NGAF是面向應用層設計，能夠精確識別用戶(hù)、應用和內容，具備完整安全防護能力，能夠全面替代傳統防火墻，并具有強勁應用層處理能力的全新網(wǎng)絡(luò )安全設備。NGAF解決了傳統安全設備在應用管控、應用可視化、應用內容防護等方面的巨大不足，同時(shí)開(kāi)啟所有功能后性能不會(huì )大幅下降。
　　NGAF 不但可以提供基礎網(wǎng)絡(luò )安全功能，如狀態(tài)檢測、VPN、抗DDoS、NAT等；還實(shí)現了統一的應用安全防護，可以針對一個(gè)入侵行為中的各種技術(shù)手段進(jìn)行統一的檢測和防護，如應用掃描、漏洞利用、Web入侵、非法訪(fǎng)問(wèn)、蠕蟲(chóng)病毒、帶寬濫用、惡意代碼等。NGAF可以為不同規模的行業(yè)用戶(hù)的數據中心、廣域網(wǎng)邊界、互聯(lián)網(wǎng)邊界等場(chǎng)景提供更加精細、更加全面、更高性能的應用內容防護方案。


更精細的應用層安全控制

當前網(wǎng)絡(luò )環(huán)境中，應用已成為網(wǎng)絡(luò )的主要載體，而網(wǎng)絡(luò )安全的威脅更多的來(lái)源于應用層，這也使得用戶(hù)對于網(wǎng)絡(luò )訪(fǎng)問(wèn)控制提出更高的要求。如何精確的識別出用戶(hù)和應用、阻斷有安全隱患的應用、保證合法應用正常使用、防止端口盜用等問(wèn)題，已成為現階段用戶(hù)對網(wǎng)絡(luò )安全關(guān)注的焦點(diǎn)。但IP不等于用戶(hù)、端口不等于應用，傳統防火墻基于IP/端口的五元組訪(fǎng)問(wèn)控制策略已不能有效的應對現階段網(wǎng)絡(luò )環(huán)境的巨大變化。

NGAF采用獨創(chuàng )的應用可視化技術(shù)，可以根據應用的行為和特征實(shí)現對應用的識別和控制，而不僅僅依賴(lài)于端口或協(xié)議，擺脫了傳統設備只能通過(guò)IP地址來(lái)控制的尷尬，即使加密過(guò)的數據流也能應付自如。

　　目前，NGAF可以識別700多種應用及其1000多種應用動(dòng)作，還可以與多種認證系統（AD、LDAP、Radius等）、應用系統（POP3、SMTP等）無(wú)縫對接，自動(dòng)識別出網(wǎng)絡(luò )當中IP地址對應的用戶(hù)信息，并建立組織的用戶(hù)分組結構；既滿(mǎn)足了普通互聯(lián)網(wǎng)邊界行為管控的要求，同時(shí)滿(mǎn)足了在內網(wǎng)數據中心和廣域網(wǎng)邊界的部署要求，可以識別和控制豐富的內網(wǎng)應用，如Lotus Notes、RTX、Citrix、Oracle EBS、金蝶EAS、SAP、LDAP等，針對用戶(hù)應用系統更新服務(wù)的訴求，NGAF還可以精細識別Microsoft、360、Symantec、Sogou、Kaspersky、McAfee、金山毒霸、江民殺毒等軟件更新,保障在安全管控嚴格的環(huán)境下，系統軟件更新服務(wù)暢通無(wú)阻。

　　因此，通過(guò)應用可視化技術(shù)制定的L3-L7一體化應用訪(fǎng)問(wèn)控制策略，可以為用戶(hù)提供更加精細和直觀(guān)化控制界面，在一個(gè)界面下完成多套設備的運維工作，提升工作效率。


