下一代防火墙属于第三代防火墙技术，旨在通过智能的上下文感知安全功能解决应用程序级别的高级安全威胁。NGFW 将包过滤和状态检查等传统防火墙功能与其他功能相结合，以更好地决定允许哪些流量。
下一代防火墙能够根据应用程序过滤数据包并检查数据包中包含的数据（而不仅仅是它们的 IP 标头）。换句话说，它在 OSI 模型中最高运行在第 7 层（应用层），而以前的防火墙技术只运行在第 4 层（传输层）。发生在 OSI 模型第 4-7 层的攻击正在增加，这使其成为一项重要的能力。
什么是下一代防火墙功能？
下一代防火墙规范因提供商而异，但它们通常包括以下功能的某种组合：
- 应用程序感知，或基于应用程序（而不仅仅是基于端口）过滤流量和应用复杂规则的能力。这是下一代防火墙的一个关键特性：它们可以阻止来自某些应用程序的流量，并保持对单个应用程序的更大控制。
- 深度包检测，检查包中包含的数据。深度数据包检测是对传统防火墙技术的改进，传统防火墙技术仅检查数据包的 IP 标头以确定其来源和目的地。
- 入侵防御系统 (IPS)，它监视网络中的恶意活动并在发生的地方阻止它。这种监控可以基于签名（将活动与已知威胁的签名相匹配）、基于策略（阻止违反安全策略的活动）或基于异常（监控异常行为）。
- 高性能，允许防火墙监控大量网络流量而不会减慢。下一代防火墙包括许多需要处理时间的安全功能，因此高性能对于避免中断业务运营非常重要。
- 外部威胁情报，或与 威胁情报 网络的通信，以确保威胁信息是最新的并帮助识别不良行为者。
除了这些基本功能之外，下一代防火墙可能还包括其他功能，例如防病毒和恶意软件保护。它们还可以实现为防火墙即服务 (FWaaS)，这是一种基于云的服务，可提供可扩展性和更易于维护。使用 FWaaS，防火墙软件由服务提供商维护，资源自动扩展以满足处理需求。这将企业 IT 团队从处理补丁、升级和调整大小的负担中解放出来。
下一代防火墙有什么好处？
与传统防火墙相比，下一代防火墙提供了更好、更强大的安全性。传统防火墙的功能有限：它们可能能够阻止通过特定端口的流量，但不能应用特定于应用程序的规则、防止恶意软件或检测和阻止异常行为。因此，攻击者可以通过非标准端口进入来逃避检测，这是下一代防火墙会阻止的。由于其上下文感知特性和从外部威胁情报网络接收更新的能力，下一代防火墙能够防御范围广泛且不断变化的高级威胁，甚至可以使用智能自动化来保持安全策略迄今为止，无需繁忙的 IT 人员干预。
此外，下一代防火墙提供了简化的安全基础设施，更易于维护、更新和控制，成本更低。他们将多个安全功能组合到一个解决方案中，并通过单个报告系统报告事件。维护许多不同的安全产品的替代方案给 IT 员工带来了额外的负担，并增加了安全漏洞的可能性。
下一代防火墙与传统防火墙
传统防火墙依靠端口/协议检查和阻止来保护数据链路和传输层（OSI 模型的第 2 层和第 4 层）的企业网络。这种静态方法在过去很有效，当时 IT 环境不像现在那么动态，并且可以通过端口识别应用程序。但随着虚拟化网络的日益复杂和更高级的安全威胁，这已经不够了。下一代防火墙更智能：它们可以基于应用程序（OSI 模型的第 7 层）甚至基于行为过滤数据包，从而进行比传统防火墙使用的通用方法更有效的细粒度区分。他们还参考外部数据来识别威胁。这种动态，
为什么需要下一代防火墙？
有针对性和复杂的安全威胁对内部网络造成的破坏比以往任何时候都大。传统的防火墙技术严重依赖端口/协议检查，这在动态分配地址和端口的虚拟化环境中是无效的。相比之下，下一代防火墙使用深度包过滤来检查包的内容，提供第 7 层应用程序过滤，甚至可以监控和阻止可疑活动。这些功能是确保复杂、动态环境中的安全性所必需的。
防火墙有哪五种类型？
- 包过滤防火墙： 查看包的 IP 头并丢弃标记的包。
- 电路级网关： 基于 TCP 握手和其他网络协议会话启动消息标记恶意内容，而不是查看数据包本身。
- 状态检测防火墙： 将数据包过滤与会话监控相结合，以提高安全性。
- 应用级网关： 按目的端口和 HTTP 请求字符串过滤数据包。也称为代理防火墙。
- 下一代防火墙： 采用应用级、上下文感知、智能技术来防御高级威胁。
