第二代防火墙标准对等级保护的适用性

公安部第三研究所是我国信息安全等级保护测评单位，同时也是国内第二代防火墙标准的牵头起草单位。该所资深安全专家邹春明曾在今年2月的第二代防火墙标准发布会上谈到，GA/T1177-2014《信息安全技术 第二代防火墙安全技术要求》（即第二代防火墙标准）在制定时参考了等级保护要求，将第二代防火墙的功能分级与等级保护的级别进行了关系对应，明确了第二代防火墙功能基本级对应等级保护一、二级，第二代防火墙功能增强级对应等级保护三、四级。

第二代防火墙功能与等级保护对应关系

信息安全等级保护要求适用于全国各行各业，同时也是行业用户进行信息安全建设所需遵循的依据。用于规范国内网络安全产品市场的第二代防火墙标准，定义了第二代防火墙功能与等级保护级别的对应关系，适用于等级保护建设。下面，笔者就来谈谈第二代防火墙标准所定义的第二代防火墙是如何在等保建设中进行应用，以及在等保建设中能够帮助用户解决什么问题。

图片说明

信息安全等级保护适用情况

用户在等保建设过程中面临的问题

1

多设备部署产生高昂建设费用，

方案难以落地

组织单位往往根据等级保护测评机构制定的等保方案，进行信息系统安全建设。但根据等保测评机构的调查数据显示，测评机构提供等级保护方案后，用户往往并不能很好地落实，其原因是由于等保建设涉及众多硬件设备，而用户的建设预算往往有限。

如信息安全等级保护对用户的网络安全和主机安全均提出了入侵防范、恶意代码防范等要求，传统解决方案通过串联部署传统防火墙、IPS（入侵防御系统）、防病毒网关等设备来满足等保要求。

另一方面，多设备部署令IT管理员运维起来相当困难，同时往往会忽略开启部分防护策略，导致本应开启的防护策略未被开启，影响防护效果。当网络中发生安全事件时，将严重影响响应速度。

2

传统安全产品未考虑

网络新威胁的变化

用户在进行等级保护建设时，常常会在网络的不同区域部署传统防火墙、IDS（入侵检测系统）、IPS等设备，但权威机构调查发现，由于传统安全产品的相关产品标准、规范发布时间较早，这些产品标准、规范并未对新型网络威胁进行定义，因此传统安全产品并无法有效抵御新的网络攻击。

如著名IT咨询机构Gartner指出，用户面临的网络攻击75%来自应用层，但传统防火墙只能抵御网络层攻击，并无法防御应用层威胁。而依赖攻击特征库进行工作的IPS，并无法检测和防御利用0Day漏洞发起的攻击。若用户仍旧选用传统防火墙、IPS等设备进行等保建设，这将导致用户的网络无法防御各类新威胁，达不到应有的防护效果。

第二代防火墙标准对等级保护的适用性

第二代防火墙标准指出，第二代防火墙除具备传统防火墙包过滤、状态检测等基本功能外，还应具备应用流量识别、应用层访问控制、Web攻击防护、恶意代码防护、信息泄露防护和入侵防御等功能。等级保护对用户的网络和主机提出入侵防范、恶意代码防范等安全要求，可见第二代防火墙标准定义的第二代防火墙适用于等级保护建设，可部署于安全域边界，满足访问控制、入侵防范和恶意代码防范等要求。

1

多功能融合降低建设成本，

解决运维复杂问题

第二代防火墙标准定义第二代防火墙需融合传统防火墙、IPS、Web攻击防护等模块，且各功能模块间可形成智能的策略联动。该定义使第二代防火墙在等级保护建设中可有效替换传统防火墙、IDS、IPS、Web应用防火墙等多台设备，帮助用户降低等级保护建设费用，并解决多设备串联部署导致运维困难等问题。

2

多功能模块

实现良好的安全防护效果

信息安全等级保护考察的是用户根据等保要求进行信息安全建设时，能否真正实现安全防护效果，确保信息系统安全稳定地运行。所以用户在选购安全产品时，应当考虑产品的实际防护效果。如传统防火墙只能防御网络层攻击，无法抵御蠕虫病毒、木马等应用层威胁，若用户在进行等级保护建设时，采用传统防火墙部署在安全域边界，防护效果难以保证。

第二代防火墙标准的制定，充分考虑了等级保护要求和日益复杂的网络环境，因此定义第二代防火墙应具备Web攻击防护、信息泄露防护等功能，令第二代防火墙能够同时防范网络层和应用层攻击，满足用户业务系统Web化产生的Web攻击防护需求，有效抵御如SQL注入、XSS跨站脚本攻击等种类繁多的Web攻击，保障用户各类业务系统的安全。

同时，第二代防火墙的信息泄露防护功能可检测网络中的敏感信息，当设备发现流出的信息流包含敏感数据时，可拦截敏感信息的发送。该功能还能够定位网络中受僵尸病毒感染的计算机终端，帮助用户发现僵尸网络，从而采取清理措施。

我国于2004年正式开始实施信息安全等级保护工作，等保工作已经开展了11年，信息安全等级保护建设也已经成为考核组织单位信息化水平的一项重要指标，如卫生部下发的“85号文件”明确要求全国所有三甲医院的核心业务信息系统的安全保护等级不能低于三级，保险、电力、水利、证券、广电和税务等行业的主管部门也分别制订了本行业的等级保护要求。公安部网络安全保卫局总工郭启全在第二代防火墙标准发布会上指出，国家网络安全“十三五”期间，中央社会治安综合治理委员会办公室（简称中央综治办）出台了相关文件，对地方政府的信息安全保障工作进行考核，其中便包括考核地方政府的等级保护工作。

铭冠科技专注网络安全近十年，更多信息，敬请联系铭冠科技！

[产品型号] ： 深信服第二代防火墙 
[销售价格] ： 面议
[公司名称] ： 广州铭冠信息科技有限公司
[公司地址] ： 广州市天河软件园建业路华翠街68号202E 
[联系电话] ： 020-85546375/85548284/13560355825   
[联 系 人]：  叶先生 sales@gzmcrown.com