingEncapsulation，通用路由封装）:属于第三层隧道协议，用来对某种协议（如IP、以太网）的数据报文进行封装，使这些被封装的数据报文能够在另一个网络（如IP）中传输。封装后的数据报文在GRE隧道中传输，网络两端的产品分别对数据报文进行封装及解封装。IPsec（IPSecurity，IP安全）：是一种三层隧道加密协议，为互联网上传输的数据提供加密传输服务，深信服下一代防火墙应用IPSecVPN实现分支机构与总部的建立VPN隧道，并对传输的数据进行加密，结合访问控制列表对不同数据流建立不同安全策略，以确保数据传输过程的安全可靠性。SSLVPN（SecureSocketsLayer，安全套接字层）：以SSL/TSL协议为基础，为用户提供远程的安全连接服务。用户使用内嵌SSL协议的浏览器与远端的Web服务器建立安全的连接，防火墙产品接收到请求后转发给内网服务器，并将服务器的响应内容以网页形式回传给用户。内网请求信息在互联网传输过程中经过SSL加密隧道，为移动用户或者外部用户提供安全可靠的内网资源服务。SangforVPN-SDWAN选路：用户的线路资源越来越多，既有专线线路，又有互联网线路，因此针对不同WAN线路质量部署不同类型的应用是当前用户的一个核心诉求。深信服下一代防火墙SDWAN选路功能可以根据配置的选路模式和线路质量，自动的为应用选择最合适的线路。目前SDWAN选路提供四种选路模式：AutoGO智能负载选路、按指定顺序选路、优先使用质量最优的线路和按剩余带宽比例负载。攻击防范深信服下一代防火墙采用自主研发的DOS攻击算法，可针对数据包、IP协议报文、TCP协议报文、基于HTTP协议的DoS/DDoS攻击等各种泛洪类攻击进行防范，并对各种畸形报文攻击进行检测，抵御各种IP地址和端口扫描等窥探攻击。深信服下一代防火墙通过两个检测阶段进行DDoS的检测和防护：图31DoS检测与防护1、对于业务数据第一阶段进行TCP异常包、IP选项攻击、未知IP协议攻击、IP分片攻击、LAND攻击、WINNUKE攻击、SMURF攻击、TCP选项攻击、各种FLOOD攻击（包括SYNFLOOD,ICMPFLOOD,UDPFLOOD,DNSQUERYFLOOD）等DDoS检测。当第一阶段中检测到SYN包频率过高时，将在第二阶段对TCP连接做SYNCOOKIE代理，第二阶段还进行ICMP大包攻击(即pingofdeath)等检测。2、对于本机（访问深信服下一代防火墙本身）数据，DDoS检测模块会在第一阶段做端口扫描的检测（SYN扫描和CONNECT扫描），包括所有的nmap扫描：FIN扫描，NULL扫描，xmastree扫描，UDP扫描，ACK扫描，MAIMON扫描，WINDOWS扫描，TCPIdle扫描。而第二阶段根据第一阶段的检测结果决定是否做本机的syn代理。访问控制访问控制是防火墙产品最基础的安全功能，通过报文的特征定义一系列的ACL策略，通过这些ACL策略可以控制通过防火墙报文。深信服下一代防火墙基于状态检测技术，通过安全域、IP地址、端口、协议、用户、应用、时间等维度对数据报文进行深度检测，阻断违规数据访问。为简化产品日常运维，产品应用策略智能分析技术，对下一代防火墙产品已启用的安全策略进行深层次对比分析，判定哪些安全策略失效，在产品管理界面提示用户根据建议及时调优，避免出现安全策略冗余难管理的状况，保障安全策略的有效性。入侵防御IPS（IntrusionPreventionSystem）是一种安全机制，通过分析网络流量检测僵尸、木马、蠕虫等恶意威胁入侵，并通过一定的响应方式，实时地中止入侵行为，保护企业信息系统和网络架构免受侵害。