深信服下一代防火墻構筑在64位多核并發，高速硬件平臺之上，采用自主研發的并行操作系統（Sangfor OS），將轉發平面、安全平面并行運行在多核平臺上。多平面并發處理，緊密協作，極大的提升了網絡數據包的安全處理性能。

  控制平面

負責整個系統各平面、各模塊間的監控和協調工作，此平面包括配置存儲、配置下發、控制臺UI、數據中心等功能。

 轉發平面

負責網絡數據包的高速轉發，此平面包括路由子系統、網橋子系統、鄰居系統、VPN、NAT、撥號等功能。

事中攻擊防御**準確-下一代WAF引擎

1、語法、詞法分析：基于語法、詞法規則的原理是在理解程序本身語言規范基礎上，通過匹配攻擊特征檢測Web 攻擊。其檢測的前提是程序語言本身具備規則定義的語義規范，典型的應用是針對 SQL 數據庫語言的 SQL 注入攻擊，及針對 JS 語言的 XSS 攻擊的攻擊檢測。基于語義規則的 WAF 很大的提升了檢出能力，是對規則檢測缺點的進一步探索，由于引擎具備對語義的理解能力，當攻擊者將攻擊語句做回避式的變形時，能被語義分析引擎解析理解，行業中一些產品在實際應用中取得了比規則更好的檢測能力?；谡Z義分析的 WAF 將 Web 攻擊檢測技術推向了新的臺階，但防護仍然不具備對未知威脅的進化適應能力，處于被動應對攻擊狀態。如果能將“被動應對”變為“主動進化”，WAF 的防護能力可以進一步得到提升。

2、AI有監督進修：用已知某種或某些特性的樣本作為訓練集，建立一個判定模型，再用已建立的模型來預測未知樣本，此種方法稱為有監督進修。特點：提前采用大量已標記的樣本訓練 AI 引擎，誤判率低。

金山區專業性下一代防火墻需求融合不是單純的功能疊加，而是依照業務開展過程中會遇到的各類風險。

傳統防火墻的訪問控制或者流量管理粒度粗放，只能基于IP/端口號對數據流量進行一刀切式的禁止或允許。深信服下一代防火墻基于龐大的應用和用戶識別能力，對數據流量和訪問來源進行精細化辨識和分類，使得用戶可以輕易從同一個端口協議的數據流量中辨識出任意多種不同的應用，或從無意無序的IP地址中辨識出有意義的用戶身份信息，從而針對識別出的應用和用戶施加細粒度、有區別的訪問控制策略、流量管理策略和安全掃描策略，保障了用戶**直接、準確、精細的管理愿望和控制訴求。

例如：允許HTTP網頁訪問順利進行，并且保證高訪問帶寬，但是不允許同樣基于HTTP協議的視頻流量通過；允許通過QQ進行即時通訊，但是不允許通過QQ傳輸文件；允許郵件傳輸，但需要進行防攻擊和敏感信息過濾，如發現有攻擊入侵或泄密事件馬上阻斷，等等。

事中攻擊防御**準確-下一代WAF引擎

流量優化層面：基于應用層交互內容進行深度學*，在該層次上建立深入的流量學*模型，對各種網頁元素、參數進行監測、學*、對比，整個過程由設備的自學*功能完成，無需人工干預，同時可以根據web流量的變化進行自適應調整，建立白流量過濾能力，如果有明顯偏離正常流量模式的惡意流量，則需要到后續的安全檢測流程中；

該白流量基線可以讓合法流量快速通行，提升應用層處理效率；

內容還原層面：通過廣泛的業務分析以及安全**持續投入與研究，知曉各業務的響應的方式，通過業務組件模型可以有效的從流量中還原業務組件；

安全檢測層面：基于大量的應用層流量，采取無監督學*的 AI 模型，根據特定維度對惡意流量做概率統計聚類，識別出攻擊特征；采用有監督成長的 AI 模型，從剩余流量中識別出攻擊特征，并標簽攻擊行為，構建攻擊特征基線，有效識別誤判、漏判；

合法業務基線：每個用戶的業務邏輯各不相同，表達方式各異，傳統 WAF 對所有用戶采用通用的威脅檢測方法，難以幫助業務各異的用戶有效防護攻擊風險，更無法基于業務進行自適應；

更多的安全威脅是未知的.

    基礎防火墻特性深信服AF兼容傳統防火墻的所有功能特性，包括交換/路由、訪問控制，A-A/A-S雙機熱備、軟硬件Bypass、系統管理、日志報表、會話管理、抗DDoS攻擊、應用代理、DHCP/DNS等等。PPPoE通過ADSL接e已經成為越來越多中小企業的選擇，而ADSL需要撥號以后才能獲得IP地址。深信服AF支持PPPoE協議，作為PPPoEClient端完成與PPPoEServer建立連接和地址獲取，通過設置用戶名和口令即可支持ADSL接入，獲得動態IP地址、網關及DNS地址，自動完成撥號過程，接e網絡。解決中小企業上網問題。 加大了安全運維的工作量.寶山區上門下一代防火墻互惠互利

