对新防火墙和运维堡垒机设备的选型调研.doc

对新防火墙（UTM）和运维堡垒机设备
的选型调研
根据科技处内控管理的需要和汰换、简化网络安全结构的需求，在去年处内讨论时（谁）提出了采购新一代防火墙UTM和运维堡垒机的打算,随即开始了为期X个月/周的选型调研。
一、UTM选型调研
目前新一代的防火墙设备名为UTM，UTM是Unified Threat Management的简拼，中文意译为“安全网关”。
（一）、UTM设备基础优势：
1、综合保障性。通过部署“UTM安全网关”，可综合保障网络安全，让信息网络不再漏洞百出。
2、附加值高。通过附加网络功能提升网络资源利用率，真正做到一次投资，综合见效。
3、功能全面。“UTM安全网关”产品基于统一威胁管理目标设计，用于全方位解决企业综合网络安全问题。产品提供全面的防火墙、病毒防护、入侵检测、入侵防护、恶意攻击防护，同时提供VPN和流量整形功能，在综合安全防护基础上，提供附加网络增值功能。产品内置负载均衡策略和双机热备模式支持，可长期稳定运行。（二）、目前存在问题
为保证网络的安全，尤其是在开通了网上电子平台业务之后，为防止遭到网络攻击而导致业务停顿以及接踵而来的群众投诉，在网络中配置了天融信防火墙、绿盟入侵防护、网络督察上网审计、CP防毒墙等设备，这些设备虽然保证了网络的安全性，但也造成网络结构臃肿，效率低下，故障节点增多（即任一台设备出问题就导致网络连接断开）等问题。具体情形如图所示：

而且以上设备采购的时间不一，使用时间最长的已达9年，最短的也有3年，这造成个别设备还可以应对当前最新的网络威胁，更多的由于设备已经老化，甚至连保证较快速的网络运行速度都力不从心。
（三）、选择UTM的原因
UTM（安全网关）本身具备以往已有网络设备的所有功能，并且功能更加强大，性能更加综合，如选用UTM设备将带来如下改变：
1、降低设备购置成本
　　将多种安全功能整合在同一产品当中能够让这些功能组成统一的整体发挥作用，相比于单个功能的累加功效更强，颇有一加一大于二的意味。包含多个功能的UTM安全设备价格较之单独购买这些功能为低，这使得用户可以用较低的成本获得相比以往更加全面的安全防御设施。具体到我们单位来讲就可以将多余的资金用于更需要的地方。
　　2、提高信息安全工作效率
　　由于UTM安全产品可以一次性的获得以往多种产品的功能，并且只要插接在网络上就可以完成基本的安全防御功能，所以在部署过程中可以大大降低工作强度。另外，UTM安全产品的各个功能模块遵循同样的管理接口，并具有内建的联动能力，所以在使用上也远较传统的安全产品简单。同等安全需求条件下，UTM安全设备的数量要低于传统安全设备，网络管理人员就可以减少服务和维护的工作量。如图所示：
　　3、减少人为操作失误率
由于UTM安全设备中装入了很多的功能模块，所以为提高易用性进行了很多考虑。另外，这些功能的协同运作无形中降低了掌握和管理各种安全功能的难度以及用户误操作的可能。对于没有专业信息安全人员及技术力量相对薄弱的组织来说，使用UTM产品可以提高这些组织应用信息安全设施的质量。
综上所述，选择一台合适的UTM既可简化网络结构，提高了网络运行的稳定性和速度，解决以往存在的诸多问题。

（四）、选型调研结果
到目前为止，共针对了上峰、天融信、绿盟、深信服等厂家的UTM进行了现场测试，在长达35天的测试过程中，我对上述产品进行了详细的测试，包括使用界面友好度、各模块功能使用方便程度、历史数据分析、生成报告图表等。最后综合需求与性能、售后、未来升级换代、厂商本身技术实力等因素，基本认定天融信的产品是最符合我们的现实要求的产品。
二、运维堡垒机选型调研
（一）何为运维堡垒机
运维堡垒机的理念起源于跳板机。部分高端行业用户为了对工作人员的“远程登录”这一常用行为进行集中管理，会在机房里部署“跳板机”。所谓的“跳板机”就是一台服务器，工作人员在维护过程中，首先要统一登录到这台服务器上，然后从这台服务器再登录到目标设备进行各种操作。但“跳板机”并没有实现对工作人员操作行为的控制和审计，在跳板过程中还是会有误操作、违规操作导致的操作事故，一旦出现操作事故很难快速定位原因和责任人。具体情形请参见下图：

（二）、维护操作管理理念：
　　1、唯有控制才能真正解决问题
　审计是事后行为，从来没有事前审计一说
　审计可以发现问题，但是无法防止问题发生
　只有在事前严格控制，才能从源头真正解决问题
　　2、系统账号无法确认用户身份
　系统账号的作用只是区分工作角色
　多人共用一个系统账号是合理的
　运维人员的流动不应影响系统账号
　　3、人为操作难免会出问题
　人有失手，马有失蹄
　不怕出问题，就怕出问题找不到原因
　只要机器能做的，就不要人做
运维堡垒机以一个独立的产品形态被广泛部署，有效地降低了运维操作风险，使运维操作管理变得更简单、更安全。同时，运维堡垒机的访问代理模式，对运维人员的身份认证、对运维操作的访问控制和审计等功能，都被一直沿用至今。其部署和运用形式参见下图：
（三）、为什么要选择运维堡垒机
1、内控管理方面。运维堡垒机能从根本上解决对服务器操作的无序、无日志、事前无法防止问题、事后也无法追溯问题的管理缺陷。
2、技术角度方面。可以从工作程序上提高科技处人员的工作效率、降低失误率，实现最大限度的用软件管理硬件。
（四）选型调研结果
在对运维堡垒机进行的测试中，为了使处内人员对将来必须使用的设备有个适应的过程，所以邀请所有科技处人员加入到试用环节中来，主要在每天晚间备份操作时试用。试用经历了1个月的时间，经过对目前主流的齐治、江南科友等厂家的运用，并在使用过程中针对出现的协议不兼容、操作界面不够友好、出现部分命令操作回放不流畅甚至不能回放等问题向厂家提出改进意件，并同时观察厂家的响应速度和技术力量。在处内同事之间进行了充分沟通、交流之后，大家一致认为江南科友的设备界面更人性化，操作更顺手，厂家解决问题的态度和效率都很好，可以确定江南科友的堡垒机设备最符合我们单位的需求以及人员使用习惯。
以上即为对新一代防火墙UTM和运维堡垒机的测试报告和最终选型结果，7月上旬已向部门领导进行了选型调研结果工作汇报，并得到了领导的认可。
调研人 ： 崔永
2012/7/18