聽?wèi)T了Gartner、IDC的各種魔力象限、分析報(bào)告，今天我們來說點(diǎn)更專業(yè)的，那就是一項(xiàng)針對(duì)安全領(lǐng)域的評(píng)測(cè)分析報(bào)告，此次的主角是下一代防火墻（NGFW）。
近日，全球知名的信息安全評(píng)測(cè)機(jī)構(gòu)NSSLabs發(fā)布了最新的下一代防火墻評(píng)測(cè)報(bào)告，一個(gè)欣喜的消息是，作為首次參與NGFW這一門類測(cè)試的兩家中國(guó)廠商，山石網(wǎng)科和華為都獲得了NSSLabs的“推薦（Recommended）”評(píng)級(jí)。
要知道，和他們同臺(tái)競(jìng)技的都是網(wǎng)絡(luò)安全領(lǐng)域全球知名的廠商，例如思科、Juniper、PaloAlto、Checkpoint、DellSonicWALL、Fortinet等，要在這些信息安全大佬中突圍實(shí)屬不易，沒想到人家的成績(jī)還不錯(cuò)，并在很多指標(biāo)上趕超了國(guó)外廠商。
（圖一）NSSLabs2016下一代防火墻安全價(jià)值圖(SVM)
在正在召開的如火如荼的RSA2016大會(huì)中，山石網(wǎng)科和華為均接受了NSSLabs的下一代防火墻“推薦級(jí)授牌
硬指標(biāo)硬碰硬
參與此次NSSLabs下一代防火墻評(píng)測(cè)的共有12家廠商的13款產(chǎn)品（思科提供2款產(chǎn)品），詳細(xì)如下。
在解讀此次主要評(píng)測(cè)結(jié)果前，我們先簡(jiǎn)單介紹下NSSLabs本身和其評(píng)測(cè)方法。
NSSLabs是全球最知名的獨(dú)立安全研究和評(píng)測(cè)機(jī)構(gòu)NSSLabs，總部設(shè)在美國(guó)，諸多大型企業(yè)的首席執(zhí)行官、信息主管、首席安全官們都信賴NSSLabs的測(cè)評(píng)報(bào)告，并且它為許多行業(yè)領(lǐng)先的廠商提供了深度見解，同時(shí)受到超過280家企業(yè)組織的信賴，包括強(qiáng)生、畢馬威、VISA等。
NSSLabs提供多種安全品類的分析評(píng)測(cè)，除了NGFW，還包括例如Web應(yīng)用防火墻、終端防護(hù)、NGIPS/下一代入侵檢測(cè)等。NSSLabs測(cè)試NGFW的技術(shù)路線，受到了國(guó)內(nèi)外防火墻廠商的廣泛認(rèn)同。
此次，下一代防火墻報(bào)告的范圍包含了安全有效性、性能、穩(wěn)定性及可靠性，和重要的總體擁有成本（TCO）。
先重點(diǎn)來說說前半部分，也即上圖一中的Y軸，即安全效能，這是體現(xiàn)產(chǎn)品的技術(shù)硬指標(biāo)。
據(jù)介紹，NSSLabs的攻擊防護(hù)測(cè)試包含1999種真實(shí)攻擊手段，透過各種各樣的傳輸方式，不同大小的有效載荷及協(xié)議進(jìn)行相關(guān)測(cè)試，涵蓋了大大小小的問題及威脅。其測(cè)試的嚴(yán)要求和高精度為其深度發(fā)現(xiàn)威脅提供了保障，也使得其能識(shí)別極其不易察覺的細(xì)微威脅。例如，NSSLabs會(huì)不間斷地用不規(guī)則流量來測(cè)試產(chǎn)品的穩(wěn)定性與可靠性，以測(cè)試產(chǎn)品在任何極端情況下的性能。
在下圖中看得出，在綜合威脅檢查率方面，Checkpoint和Fortinet以99.6%的成績(jī)并列第一，山石網(wǎng)科99.0%緊跟其后，然后是華為和Dell Sonic WALL以98.1%的綜合威脅檢查率并列第三。山石網(wǎng)科的成績(jī)可以用“驚艷”來形容，要知道排名其后的是Juniper、PaloAlto眾多國(guó)際知名廠商。忍不住再夸一句，山石網(wǎng)科和華為，你們真是好樣的。
（圖二）NSSLabs下一代防火墻對(duì)比測(cè)試表
當(dāng)然，看到山石和華為如此高的檢測(cè)表現(xiàn)，有業(yè)內(nèi)人士懷疑，“IPS和AV特征庫(kù)不是自己的嘛！”其實(shí)這個(gè)問題可以反過來看，以與時(shí)俱進(jìn)的思路思考。當(dāng)下的網(wǎng)絡(luò)安全形勢(shì)和產(chǎn)業(yè)環(huán)境，各安全生態(tài)鏈上的廠商、甚至一些安全設(shè)備廠商之間都有威脅情報(bào)共享，即保持競(jìng)爭(zhēng)，又尋求合作共贏。在安全特征庫(kù)上，一方面拿來，引入專業(yè)特征庫(kù)，同時(shí)也要整合，結(jié)合安全設(shè)備廠商自己的特征庫(kù)研發(fā)能力、同時(shí)和安全解析引擎、掃描引擎進(jìn)行整合。其實(shí)NSSLabs檢測(cè)率除考驗(yàn)特征庫(kù)能力，還要考驗(yàn)檢測(cè)引擎能力，NSSLabs測(cè)試中有大量的防攻擊逃逸測(cè)試，這些都必須要靠引擎的才能解決的。
況且對(duì)于山石來講，據(jù)了解，山石的整個(gè)應(yīng)用安全分析及檢測(cè)引擎是自己研發(fā)的，攻擊特征庫(kù)則采取了第三方合作加自研兩種方式。
