选择新一代防火墙时需要测试的10个问题

对企业的防火墙实施多重身份验证 (MFA) 有助于防止攻击者使用窃取的凭证横向移动。MFA 是一个很好的工具，作为防火墙策略的一部分， MFA 提高了实施速度，因为企业只需将MFA 集成到网络策略中，而不需要更改应用本身。这样可以更快地部署防护措施来满足合规性要求。

动态地址组将安全策略与 IP 地址分离，并根据虚拟工作负载的属性构建细化安全策略。针对防火墙的策略使用映射到工作负载属性的标签。这使企业可以构建绑定到工作负载的安全策略，从而增强安全状态。动态地址组通过降低应用和安全团队之间的依赖性而减少了运营开销。

企业需要新一代防火墙，它提供单一的视图来管理所有防火墙，无论其形式和位置如何。它通过简化安全策略的配置、部署和管理，降低了安全工作的复杂性。企业需要一个工具来关联防火墙日志，以提供网络和安全洞察并揭露恶意行为，这些行为通常会淹没于海量的信息中。

新一代防火墙的各个功能专门针对解决特定网络安全需求，同时帮助企业成长而设计。

自动化和 API 使企业能够在无需等待人工干预的情况下采取行动来抵御威胁，缩短响应时间，并且如果以适当的方式与正确的工具配合使用，可以防止攻击成功。一个提供自动化和原生集成的 API 的安全供应商能够帮助安全团队摆脱基本的操作任务，专注于直接有利于企业的战略性工作。减少人工干预能够减少可避免的错误，最终实现更安全的安全状态。

大多数新式恶意软件都会使用这些先进技术，可以绕过传统常见的网络安全解决方案，通过网络安全设备、防火墙和沙箱发现工具来传输攻击或漏洞利用。虽然我们无法构建单独的工具来检测每一个规避型恶意软件，但充分利用可以识别规避技术并自动加以处置的系统是至关重要的。

Palo Alto Networks （派拓网络）的新一代防火墙可以☟

实现快速防御，提高效率，更好地运用专业人员的才智，改善企业的安全状态。

没有任何一种安全产品能够自行成功地抵御每种类型的攻击。攻击生命周期中存在多个阶段，因此，应设立多个防御层来阻止现代攻击。多层防御是干扰潜在攻击的最有效方法，安全架构的新增内容应对整个网络的安全防护起到补充作用。

成功防御现代攻击需要掌握对网络流量和应用实施情况的可视性，及各种基于用户和内容的策略，不存在万无一失的解决之道，对于有能力在企业内完成整个攻击生命周期的过渡的攻击，超越其攻击速度实施保护的唯一办法就是自动化。为了有效预防，企业必须使用自动化并在各种安全工具之间共享信息，减少物联网安全风险暴露。

现在，分布式企业必须使用软件定义广域网 (SD-WAN)。这种方法采用商品链接，支持智能管理和控制分支机构与云实例之间的连接。新一代防火墙必须能够作为分支位置的 SD-WAN 边缘设备和中心位置的 SD-WAN 中心运行。SD-WAN 功能应易于启用，并在单个网络安全管理界面上集中管理。

借助 SD-WAN，每个设备都得到集中管理，采用基于应用策略的路由，因此 WAN 管理器可以根据网络需求的变化实时创建和更新安全规则。企业应该在用户工作的任何地方提供同等水平的安全保护，不受内部或外部限制。部署选项应具备灵活性，以一致覆盖所有用户和所有位置。这样，无论用户身在何处，都能够轻松地连接到云服务或防火墙，从而针对已知和未知威胁获得同等的安全保护。

零信任方法为企业提供了构建分段网络的路线图。零信任可以作为一种强大的防护策略在整个企业（从网络到端点和云）中实施。通过集成的方法，安全团队可以在整个企业中从创建和管理到部署和维护，自动化和简化零信任策略管理。

零信任的一个标准是借助作为分段网关的新一代防火墙的第 7 层策略和实施。新一代防火墙能够实现边界的微分段，并充当执行点以及传感器网络，以便全面了解企业的流量。