入侵防御实现机制如下：重组应用数据数据流量进入IPS模块前，会先对IP分片报文重组和TCP流重组，确保应用层数据的连续性，有效检测逃避入侵检测的攻击行为。协议识别和协议解析根据内容识别出多种应用层协议，并根据具体协议进行精细的解码并深入提取报文特征进行入侵检测。特征匹配将解析后的报文特征和签名进行匹配，如果命中了签名则进行响应处理。深信服下一代防火墙基于深度应用识别技术，能够对流经防火墙的数据报文进行深度应用层分析和检测，通过对数据报文进行协议分析和重组，并根据检测结果对数据报文做出响应动作。深信服下一代防火墙产品内置8000+主流IPS特库，正常每两周例行更新，重大事件24小时更新响应。由于IPS攻击检测主要依赖攻击特征匹配，IPS模块检测的精准度依靠规则库的数量和规则库更新的及时性，这种检测方式的劣势是无法针对复杂漏洞、未知漏洞进行防御。深信服自研的IPS反逃逸漏洞防御引擎在漏洞特征库的基础上，增加了行为分析检测技术，基于攻击泛化的漏洞覆盖技术，从漏洞共性攻击与利用方式，泛化出通用漏洞特征，利用最少规则检测更多的安全漏洞的能力。同时，深信服通过与CNCERT、Googlevirustotal等十余家权威机构的合作来实现共享威胁情报并接收到最全面的信息，实现对新型漏洞威胁的有效防御。失陷主机检测失陷主机通常是指网络攻击者以某种方式获得控制权的主机，在获得控制权后，攻击者通过建立C&C隐蔽通道并对失陷主机发送恶意指令，甚至以该主机为跳板继续攻击内网的其他主机。另外，失陷主机往往具有无规律性、高隐蔽性的特点，很多入侵动作本身难以识别或无法确认攻击是否成功。针对办公网或者生产网场景中存在的失陷主机安全隐患，深信服下一代防火墙采用本地特征库+云端NTA检测技术准确定位各种失陷主机的高危行为。深信服防火墙本地具备130万的僵尸网络特征库，里面包含主流恶意URL、C&CIP地址等，通过对比风险主机的非法外联行为，确认并定位失陷主机。由于攻击者经常使用恶意软件隐秘通信检测，包括使用DGA通信、DNS隐蔽通道通信、字典拼接通信、硬编码通信等，增加了非法外联行为的检测难度。深信服下一代防火墙采用NTA异常流量行为分析引擎，基于AI+规则的闭环迭代发现异常流量，定位未知威胁。病毒防护深信服下一代防火墙采用流模式和启发式文件扫描技术，并使用自研的AI杀毒引擎SAVE，可对HTTP、SMTP、POP3、IMAP、FTP、SMB等多种协议类型的近百万种病毒进行查杀，包括木马、蠕虫、宏病毒、脚本病毒等，同时可对多线程并发、深层次压缩文件等进行有效控制和查杀。应用层安全防护随着互联网和移动互联网技术的快速发展，各类网站和Web应用近年呈现爆发式的增长，Web应用平台已经在电子政务、电子商务等领域得到广泛的应用，以实现协同办公和社会性网络服务等目的。黑客也将注意力从以往对网络服务器的攻击逐步转移到了对Web应用的攻击上。根据Gartner的调查报告显示，信息安全攻击有70%都是发生在Web应用层而非网络层面上，同时数据也显示2/3的Web站点都相当脆弱，易受攻击。绝大多数企业将大量的投资花费在网络和服务器的安全上，通常在网络中会部署防火墙、IPS、防病毒等安全产品，但是这类产品对于Http和Https的Web应用层攻击往往无法检测，没有从真正意义上保证Web业务本身的安全。 深信服下一代防火墙采用“规则匹配+WISE语义引擎”双重检测机制，针对攻击者发起的应用层攻击行为进行深度检测与阻断。产品内置5000+主流应用特征库，每两周例行更新，重大时期二十四小时更新，有效识别攻击者发起的各类主流Web应用攻击行为。黑链检测黑链是SEO手法中相当普遍的一种手段，是指用非正常的手段获取的其它网站的反向链接，最常见的黑链就是通过各种网站程序漏洞获取搜索引擎权重或者PR较高的网站的webshell，进而在被黑网站上链接自己的网站。