从Gartner新领导者看NGFW的未来方向

在最近Gartner新发布的企业网络防火墙魔力象限中，在领导者象限中出现了一个新的厂商：思科。那么，Gartner是如何看待企业网络防火墙的趋势，又是哪些因素因素促使思科本次进入领导者象限呢？

Gartner的预测

Gartner今年的三个预测当中，有两个预测会对国内环境产生一定影响：一个是到2022年，10%的企业网络防火墙新购将会建立在ELA（Enterprise License Agreement）之下——即企业以特定的价格让所有员工在特定时间里使用协议中供应商提供的所有软件以及服务，这样一来，企业的成本将会大大降低；另一预测是到2023年，企业网络防火墙的虚拟版本将会超过防火墙收入的15%。

而对于防火墙的改变，Gartner提到了以下几点：

1. 企业网络防火墙功能的提升正在逐渐取代单一的IPS系统。尽管大部分企业依然在使用额外的IPS以及IDS系统，企业防火墙也确实在逐渐取代单独的IDS与IPS系统。

2. 防火墙正在针对加密信息进行防御。随着TLS1.2升级到TLS1.3，越来越多的网络流量正在被加密，而攻击者也会利用这一点，使用加密流量进行攻击。防火墙拥有对加密流量的防御变得相当重要。

3. 由于越来越多的企业正在采用SDN来满足自己业务的灵活性，随着带来的问题就是安全厂商能否同样将安全性随着网络的灵活性而快速应对。安全厂商也需要让安全能力随着网络环境的变化而应对。策略自动化以及编排能力也逐渐被企业所看重。而当前来看，企业并不满足于安全厂商在这方面的能力。 

4. 随着企业的上云趋势，防火墙也需要对IaaS环境进行保护。这也是Gartner的第三点预测：截止2022年，将有15%的防火墙需求将要求提供IaaS的防火墙策略。

新晋领导者思科——针对威胁为中心的防御体系

思科在前几年中始终处于挑战者象限，如果我们看一下魔力象限的规划，会发现挑战者象限和领导者象限最大的区别在于对于目标的完成度上。思科此次进入领导者象限，正是因为思科坚持了自己与众不同的防御特点的成果——针对威胁的防御体系。从Gartner的报告中，思科针对威胁的特点可以体现在两大点上：威胁情报团队Talos以及思科的NGIPS（下一代IPS）。

Talos团队是全球最优秀的威胁情报团队

Talos团队是业内顶尖的威胁情报团队，他们拥有超过250名资深的研究员以及600名优秀的工程师。Talos利用大数据，每天分析来自全球超过1.5亿设备的威胁情报，6000亿邮件的安全（占全球总邮件的1/3），150万新的独立恶意软件样本。谷歌每天搜索量大约35亿次，但Talos每天收集大约160亿网站的请求，是谷歌的4.5倍。另外，Talos每天阻止了200亿次威胁和0.8亿次恶意DNS查询，做到了全球范围内威胁和攻击的分析以及防御。在Talos的帮助下，思科能够帮助企业更好地把握威胁的类型以及来源，同时也能为思科产品的更新迭代提供有力的数据。

而能和思科防火墙进行联动集成的思科NGIPS以及AMP则是思科威胁防范能力的另一种体现。不同于很多其他安全厂商，思科的Firepower防火墙以及NGIPS都集成了自身的机器学习引擎SPERO来直接分析数据，而不需要安全系统将数据提交给专门的机器学习引擎进行分析后再收取反馈。思科的NGIPS已经连续数年获得Gartner的IDPS魔力象限的领导者位置，和思科的AMP系统相配合，提供端和网络的威胁检测以及防御。

另一方面，Gartner在报告中也提到，思科Firepower4100系列和9300的设备有抗DDoS的附加组件功能，从而使得思科防火墙成为唯一一个不需要购买额外安全产品就能提供企业级抗DDoS能力的防火墙。

思科的联动协作能力

就像上文所提到的，思科的企业网络防火墙并非是孤军作战，他们也需要Talos威胁情报团队、NGIPS以及AMP等功能协作。在现在的环境下，安全已经不再是一个单点的需求——各个不同的系统需要协同联动来针对各种新出现的问题。思科由于其网络厂商的优势，本身有对网络的深入理解，通过不同产品之间的联动（比如Stealthwatch、ESA等其他服务），给网络整体进行防护。

对于大部分大型企业来说，管理来自多个不同安全厂商的安全服务会带来相当多的麻烦。因此，企业会倾向于使用更少的安全供应商提供覆盖面尽量广的安全服务。这点上，思科安全产品的联动协同能力能帮助企业更完整、有效地进行安全部署。如果采用多个不同的安全厂商的产品，产品之间会缺乏有效的沟通联动；而一旦不同产品之间能联动分享情报，就会对威胁有更清晰的认知，抵御威胁的能力就会增强。因此，能联动协同的产品给企业的安全带来的是质的提升。

思科本身也提供了ELA（Enterprise License Agreement）解决方案，现在称为EA（Enterprise Agreement），使得企业能够低成本地使用安全产品组合。此外技术方面思科最新发布了网络威胁响应（CTR）平台,全面整合了思科安全产品解决方案，为用户提供统一的安全威胁态势感知，并且可以深入洞悉自己的环境如何受到攻击，如何检测到攻击，以及如何以最大效率进行响应。

思科的安全生态体系

思科自身作为一家网络安全公司，本身拥有极高的全球市场占有率。事实上，根据IDC的报告，思科安全的全球收入以及市场占有率在2018年第一季度以及第二季度都是全球第一。

然而，思科不仅仅在自身的安全产品上进行协同服务，思科作为企业自身也和其他企业合作，打造一个安全生态体系。

思科和IBM进行合作，使得思科的产品能够和IBM的SIEM系统QRadar以及IRP（Incident Response Platform）进行联动，保护网络、端点和云端三方面的安全。另外，全球顶尖的两大威胁研究团队——思科的Talos和IBM的X-Force联手，共同应对威胁信息以及处理安全事件。

除技术上的生态体系以外，思科还从非技术角度打造安全生态。思科、苹果、Allianz和Aon合作，为企业提供网络保险，帮助企业减少因为网络安全带来的损失。