更全面的內容級安全防護

　　網(wǎng)絡(luò )安全與黑客技術(shù)的發(fā)展使得用戶(hù)面臨的威脅不再單單是一個(gè)病毒一個(gè)木馬、一次DOS攻擊這樣的簡(jiǎn)單攻擊。黑客可采用豐富的工具，利用眾多的漏洞，結合多種攻擊手段進(jìn)行混合型的破壞性攻擊，具有代表性的如Slammer、Blaster等。而信息獲取和攻擊代碼往往也隱藏在正常的應用訪(fǎng)問(wèn)中，這種混合型安全威脅的出現也給網(wǎng)絡(luò )安全建設提出新的要求：需要采用更全面的防護手段，防止安全短板被利用；需要深入到應用內容的安全防護，以識別和預防潛在威脅。

　　NGAF融合了漏洞防護、web安全防護、病毒防護等多種安全技術(shù)，具備2000+條漏洞特征庫、數十萬(wàn)條病毒、木馬等惡意內容特征庫、1000+Web應用威脅特征庫，可以全面識別各種應用層和內容級別的各種安全威脅。通過(guò)灰度威脅關(guān)聯(lián)分析技術(shù)將數據包還原的內容進(jìn)行全面的威脅檢測，并可以針對黑客入侵過(guò)程中使用的不同攻擊方法進(jìn)行關(guān)聯(lián)分析，從而精確定位出一個(gè)黑客的攻擊行為，有效阻斷威脅風(fēng)險的發(fā)生?；叶韧{識別技術(shù)改變了傳統IPS等設備防御威脅種類(lèi)單一，威脅檢測經(jīng)常出現漏報、誤報的問(wèn)題，可以幫助用戶(hù)最大程度減少風(fēng)險短板的出現，保證業(yè)務(wù)系統穩定運行。

　　此外，深信服憑借在應用層領(lǐng)域6年以上的技術(shù)積累，組建了專(zhuān)業(yè)的安全攻防團隊，可以為用戶(hù)定期提供最新的威脅特征庫更新，以確保防御的及時(shí)性。


更高性能的應用層處理能力

　　性能和安全往往是傳統安全設備是無(wú)法權衡的問(wèn)題。尤其在應用層安全防護功能開(kāi)啟時(shí)，該問(wèn)題尤為明顯。在帶寬不斷提升、威脅不斷增多的網(wǎng)絡(luò )環(huán)境下，用戶(hù)不得不在兩者做出艱難的選擇。

　　為了實(shí)現強勁的應用層處理能力，NGAF拋棄了傳統防火墻NP、ASIC等適合執行網(wǎng)絡(luò )層重復計算工作的硬件設計，采用了更加適合應用層靈活計算能力的多核并行處理技術(shù)；在系統架構上，NGAF也放棄了UTM多引擎，多次解析的架構，而采用了更為先進(jìn)的一體化單次解析引擎，將漏洞、病毒、Web攻擊、惡意代碼/腳本、URL庫等眾多應用層威脅統一進(jìn)行檢測匹配，從而提升了工作效率，實(shí)現了萬(wàn)兆級的應用安全防護能力。


更完整的安全防護方案

　　只提供基于應用層安全防護功能的方案，并不是一個(gè)完整的安全方案。對于用戶(hù)來(lái)說(shuō)，還需要采購基礎網(wǎng)絡(luò )層的安全設備（FW、VPN），既增加了成本，也增加了組網(wǎng)復雜度、提升了運維難度。從技術(shù)角度來(lái)說(shuō)，一個(gè)黑客完整的攻擊入侵過(guò)程包括了網(wǎng)絡(luò )層和應用層、內容級別等多個(gè)層次方式方法，如果將這些威脅割裂開(kāi)處理進(jìn)行防護，各種防護設備之間缺乏智能的聯(lián)動(dòng)，很容易出現“三不管”的灰色地帶，出現防護真空。

NGAF涵蓋傳統防火墻、IPS的主要功能，內部能夠實(shí)現內核級聯(lián)動(dòng)，是一個(gè)“L2-L7完整的安全防護產(chǎn)品”。這也是Gartner定義的“額外的防火墻智能”實(shí)現的前提，做到真正的內核級聯(lián)動(dòng)，才能為用戶(hù)的業(yè)務(wù)系統提供一個(gè)安全防護的“銅墻鐵壁”。