黒链检测最常用的方式是使用第三方扫描工具，需要不定期来检测网页是否存在黒链，实时性较差。深信服下一代防火墙黑应用动态常态检测技术，只要被挂黑链页面出现访问行为，就可以检测到黑链位置以及对应类型。深信服下一代防火墙的黑链检测功能由两部分检测内容来实现：外链类型检测对通过防火墙http流量进行处理并提取外链，在产品内置的URL分类库中查询其类型并给一定权值评分，当总打分达到一定程度时，就认为是挂黑链。关键词检测对通过防火墙http流量进行处理，提取外链内容，使用关键词库去匹配，针对不同关键词给不同权值，当总打分达到一定程度时，就认为是挂黑链。当检测到黑链后，记录黑链类型以及对应的位置，高亮显示黑链位置。三权分立深信服下一代防火墙针对产品管理员角色建立分权分立的管理员帐号机制，根据产品操作用户的日常需求，分别定义了安全管理员、审计员和系统管理员。在实现安全管理、审计管理和配置管理功能分离的同时,也保证了管理员权限的分离。不仅防止因为管理员权限过大所引起的安全风险，也保证已经配置完成的访问控制策略不会出现未授权的修改，出现操作失误可以保留相关审计信息。硬件一虚多深信服下一代防火墙一虚多是指在一台物理设备上划分出的多台相互独立的逻辑设备，可以从逻辑上将一台深信服防火墙设备划分为多个虚拟系统。每个虚拟系统相当于一台真实的设备，有自己的接口、地址、用户/组、路由表项以及策略，在不增加成本的情况下实现不同业务区域流量、管理工作的隔离。主要应用场景有大中型企业的网络隔离、多分支接入场景、云计算中心安全网关。防火墙优势技术原理深度内容检测技术传统基于ACL策略的IP包过滤技术相对简单，准确率较低，在复杂应用的场合数据包的过滤是无法真正检测到威胁流量。在实际应用中，大部分应用协议都不采用标准的协议和端口通讯，有些采用了可协商的TCP/UDP端口来建立，因此传统的L2-L7包分类机制无法实现基于应用内容的有效识别。相比传统的L2-L7层应用处理技术，深信服深度内容检测技术在基于流识别与应用识别的基础上，对数据包头和包内容进行深度的解析。深信服结合多年对应用的研究，将深度内容检测技术融合到防火墙产品中，通过该技术的应用，深信服下一代防火墙具备深度内容识别能力，能够检测出通过文件、数据流、标准协议等相关应用内容。图32深度内容检测加密账号爆破检测技术暴力破解作为网络入侵、横向传播阶段中常见的攻击手段，是指对应用系统通过使用大量的认证信息在目标认证接口进行反复尝试登录的攻击行为。业内常用检测方式主要采用基于登录频率的规则来识别并阻断暴力破解攻击，上述方式无法解决加密协议和低频慢速暴破场景下的安全问题，如RDP远程桌面登陆协议、SSH协议访问等。由于交互细节被加密，通过规则匹配仅能识别出采用的协议类型，无法审计是否登录成功。攻击者为逃避安全检测，往往采用更加隐蔽的分布式、低频暴破攻击而不是传统的高频暴破攻击，此时单IP在单位时间内的暴破次数很可能低于预定设置的阈值，导致无法准确定位攻击者。深信服下一代防火墙应用专项账号暴破检测引擎，该引擎采用创新的登录状态分析和暴破检测算法，能够检测加密协议、慢速暴破以及异常登录，及时发现攻击者违规越权的网络访问行为。其工作流程如下所示：进行协议识别，对于加密协议，进行加密登录认证状态判定，然后进入慢速暴破判定引擎处理，对于非加密协议，直接进入慢速暴破判定引擎。对于加密协议采用基于多特征模型的登录认证状态判定，根据会话时长、协议交互、流量和工具等多维度特征，综合判断本次登录是否成功。采用基于指纹的异常登录检测，识别非标准程序登录、暴破攻击登录和漏洞攻击登录等异常登录行为。识别登录状态后，进入基于多尺度时间窗口序列化的慢速暴破检测引擎，识别隐蔽的慢速暴破行为。