【科普篇】云防火墻及防火墻即服務(wù)（FWaaS）

云防火墻是一種安全產(chǎn)品，與傳統(tǒng)防火墻一樣，可以過濾掉潛在的惡意網(wǎng)絡(luò)流量。而與傳統(tǒng)防火墻不同的是，云防火墻托管在云中。這種防火墻的云交付模式也稱為防火墻即服務(wù) （FWaaS）。

就像傳統(tǒng)防火墻會形成圍繞企業(yè)內(nèi)部網(wǎng)絡(luò)的屏障一樣，基于云的防火墻將形成圍繞云平臺、基礎(chǔ)設(shè)施和應(yīng)用程序的虛擬屏障。云防火墻也可以保護內(nèi)部基礎(chǔ)設(shè)施。

防火墻的定義

防火墻是一種可過濾掉惡意流量的安全產(chǎn)品。從傳統(tǒng)上來講，防火墻在受信任的內(nèi)部網(wǎng)絡(luò)和不受信任的網(wǎng)絡(luò)之間運行，例如，在專用網(wǎng)絡(luò)和互聯(lián)網(wǎng)之間。早期的防火墻是連接到企業(yè)本地基礎(chǔ)設(shè)施的物理設(shè)備。防火墻根據(jù)一組內(nèi)部規(guī)則阻止和允許網(wǎng)絡(luò)流量。大部分防火墻允許管理員自定義這些規(guī)則。

可信網(wǎng)絡(luò)和互聯(lián)網(wǎng)之間的邊界稱為“網(wǎng)絡(luò)邊界”。然而，隨著云計算的日益普及，網(wǎng)絡(luò)邊界大多已不復(fù)存在。因此，在受信任的云資產(chǎn)和不受信任的互聯(lián)網(wǎng)流量之間形成虛擬屏障的云防火墻變得越來越重要。

防火墻即服務(wù) （FWaaS） 與云防火墻是否不同？

防火墻即服務(wù)，簡稱 FWaaS，是云防火墻的另一個術(shù)語。與其他“即服務(wù)”類別（例如軟件即服務(wù) （SaaS） 或基礎(chǔ)架構(gòu)即服務(wù) （IaaS））一樣，F(xiàn)WaaS 在云中運行并通過互聯(lián)網(wǎng)訪問，由一個第三方供應(yīng)商對其進行更新和維護。

為什么使用 FWaaS？

銀行有很多物理安全措施。大多數(shù)實體銀行將包括安全功能，例如安全攝像頭和防彈玻璃。保安人員和銀行員工還幫助阻止?jié)撛诘男⊥担F(xiàn)金則存儲在高度安全的保險箱中。

但是，試想一下，如果每個銀行分支機構(gòu)的現(xiàn)金都存放在全國各地由專門從事安全維護業(yè)務(wù)的公司運營的保險箱中，而不是存放在一個地方。倘若在分散的保險箱周圍沒有額外部署其他安全資源，銀行如何才能確保其資金安全？這便類似于云防火墻的功能。

云就像一個擁有分散資源的銀行，但云不是用來存儲金錢，而是用來存儲數(shù)據(jù)和計算能力。授權(quán)用戶幾乎可以在任何位置、通過任何網(wǎng)絡(luò)連接到云。在云中運行的應(yīng)用程序可以在任何位置運行，也適用于云平臺和基礎(chǔ)設(shè)施。

云防火墻可以阻止針對這些云資產(chǎn)的網(wǎng)絡(luò)攻擊。部署云防火墻就像將銀行的本地安全攝像頭和實際的安全保衛(wèi)人員替換為全球全天候安全中心一樣，該中心擁有一個集中式數(shù)據(jù)源，收集來自銀行資產(chǎn)所有存放位置的人員和安全攝像頭信息。

使用云防火墻/FWaaS 有哪些優(yōu)勢？

-阻止惡意 Web 流量，包括惡意軟件和惡意機器人活動。一些 FWaaS 產(chǎn)品還可以阻止敏感數(shù)據(jù)的流出。

-流量不必通過一個硬件設(shè)備，因此不會產(chǎn)生網(wǎng)絡(luò)阻塞點。

-云防火墻可以輕松與云基礎(chǔ)設(shè)施集成。

-可以同時保護多個云部署（只要云防火墻供應(yīng)商支持每個云）。

-云防火墻可迅速擴大規(guī)模，以處理更多的流量。

-企業(yè)及組織不需要自己維護云防火墻，供應(yīng)商會處理所有的更新。

云防火墻和下一代防火墻（NGFW）有什么區(qū)別？

下一代防火墻 （NGFW） 包含了早期防火墻產(chǎn)品所未能提供的新技術(shù)，例如：

-入侵防護系統(tǒng) （IPS）：入侵防護系統(tǒng)檢測并阻止網(wǎng)絡(luò)攻擊。

-深度數(shù)據(jù)包檢查 （DPI）：NGFW 檢查數(shù)據(jù)包標(biāo)頭和有效負載，而不僅僅是標(biāo)頭。這有助于檢測惡意軟件和其他類型的惡意數(shù)據(jù)。

-應(yīng)用程序控制：NGFW 可以控制單個應(yīng)用程序的訪問權(quán)限或完全阻止應(yīng)用程序。

NGFW 可以在云中運行，也可以作為內(nèi)部部署的硬件?；谠频姆阑饓赡芫哂?NGFW 功能，但內(nèi)部部署的防火墻也可能是 NGFW - 了解有關(guān) NGFW 與 FWaaS 的更多信息。

FWaaS 如何融入 SASE 架構(gòu)？

安全訪問服務(wù)邊緣（ SASE ）是基于云的網(wǎng)絡(luò)體系結(jié)構(gòu)，將網(wǎng)絡(luò)功能（如軟件定義的 WAN ）與一組安全服務(wù)（包括 FWaaS）結(jié)合在一起。與傳統(tǒng)的網(wǎng)絡(luò)模型不同，傳統(tǒng)的網(wǎng)絡(luò)模型必須使用本地防火墻來保護本地數(shù)據(jù)中心的外圍區(qū)域，而 SASE 在網(wǎng)絡(luò)邊緣提供了全面的安全性和訪問控制。

在 SASE 網(wǎng)絡(luò)模型中，基于云的防火墻與其他安全產(chǎn)品協(xié)同工作，以保護網(wǎng)絡(luò)外圍免受攻擊，數(shù)據(jù)泄露和其他網(wǎng)絡(luò)威脅。公司可以使用單個供應(yīng)商，通過 SD-WAN 功能將 FWaaS、云訪問安全代理 （CASB） 服務(wù)、安全 Web 網(wǎng)關(guān) （SWG）和零信任網(wǎng)絡(luò)訪問 （ZTNA） 捆綁在一起，而無需使用多個第三方供應(yīng)商來部署和維護每項服務(wù)。

Cloudflare Magic Firewall 旨在通過 Cloudflare 全球網(wǎng)絡(luò)保護企業(yè)本地部署和云端部署的基礎(chǔ)設(shè)施。Magic Firewall 隨附在 Cloudflare One SASE 平臺中。

希望保護其Web應(yīng)用的企業(yè)也可以使用Cloudflare WAF 。