多種功能融合、縱深安全防御、一體化安全防護
技術(shù)功能	功能價(jià)值
IPS漏洞防護	基于漏洞以及攻擊行為的特征庫，提供自動(dòng)或手動(dòng)升級方式。防御包括蠕蟲(chóng)、木馬、后門(mén)、應用層DOS/DDOS、掃描、間諜軟件、漏洞攻擊、緩沖區溢出、協(xié)議異常、IPS逃逸攻擊等
服務(wù)器防護	針對OWASP提出的WEB安全威脅的防護，如SQL注入、XSS、CSRF等；提供網(wǎng)站路徑保護，暴力破解防護；WEB服務(wù)隱藏FTP隱藏、FTP、telent弱口令防護；文件上傳過(guò)濾、URL黑名單等多種服務(wù)器防護功能
病毒防護	基于流引擎查毒技術(shù)，可以針對HTTP、FTP、SMTP、POP3等協(xié)議進(jìn)行查殺；可實(shí)時(shí)查殺大量文件型、網(wǎng)絡(luò )型和混合型等各類(lèi)病毒；并采用新一代虛擬脫殼和行為判斷技術(shù)，準確查殺各種變種病毒、未知病毒
WEB安全防護	提供URL過(guò)濾、文件過(guò)濾、ActiveX過(guò)濾、腳本過(guò)濾等多種WEB安全防護手段

透視網(wǎng)絡(luò )應用、精細控制策略、規避應用安全風(fēng)險
技術(shù)功能	功能價(jià)值
可視化應用管控	擁有國內最大的應用規則識別庫，可識別數百種互聯(lián)網(wǎng)應用，上千種應用規則策略
	可識別豐富的內網(wǎng)應用如：Lotus Notes、RTX、Citrix、Oracle EBS、金蝶EAS、SAP、LADP等
	精確識別Microsoft、360、Symantec、Sogou、kaspersky、金山毒霸、江民殺毒等軟件更新保障嚴格管控下系統軟件更新暢通無(wú)阻
	提供基于應用識別類(lèi)型、用戶(hù)名、接口、安全域、IP地址、端口、時(shí)間進(jìn)行應用訪(fǎng)問(wèn)控制列表的制定

豐富日志報表、統一集中管理、最優(yōu)運維成本
技術(shù)功能	功能價(jià)值
數據中心	提供內置數據中心和獨立數據中心
詳細報表	提供統計報表、趨勢報表、匯總報表、匯總對比報表、指定對比報表危險行為報表、流速趨勢報表等多種報表
統計分析	提供詳細的IPS/服務(wù)器防護統計、病毒信息統計分析
智能風(fēng)險報表	提供根據管理者自定義的風(fēng)險行為特征自動(dòng)挖掘并輸出風(fēng)險行為智能報表

限制無(wú)關(guān)應用、保障核心業(yè)務(wù)、優(yōu)化帶寬利用率
技術(shù)功能	功能價(jià)值
可視化流量管理	基于應用、網(wǎng)站、文件、時(shí)間、目標IP以及用戶(hù)的多種流量控制
	多線(xiàn)路技術(shù)、虛擬多線(xiàn)路技術(shù)、智能選路技術(shù)對多線(xiàn)路分別實(shí)現流控
	保障核心業(yè)務(wù)、限制合法業(yè)務(wù)、阻斷非法業(yè)務(wù)

適應復雜場(chǎng)景、抵御網(wǎng)絡(luò )攻擊、合理規劃安全域
技術(shù)功能	功能價(jià)值
包過(guò)濾與狀態(tài)檢測	提供靜態(tài)的包過(guò)濾和動(dòng)態(tài)包過(guò)濾功能
抗攻擊	能夠防御DOS/DDOS、land,smurf,synflood,icmpflood等網(wǎng)絡(luò )層攻擊
NAT	提供一對一、多對一、多對多等地址轉換方式；支持多種NAT ALG，包括DNS、FTP、H.323、SIP
VPN模塊	內置VPN模塊能實(shí)現VPN互聯(lián)
IP協(xié)議/路由	支持靜態(tài)路由、RIP v1/2、OSPF、策略路由等多種路由協(xié)議