NTA异常流量行为分析技术NTA（NetworkTrafficAnalysis）中文称为网络流量行为分析，是一个记录，审查和分析网络流量的过程，用于性能，安全性，网络等的操作和管理技术。在2019年2月底，Gartner发布了针对NTA的研究报告《MarketGuideforNetworkTraffcAnalysis》，其中建议采用行为分析作为规则匹配的补充，同时也建议防火墙等安全产品融合NTA-as-a-feature作为解决方案，提升异常流量检测的能力。在实际使用过程中，深信服将NTA作为失陷主机检测的主要技术手段。深信服下一代防火墙本地具备130万主流失陷主机特征，通过特征规则匹配的方式检测并定位已知非法外联的失陷主机。由于攻击者为防止非法外联行为被发现，通常对C&C通信进行加密操作，例如使用DGA随机域名生成算法。此时，深信服防火墙通过云端威胁检测中心中的NTA异常流程检测引擎识别并发现内网失陷主机的非法外联行为。NTA异常流量行为分析引擎基于AI+规则的闭环迭代发现异常流量，定位未知威胁。AI算法被越来越广泛的应用到安全检测中，其主要优势在于：（1）当一个安全问题需要很多条特征才能准确描述时，AI算法能够通过统计分析为每条规则分配合适的权重；（2）AI算法能够提取更高层次的特征，具备很强的泛化能力，能够挖掘出易被人工分析忽略的异常点。AI算法应用到安全检测领域最大的问题是可解释性比较差（特别是深度神经网络），而如何将检出结果清晰、准确的呈现给客户又是安全检测非常重要的一环。因此，单纯依赖AI算法并不能很好的解决安全检测问题。规则加阈值的方式具有很强的可解释性，却不具备AI算法处理复杂问题场景的能力以及发现未知异常的（泛化）能力。因此，有机的将AI与规则结合到一起，能够将二者形成互补，提升检测未知威胁的能力。下图展示了如何有机的将AI算法与启发式规则进行结合，发挥安全专家与数据专家的能力，持续的发现未知的威胁。数据专家利用AI算法的泛化能力将潜在的威胁发掘出来，然后安全专家通过对安全问题与场景的分析与理解，制定可解释强的规则对威胁进行定位。对于那些当前规则能够准确定位的威胁，报出安全事件，对客户进行告警。对于那些当前规则不能准确定位的异常，则会通过运营反馈到安全专家那里，如果是AI算法新发现的异常，安全专家对规则进行更新，从而能够准确定位出更多类型的异常行为.如果发现未能定位的异常是误报（包括不能准确向客户解释的场景），则会反馈给数据专家，对AI模型进行更新，从而提升AI算法的准确性。人工智能病毒文件检测技术传统的静态病毒检测方法主要有MD5、病毒特征码和规则匹配这三大类。这些传统技术本质上都是对文件的字节信息进行匹配，这导致他们通常无法检测新变种、新家族等未知威胁。正是由于传统病毒检测方法存在无法调和的缺陷，深信服下一代防火墙应用机器学习技术检测未知病毒或新变种，提升病毒文件检测的准确率。深信服下一代防火墙采用自研杀毒引擎SAVE（人工智能恶意文件检测引擎），该引擎利用深度学习技术对数亿维的原始特征进行分析和综合，结合安全专家的领域知识，最终挑选了数千维最有效的高维特征进行恶意文件的鉴定，相比基于病毒特征库的传统检测引擎，SAVE的主要优势有：1）具备强大的泛化能力，甚至能够做到在不更新模型的情况下识别新出现的未知病毒；2）这对威胁最高的勒索病毒检测达到业界领先的检出率，包括影响广泛的WannaCry、BadRabbit等病毒；3）云+端联动，依托于深信服安全云脑基于海量大数据的运营分析，SAVE能够持续进化，不断更新模型并提升检测能力，从而形成本地传统引擎、人工智能检测引擎和云端查杀引擎的完美结合。SAVE的检测过程分为本地查杀和云端查杀两个阶段。