說了兩家國(guó)內(nèi)廠商，再回到報(bào)告，說點(diǎn)令人大鐵眼睛的，其中令人不解的是下一代防火墻廠商的鼻祖Palo Alto以95.9%的成績(jī)排名倒數(shù)第三，筆者特意看了一下上一次PAN參加NSSLabs下一代防火墻的評(píng)測(cè)也是倒數(shù)排名，真不理解它是如何保持領(lǐng)先友商增長(zhǎng)速度的，還能再任性下去嗎？！
當(dāng)然還有最最最為不解的Cyberoam，58.1%的成績(jī)太另類，真想問，你的設(shè)備是被偷偷送來的嗎？
思科和Juniper在此項(xiàng)中的評(píng)測(cè)結(jié)果中規(guī)中矩，梭子魚和WatchGuard不盡如人意。
國(guó)產(chǎn)廠商僅是便宜？
當(dāng)然，除了硬指標(biāo)外，對(duì)于采購(gòu)者還有一個(gè)重要的因素，那就是TCO（總體擁有成本）。說到這個(gè)，我們又看到SVM中X軸最右側(cè)兩個(gè)華麗麗的影子，山石和華為。報(bào)告中，可以看到TCOper Protected Mbps，也即防護(hù)每Mbps流量的總體擁有成本，山石網(wǎng)科最優(yōu)，華為其次。
產(chǎn)品技術(shù)不差，賣的這么便宜，國(guó)產(chǎn)廠商簡(jiǎn)直沒天理了。其實(shí)不能簡(jiǎn)單的理解價(jià)格便宜，SVMX軸的計(jì)算公式：TCO/Mbps=TCO/(性能*檢測(cè)率），所以準(zhǔn)確的說是性價(jià)比最優(yōu)，不是最優(yōu)TCO。
該TCO包含的CAPEX成本包括初始購(gòu)置成本、每年的維護(hù)和更新成本（軟件和硬件更新），這里涉及一個(gè)重要的因素：維護(hù)時(shí)間。NSS的專家團(tuán)隊(duì)評(píng)估產(chǎn)品的易用度并推算出產(chǎn)品需要的維護(hù)工作量，NSS認(rèn)為易用度無法通過確定的標(biāo)準(zhǔn)來衡量，而要和其他競(jìng)爭(zhēng)對(duì)手相比較而得出結(jié)論，就是和其他同類產(chǎn)品相比較看你的易用度處于一個(gè)什么樣的程度。
根據(jù)易用度可以推論出產(chǎn)品在其生命周期(一般為3年的時(shí)間)內(nèi)的維護(hù)成本，一個(gè)經(jīng)驗(yàn)豐富的工程師在1年和3年的時(shí)間內(nèi)需要為產(chǎn)品維護(hù)花多長(zhǎng)時(shí)間，根據(jù)平均維護(hù)成本折算成產(chǎn)品的年均維護(hù)費(fèi)用。也就是說，易用性越差的產(chǎn)品，用戶需要花在維護(hù)上的時(shí)間越長(zhǎng)，其維護(hù)成本也越高。
看出了吧，用性價(jià)比最優(yōu)解讀最為合適，事實(shí)上兩家中國(guó)廠商并不是價(jià)格最低的。當(dāng)然，肯定不是最高，最高的無疑在這里，Juniper以的防護(hù)每Mbps流量的總體擁有成本居于SVMX軸最左側(cè)，幾乎是第二名Cisco ASA5585-XSSP-60的兩倍，幾乎可以斷定它的價(jià)格是最傲嬌的了。
總結(jié)來看，此項(xiàng)測(cè)評(píng)中，山石網(wǎng)科表現(xiàn)最優(yōu)。加上技術(shù)硬指標(biāo)表現(xiàn)，山石可圈可點(diǎn)令人刮目相看。
小結(jié)
其實(shí)獲得NSSLabs“推薦級(jí)”評(píng)價(jià)的還有一家國(guó)內(nèi)安全廠商的下一代防火墻廠商產(chǎn)品，它就是深信服NGAF。不過，深信服是2014年參加的NSSLabs Web應(yīng)用防火墻（WAF）評(píng)測(cè)，此時(shí)筆者也沒搞明白它到底是NGFW還是WAF！
言歸正傳，此次NGFW評(píng)測(cè)，既然山石網(wǎng)科的表現(xiàn)這么優(yōu)異，是否代表山石NGFW就領(lǐng)先了國(guó)際水平？我們當(dāng)然有必要問問他們的想法。山石給的答案是肯定的。
山石網(wǎng)科再次強(qiáng)調(diào)了兩個(gè)關(guān)鍵測(cè)試結(jié)果：
- “第一是威脅檢測(cè)率，獲得靜態(tài)測(cè)試檢測(cè)率99.6%、實(shí)時(shí)動(dòng)態(tài)測(cè)試檢測(cè)率98.32%的成績(jī)，綜合威脅檢測(cè)率達(dá)到99%，在參與測(cè)評(píng)的NGFW中位居第三，超越了包括Juniper、PALOALTO眾多國(guó)際知名廠商。
- 第二是防護(hù)每Mbps流量的總體擁有成本，這個(gè)指標(biāo)山石在所有評(píng)測(cè)設(shè)備中排名第一，證明了山石NGFW最佳客戶價(jià)值。這兩個(gè)指標(biāo)決定了在SVM安全價(jià)值象限上，山石網(wǎng)科位于最右上角的優(yōu)勢(shì)位置。”
說了就這么多，山石真是實(shí)在，這么好的機(jī)會(huì)，你就不能再BaiHuo兩句。說笑了，做實(shí)實(shí)在在的事最重要。再次祝賀山石網(wǎng)科，當(dāng)然還有華為。
