在過去一年里，我和上百家大型企業(yè)就SASE進行了交流。我對云端交付的網(wǎng)絡(luò)和安全服務(wù)如何深入改變企業(yè)很感興趣，同時也深有體會。盡管如此，我依然堅信防火墻對于數(shù)字業(yè)務(wù)領(lǐng)域仍十分重要。分析師們也同意這一點：Gartner預測，到2026年，60%以上的企業(yè)將部署一種以上的防火墻，這將推動混合式網(wǎng)狀防火墻（HMF）的應(yīng)用。隨著云計算在企業(yè)中日漸成為主流，防火墻變得比以往更加重要。關(guān)于防火墻在未來幾年的重要戰(zhàn)略意義，我在與首席信息安全官（CISO）和首席信息官（CIO）交流時談到了以下幾個重要方面：

防火墻已今非昔比

防火墻不但不會消亡，而且還會不斷發(fā)展進化。多年來，領(lǐng)先的防火墻架構(gòu)已從單純的網(wǎng)絡(luò)層檢查發(fā)展到應(yīng)用感知，從提供基本的安全功能發(fā)展到幫助檢測和阻止零日攻擊，從保護IT發(fā)展到保護OT/IoT等等。防火墻還是保障5G網(wǎng)絡(luò)安全的關(guān)鍵部分，而且發(fā)展出了嵌入式代理功能，使用戶不再需要管理多個不同的網(wǎng)絡(luò)安全架構(gòu)和部署。

如今，混合式網(wǎng)狀防火墻（HMF）的概念正在興起，其中的防火墻并不僅是硬件設(shè)備。客戶希望能夠自行選擇防火墻功能的提供形式，比如硬件、軟件、容器化、防火墻即服務(wù)等。所有這些形式都需要通過同一個管理控制臺進行管理，才能使混合式網(wǎng)狀防火墻戰(zhàn)略生效。

別讓防火墻成為擺設(shè)

防火墻的部署不應(yīng)只是為了完成任務(wù)。只有當防火墻被用于防御具有躲避能力的攻擊者并啟用真正的零信任架構(gòu)時，它才能發(fā)揮作用。如果企業(yè)的防火墻廠商未能將深度學習和機器學習模型應(yīng)用于流量，那么防火墻就只是擺設(shè)。要想實時抵御攻擊，防火墻不僅需要具備高級安全功能，還要在開啟這些功能的同時保持出色的性能。這就需要仔細查看防火墻廠商的數(shù)據(jù)表并按照實際用例進行測試。在某些情況下，防火墻在打開關(guān)鍵的安全檢查功能時，性能會下降近75%。以上都是在選擇防火墻供應(yīng)商時非常重要的評估標準。

防火墻在SASE架構(gòu)中的作用

通用的網(wǎng)絡(luò)安全架構(gòu)非常罕見。當企業(yè)想使用“安全即服務(wù)”架構(gòu)檢查云中流量，而非回傳到DC中的集中設(shè)備時，SASE/SSE能夠發(fā)揮作用。這種方法在很多用例中都非常有效，比如分支機構(gòu)流量、遠程用戶、云應(yīng)用安全訪問等。而當企業(yè)想要實現(xiàn)高帶寬數(shù)據(jù)中心環(huán)境、關(guān)鍵基礎(chǔ)設(shè)施保護、5G網(wǎng)絡(luò)安全、東西向流量檢測、云安全、物聯(lián)網(wǎng)安全等專門用例時，防火墻和網(wǎng)絡(luò)安全設(shè)備就會派上用場。關(guān)鍵在于網(wǎng)絡(luò)安全架構(gòu)中的 SASE 部分是否可以與防火墻和代理服務(wù)器使用相同的管理控制臺進行管理，例如兩個具有獨立策略結(jié)構(gòu)和管理控制臺的不同技術(shù)堆棧會降低運行效率和安全性。建議企業(yè)選擇在混合式網(wǎng)狀防火墻（HMF）和SASE領(lǐng)域都具有領(lǐng)先優(yōu)勢的網(wǎng)絡(luò)安全合作伙伴。

網(wǎng)絡(luò)轉(zhuǎn)型路徑

防火墻作為企業(yè)安全戰(zhàn)略的重要組成部分無法孤立存在。它需要接入安全堆棧的其他部分才能充分發(fā)揮潛力。我們觀察到客戶正在大規(guī)模轉(zhuǎn)向XDR，將網(wǎng)絡(luò)安全與端點和云安全相連接，從而統(tǒng)一對威脅的認知并加快檢測和響應(yīng)速度。因此，企業(yè)應(yīng)向防火墻供應(yīng)商了解的關(guān)鍵信息是：他們的XDR解決方案是什么？如何助力實現(xiàn)跨網(wǎng)絡(luò)、終端和云的統(tǒng)一分析？

另一個需要考慮的重要方面是將云防火墻集成到更大的云安全平臺（通常稱為 CNAPP，即云原生應(yīng)用保護平臺）中。因此企業(yè)需要關(guān)心的另一個重點就是防火墻供應(yīng)商的CNAPP戰(zhàn)略，以及防火墻和企業(yè)整個云安全架構(gòu)的結(jié)合點。

在云服務(wù)提供商（CSP）環(huán)境中部署防火墻

一個常見誤區(qū)是Azure、AWS和GCP等公有云服務(wù)提供商（CSP）環(huán)境不需要防火墻，然而事實上情況恰恰相反。我們發(fā)現(xiàn)擁有嚴謹云戰(zhàn)略的CISO都會在云端VPC中部署虛擬化（有時是容器化）版本的企業(yè)防火墻。不過值得注意的是，我們要關(guān)注的不僅是形式，還有深度安全檢查和可管理性。在同頭部CSP合作的過程中，采取極富策略性的方法十分重要——讓防火墻技術(shù)作為CSP管理控制臺中的本地服務(wù)提供。

總而言之，防火墻的生命力非常旺盛，且正向混合式網(wǎng)狀防火墻（HMF）發(fā)展，這使得企業(yè)能夠選擇在哪里以及如何利用這項重要的網(wǎng)絡(luò)安全功能。建議CIO、CISO和網(wǎng)絡(luò)領(lǐng)導者根據(jù)企業(yè)支持數(shù)字業(yè)務(wù)需求的能力，謹慎選擇防火墻架構(gòu)和供應(yīng)商。

【本文作者Siddharth Deshpande，系派拓網(wǎng)絡(luò)亞太及日本地區(qū)首席技術(shù)官】