本地查杀阶段会调用规则引擎，AI引擎，变形对抗引擎，数字签名引擎。SAVE通过规则引擎快速处理已知常见病毒，通过AI引擎应对新型未知攻击，变形对抗引擎能有效处理恶意文件的免杀手段，数签引擎可以有效处理可信白文件。云端查杀主要处理本地引擎判为可疑的文件。在用户允许的前提下，SAVE会上传文件的检测特征到云端进行更细粒度的检测。云端部署了检测能力更强同时需要更多计算资源的检测引擎，可以对文件进行更深入的分析，做出准确判断。SAVE引擎的检测模型在云端（安全云脑—深信服云端安全中心）会自动持续演进，包括机器学习特征集更新、AI检测模型演进等。通过升级服务下发最新检测模型到终端或者防火墙产品上，不断提升本地防火墙的病毒检测能力。实时漏洞分析技术深信服下一代防火墙实时漏洞分析系统实时旁路地检测经过产品的应用流量，对流量进行应用解析，对解析后的应用数据匹配实时漏洞分析识别库，发现服务器存在漏洞。相比主动漏洞扫描工具或者是市场的漏扫设备，实时漏洞分析技术的优势就在于能实时发现和跟踪网络中主机、服务和应用存在的安全漏洞，实时分析用户网络中存在的安全问题，且不会给网络产生额外的流量。图36漏洞识别WISE智能语义分析技术 为应对各种高级和新型Web应用攻击入侵，深信服下一代防火墙采用深信服自研的WISE智能语义分析引擎，对访问流量脚本文件进行语法分析，并提取相应的语义特征，例如危险函数调用、类声明等信息，通过运用语法树提高特征提取的精确度，使特征提取不受注释的干扰，轻松对抗各种变形、绕过攻击能力强，相比传统规则匹配，能有效降低误报漏报，并具备未知漏洞利用攻击的防御能力。该引擎在现有语义分析的基础上，具备更强大、更智能的检测能力，工作流程如下：1、通过深入分析漏洞原理，WISE智能语义引擎使用了高效的字符串匹配算法，过滤掉大量正常流量；2、WISE智能语义引擎利用内置的多种Web语言的轻量级编译器，对进入的流量进行词法分析及语法分析，如果不符合设定语言的词法或者语法描述，则无需再进行下一步处理。3、利用语义分析技术，提取可疑的攻击特征。若存在可疑特征，则继续进行虚拟执行；4、自底向上遍历语法树，执行可疑的操作，还原攻击者刻意构造隐藏的恶意代码。恶意加密流量检测技术加密技术为使用互联网进行在线通信和事务处理的企业提供更大的隐私和安全性，例如移动、云和Web应用程序依靠使用密钥和证书来确保安全性和信任的良好实施的加密机制。然而，企业并不是唯一受益于加密的一方，攻击者也开始利用加密流量来逃避检测并隐藏其恶意活动，据估计有超过70%的恶意软件的通信流量都采用了加密技术。当前恶意流量检测主流方案都是基于通信过程中的明文payload进行关键字匹配、分析的手段来实现，出于性能和硬件资源的限制，该技术无法应用在网络安全产品中，并且解密流量并检测的行为实际上违背了加密流量的初衷。 深信服下一代防火墙创新采用免解密技术，，在不影响流量吞吐速率的情况下对加密后的威胁流量进行检测与防护。产品内置恶意加密流量检测引擎，该检测引擎主要包括AI引擎、规则引擎和异常检测引擎等几个子引擎，其主要工作原理如下：在AI引擎中，首先采用基于多特征模型的方法将加密流量向量化，多特征模型包括时空特征、握手特征、证书特征和域名特征等，得到高维特征后，输入AI算法进行训练，得到分类模型，帮助对加密流量进行恶意性判定；规则引擎包括两部分，一是基于TLS指纹的模型（JA3/JA3S/JOY/JARM等），还有一种是基于情报的规则，借助深信服威胁情报沙箱提取出的与恶意软件加密流量相关的证书、域名和IP的情报信息，通过构建黑白名单，对于恶意加密流量进行准确识别和分类；异常检测引擎针对加密流量的异常特征，通过建立设备加密网络行为基线，挑选出异常的、可疑的行为，如异常的网络设备JA3、异常的访问时间和访问频率、异常的上下行数据包比率、异常的证书签发机构等等，结合安全专家分析，无需使用规则即可检测到正在出现的威胁（包括以前未知的威胁）的最早迹象。