安全問題一直是IT的關(guān)注重點(diǎn)。為了確保IT系統(tǒng)的安全，數(shù)據(jù)中心一般需要部署各種安全產(chǎn)品，包括防火墻、IPS、WAF等等，這些產(chǎn)品雖然能起到一定作用，但不足也顯而易見：大部分安全產(chǎn)品和設(shè)備都是面向傳統(tǒng)IT環(huán)境的，并不能很好地適應(yīng)以虛擬化為主的云環(huán)境;其次，這些產(chǎn)品以硬件產(chǎn)品為主，成本高還不夠靈活。日前，VMware對(duì)外發(fā)布了一個(gè)新的安全產(chǎn)品：服務(wù)定義防火墻。這是一款面向云環(huán)境的原生的防火墻，以軟件形式部署，可以給虛擬化環(huán)境帶來主動(dòng)的安全防護(hù)，引起了安全行業(yè)的關(guān)注。

VMware推出的服務(wù)定義防火墻依托VMware的兩個(gè)產(chǎn)品NSX Data Center和AppDefense實(shí)現(xiàn)。其中，NSX是VMware的網(wǎng)絡(luò)虛擬化產(chǎn)品，它與vSphere、vSAN一起被稱為VMware軟件定義數(shù)據(jù)中心的三大支柱。NSX很早就集成了微分段功能，可以通過分區(qū)為云環(huán)境提供顆粒度更細(xì)的安全分區(qū)，從而提高隔離性和安全性。新推出的服務(wù)定義防火墻在此功能上進(jìn)行了升級(jí)。它借助VMware另一款安全產(chǎn)品AppDefense來功能定義新的安全規(guī)則，為應(yīng)用提供安全防護(hù)。AppDefense是一個(gè)安全服務(wù)，以SaaS服務(wù)形式交付。它的一大創(chuàng)新在于，不同于大部分安全產(chǎn)品主要依賴預(yù)先識(shí)別和定義的特征來識(shí)別病毒和各種異常行為，而是利用人工智能來學(xué)習(xí)應(yīng)用的正常行為，從而對(duì)系統(tǒng)異常行為進(jìn)行識(shí)別和報(bào)警。

VMware對(duì)這款防火墻新品給出的描述是：憑借業(yè)經(jīng)驗(yàn)證的VMware NSX Data Center及VMware AppDefense功能，VMware 服務(wù)定義防火墻將前所未有的應(yīng)用程序可見性、對(duì)應(yīng)用程序的已知良好行為的識(shí)別與智能、自動(dòng)化和自適應(yīng)防火墻功能相結(jié)合，幫助更好地保護(hù)應(yīng)用程序、數(shù)據(jù)和用戶。

“VMware新推出的服務(wù)定義防火墻的核心思想是，先定義出要保護(hù)的應(yīng)用或服務(wù)其正常的工作行為應(yīng)該是什么樣的，此后一旦發(fā)現(xiàn)應(yīng)用的行為和正常的行為有偏差，就意味著這可能是惡意攻擊，從而促發(fā)一系列的動(dòng)作，比如說掛起該服務(wù)或者報(bào)警給管理人員等待處理?！盫Mware大中華區(qū)高級(jí)產(chǎn)品經(jīng)理傅純一表示。

“和傳統(tǒng)防火墻被動(dòng)防護(hù)不同，服務(wù)定義防火墻可以識(shí)別新的攻擊手段。只要是異常行為 AppDefense就可以識(shí)別出來，AppDefense把識(shí)別出來的可疑結(jié)果告訴NSX Data Center防火墻，防火墻就可以自動(dòng)生成規(guī)則，把這種可疑的訪問行為隔離在虛機(jī)外面，起到保護(hù)虛機(jī)的作用?！备导円徽f。據(jù)介紹，VMware新推出的服務(wù)定義防火墻有三大特點(diǎn)。第一，它是系統(tǒng)原生的或者說系統(tǒng)固有的，它能與Hypervisor集成，從而最大限度地聯(lián)動(dòng)。第二，配合服務(wù)定義防火墻的推出，VMware還推出了一個(gè)應(yīng)用程序驗(yàn)證云，AppDefense把機(jī)器學(xué)習(xí)后的各種應(yīng)用行為模式匯總在云端，從而提高行為異常檢測(cè)的準(zhǔn)確性。第三，它是用軟件的方式來實(shí)現(xiàn)的，從而提供更高的性價(jià)比。