我們還需要防火牆嗎？
防火牆一直以來都問題不斷，如今更是沒有理由繼續用它，因為面對現代攻擊毫無效果的東西要來何用？但這種結論只適用於傳統防火牆，最新世代的防火牆能提供客戶端防禦及網路防護，不僅有用，還是必需品。
傳統防火牆擅長抵禦的攻擊
傳統防火牆只能阻止或允許特定IP地址和埠，能防護的東西相當有限。最常見的應用場景就是阻止未授權使用者或惡意軟體連線未受保護的監聽服務或守護程序。即便忽視路由器在IP/埠過濾上的超高效率，時代和攻擊型別也發生了改變， 傳統防火牆如今很大程度上形同虛設 。
20年前，阻止未授權連線很有意義。大多數計算機都防護不嚴，口令也弱，不僅滿載渾身漏洞的軟體，還往往開放有允許任何人登入或連線的服務。發個畸形網路包就能搞掉普通的伺服器，而且這還是在管理員沒設定允許匿名連線的完全管理員許可權遠端服務的情況下才需要，如果設了這種遠端管理服務，那基本上可以隨隨便便摸進伺服器。至於Windows的匿名NETBIOS連線，在 Windows XP 預設禁止前的15年裡，一直都是黑客的寶貴財富。
如果你的防火牆只是用於封禁未授權IP地址或協議，那用個路由器會好得多，也快得多。電腦保安界有句格言：“首選最快最簡單的方法。”說的就是這個道理，如果有什麼東西是可以用更快更有效率的裝置加以封堵的，那就將那臺裝置用作你的第一道防線。這樣會更快更有效率地摒除更多你不想要的流量。路由器的“上層”程式碼要比防火牆少很多，規則列表也更短。路由器的條件決策迴圈比防火牆快上幾個數量級。不過，如今的威脅環境下，還需不需要封禁這些未授權連線，這一點難說。
防火牆最擅長阻止對監聽服務的未授權遠端連線，可以防止攻擊者在連線後利用緩衝區溢位接管計算機的控制權。這正是防火牆誕生的最主要原因。有缺陷的服務太常見了，都已經被認為是常態。衝擊波、Slammer蠕蟲之類的惡意程式利用這些服務可以在幾分鐘裡席捲全世界。
現在的服務並沒有那麼脆弱。程式設計師如今使用的程式語言預設就會檢查緩衝區溢位。用來阻止傳統漏洞利用方法的其他作業系統電腦保安措施也很擅長做這事兒。微軟每年都能在其產品線上發現130-150個漏洞。自2003年算起，發現的漏洞數約2000個。但只有 5-10 個是僅供遠端利用的。同一時期，蘋果和Linux機器的漏洞更多，但僅可遠端利用的漏洞程序佔比是一樣的。
必須明確一點： 雖然可利用的脆弱服務成百上千，但幾乎全都需要本地終端使用者做點兒什麼才能發起攻擊 。要麼是點選惡意連結，要麼是訪問掛馬網站。為什麼必須本地使用者參與？因為只有當終端使用者這麼做的時候，才可以建立一條“經允許”的出站連線，然後順理成章地再來一條“經允許”的入站連接回連到使用者的計算機。如今所有攻擊幾乎都是“客戶端”攻擊，而防火牆並不擅長阻止此類連線。
埠阻塞不再有效
每個服務都用自身固定TCP/IP埠的時期，比如FTP用21/22、SMTP用25，這樣說來，傳統防火牆要更為有用些。
今天，全世界的網路流量大部分都走80(HTTP)和443(HTTPS)埠，而且只用後者的情況會越來越多。那些尚未走443埠的網路流量在未來幾年裡也會切到443上的。如果什麼都繫結在少量幾個埠上，那埠阻塞還有什麼意義？不止如此，HTTPS預設加密的特性也會讓流量過濾更難以執行。
邊界正在消失
防火牆是典型的安全域邊界。定義出兩三個安全邊界就可以用防火牆控制其間的流量。然而，這些有效的、可保安全的邊界，這10年來一直在衰落。邊界從來都不完美，但自從我們開始將網際網路接入其他網路，開始將WiFi路由器接入各種網路，邊界就真正步入消亡了。
只有一兩個網路邊界時，防火牆還能有點用，但當我們開始新增“隔離區(DMZ)”和其他“授權網路”時，防火牆就顯得不夠用了。而當長期聯網成為常態，我們不得不承認，邊界和傳統防火牆的末日到了。
長期以來，很多IT安全人員都認為我們還擁有安全邊界，但只要一審計，就會發現這些邊界根本就漏得跟篩子一樣。因為怕破壞了某些關鍵服務或應用，網路管理員基本上都會放行每個未定義的流量路徑。
防火牆管理糟糕
除了虛假的邊界安全感，大多數防火牆還管理糟糕。幾乎所有家庭使用者都不知道防火牆是什麼、有什麼用，即便自家電腦上預設開啟了防火牆，他們也從未關注或配置過。企業端的情況也不見得好到哪兒去，儘管企業安全人員有時候會自欺欺人地覺得自己做得還好。
企業防火牆正確配置的情況真的很少見，一半以上都部署的是瘋狂的“任意(<ANY><ANY>)”規則，完全失去了設定防火牆的意義。絕大多數防火牆允許的流量通路和協議都比業務所需範圍要廣得多。而且，即使防火牆最初是正確配置的，只需一年時間，大多數企業就不得不為自己造成的防火牆配置泥潭花錢購買可以更好地管理防火牆配置的軟體。未授權配置更改讓公司企業無暇顧及怎麼用防火牆保護自身安全。
糟糕的日誌也是傳統防火牆痛點之一。絕大多數防火牆日誌都包含百萬條事件記錄，雖然記錄詳盡準確，但對真正的安全防護來說毫無用處。防火牆的“噪音”實在太大，管理員應該注意的潛在有用事件反而被淹沒了。
另外，企業防火牆的修復情況也不容樂觀。保持更新，完全修復的防火牆少之又少。很多裝置防火牆中存在公開已知漏洞。這些防火牆已經不是安全防線，反而成為了潛在的攻擊介面。
智慧防火牆怎麼樣？
今天的防火牆不僅僅是過濾埠和套接字，還帶有VPN或HTTPS檢查功能，甚至可以執行入侵檢測/防禦、URL過濾、上層攻擊阻塞、DDoS攻擊阻止和內聯修復等等操作。防火牆已經進化到遠遠超出簡單的埠和協議封禁的程度了。
IP地址和埠過濾這種傳統防火牆操作已經沒有太大價值，但今天的大多數防火牆所做的遠不止這些。 防火牆已經從嚴格的邊界防線，進化到了內部脆弱核心的防護層 。如果仔細觀察如今的防火牆所提供的各種服務，你會發現用於客戶端防護的和用於網路防護的幾乎一樣多。這是件好事兒，廣受歡迎，且好處多多。
如果你正考慮購買新的防火牆，不妨關注那些提供可以消解最大風險的控制功能的(如：URL過濾、補丁發現、內聯修復)。畢竟，現代防火牆不應該和父母輩用的是同款。
相關閱讀
ofollow,noindex">從下一代防火牆到下一代安全體系