欺骗防御（云蜜罐）Gartner对欺骗伪装技术定义为：“使用骗局或假动作来阻挠或推翻攻击者的认知过程，扰乱攻击者的自动化工具，延迟或阻断攻击者的活动，通过使用虚假的响应、有意混淆，以假动作、误导等伪造信息达到‘欺骗’的目的。”为弥补传统防御方式的不足，快速感知未知威胁并延缓非法攻击，深信服下一代防火墙应用欺骗防御技术模拟真实Web服务,包括常见的OA系统、文件服务、运维服务、邮件服务等共22种具体应用服务，在攻击者渗透到内网时混淆攻击者视线。一旦攻击者访问由防火墙自定义伪装的业务和端口，防火墙立即将攻击者访问流量引流至云端蜜罐的虚拟环境中，使攻击者误认为嗅探到真实的业务系统，并对仿真服务和主机尝试进行提权等非法操作，从而延缓攻击者的进程。云端蜜罐对攻击者流量进行深度行为分析，获取攻击方的指纹信息、工具、手法、攻击轨迹等，汇总形成攻击者画像，并准确定位攻击者真实身份，实现全面取证与精准朔源。另一方面，云蜜罐结合防火墙联动实时封堵攻击源，缩短应急响应时间，并将捕获的未知威胁等数据应用于防火墙产品上，提高本地防火墙的攻击检测能力，不断赋能安全防御体现，保护现网真实资产安全。网端云联动近年来网络安全形势愈发严峻，在智能化和自动化技术的加持下，新型网络攻击手段层出不穷，呈现出多样化和杂化趋势的演变，过去仅在网络边界部署防火墙产品逐渐显得捉襟见肘。为打破传统防火墙的静态防御、单兵作战的防御模式，全面提升边界防御能力，深信服推出网端云架构，该架构以大数据驱动和工智能算法为基础，构建基于网络边界、端点、云端的系统化智能协同联动防护体系，有效保障企业的安全成为新型安全能力建设的核心工作。深信服下一代防火墙通过融合端点组件EDR，联动EDR进行主机终端风险分析与处置，并将防火墙产品识别到的恶意网络行为，在终端进程级定位与之相关的进程文件特征，并借助云端威胁情报协助判定，针对同类型的威胁进行智能免疫，快速简单有效的进行响应。在云端构建基于SaaS模式交付的轻量级安全运营中心云图，通过简单运营界面快速处置安全问题，包括全局风险展示、安全设备统一管理，并通过微信预警机制基于移动端将风险一键处置闭环。云威胁情报网关深信服下一代防火墙云威胁情报网关订阅，利用领先的云端情报系统+大量POP点+云端AI智能引擎，防火墙支持未知流量实时上云检测，100ms内返回结果，实现失陷终端外联实时检测与拦截，有效应对挖矿、恶意软件、APT等新型威胁，同时针对监管合规需求做好及时响应，及时发现问题、阻断攻击、溯源闭环。①100ms实时拦截的关键技术：（1）依托全国各地的pop云端节点缩短查询链路和实时性，将五元组信息上报云端，通过云端pop节点的海量威胁情报实时查询，实现实时拦截，整个过程只需要100ms，保障在不影响业务的前提下，每个流量都经过检测（比如友商如果一样的远离可能他要发到总部节点去查询，光是距离就很难突破100ms的瓶颈）；（2）性能损耗小，客户性价比高：每天会和云查进行通信的流量可能会很大，为了解决本地防火墙流量发送的性能损耗，和POP点流量计费很贵的问题，因此投入了很大精力在流量的压缩上面解决以上困难，基于云端大数据+情报上下文+AI技术，基于访问时域、频域、地域、网络类型等上下文信息构建专属访问模型，生产过滤规则，可过滤97%+本地流量，保障防火墙性能不受损耗，降低客户成本，性价比高。②未知威胁5min全网同步关键技术：（1）威胁情报联动能力，通过云端主动探测+挖矿、黑客工具等协议特征库，实现第一次未知通信即可检测出未知威胁的失陷主机，并拦截