到事中所應具備的各類安全防御手段以及事后的持續檢測和快速響應機制。普陀區信息下一代防火墻概況

事前風險分析

1）明確防護主體：**資產有效識別

從風險管理的角度，我們首先需要明確防護的主體對象，通過應用特征、交互協議、端口、IP等方式識別內網的業務系統；

2）識別資產風險：實時漏洞監測分析

基于識別的業務資產，接下來我們會進行業務資產風險分析，通過實時的流量檢測，檢測業務系統存在的漏洞，比如是否存在惡意注入、代碼執行、黑鏈植入等惡意動作，檢測業務系統的漏洞；

3）保障安全能力：安全能力評估

比如業務系統是否有對應的防御手段，是否現有的防御手段是生效的，是否規則庫沒有更新，是否缺少防御手段等，防止存在安全能力降級及失效的情況；

4）安全價值交付：比較好實踐策略部署

基于安全能力降級及失效的情況進行一鍵防御，實行安全能力的一鍵提升；除此之外為了切實保障企業資產風險管理工作的落地，我們會為用戶提供安全價值交付，基于深信服技服團隊的價值交付體系給出對應建議，保障安全安全建設的切實落地。

普陀區信息下一代防火墻概況

上海黑象信息科技有限公司位于橫沙鄉富民支路58號A3-2486室(上海橫泰經濟開發區)，是一家專業的信息、計算機、電子、網絡科技領域內的技術開發、技術轉讓、技術咨詢和技術服務，企業管理咨詢，商務信息咨詢，市場營銷策劃，設計、制作各類廣告，計算機軟件及輔助設備、電子產品、工藝禮品（象牙及其制品除外）的銷售。信息、計算機、電子、網絡科技領域內的技術開發、技術轉讓、技術咨詢和技術服務，企業管理咨詢，商務信息咨詢，市場營銷策劃，設計、制作各類廣告，計算機軟件及輔助設備、電子產品、工藝禮品（象牙及其制品除外）的銷售。信息、計算機、電子、網絡科技領域內的技術開發、技術轉讓、技術咨詢和技術服務，企業管理咨詢，商務信息咨詢，市場營銷策劃，設計、制作各類廣告，計算機軟件及輔助設備、電子產品、工藝禮品（象牙及其制品除外）的銷售。信息、計算機、電子、網絡科技領域內的技術開發、技術轉讓、技術咨詢和技術服務，企業管理咨詢，商務信息咨詢，市場營銷策劃，設計、制作各類廣告，計算機軟件及輔助設備、電子產品、工藝禮品（象牙及其制品除外）的銷售。公司。黑象是上海黑象信息科技有限公司的主營品牌，是專業的信息、計算機、電子、網絡科技領域內的技術開發、技術轉讓、技術咨詢和技術服務，企業管理咨詢，商務信息咨詢，市場營銷策劃，設計、制作各類廣告，計算機軟件及輔助設備、電子產品、工藝禮品（象牙及其制品除外）的銷售。信息、計算機、電子、網絡科技領域內的技術開發、技術轉讓、技術咨詢和技術服務，企業管理咨詢，商務信息咨詢，市場營銷策劃，設計、制作各類廣告，計算機軟件及輔助設備、電子產品、工藝禮品（象牙及其制品除外）的銷售。信息、計算機、電子、網絡科技領域內的技術開發、技術轉讓、技術咨詢和技術服務，企業管理咨詢，商務信息咨詢，市場營銷策劃，設計、制作各類廣告，計算機軟件及輔助設備、電子產品、工藝禮品（象牙及其制品除外）的銷售。信息、計算機、電子、網絡科技領域內的技術開發、技術轉讓、技術咨詢和技術服務，企業管理咨詢，商務信息咨詢，市場營銷策劃，設計、制作各類廣告，計算機軟件及輔助設備、電子產品、工藝禮品（象牙及其制品除外）的銷售。公司，擁有自己**的技術體系。公司以用心服務為重點價值，希望通過我們的專業水平和不懈努力，將信息、計算機、電子、網絡科技領域內的技術開發、技術轉讓、技術咨詢和技術服務，企業管理咨詢，商務信息咨詢，市場營銷策劃，設計、制作各類廣告，計算機軟件及輔助設備、電子產品、工藝禮品（象牙及其制品除外）的銷售。信息、計算機、電子、網絡科技領域內的技術開發、技術轉讓、技術咨詢和技術服務，企業管理咨詢，商務信息咨詢，市場營銷策劃，設計、制作各類廣告，計算機軟件及輔助設備、電子產品、工藝禮品（象牙及其制品除外）的銷售。信息、計算機、電子、網絡科技領域內的技術開發、技術轉讓、技術咨詢和技術服務，企業管理咨詢，商務信息咨詢，市場營銷策劃，設計、制作各類廣告，計算機軟件及輔助設備、電子產品、工藝禮品（象牙及其制品除外）的銷售。信息、計算機、電子、網絡科技領域內的技術開發、技術轉讓、技術咨詢和技術服務，企業管理咨詢，商務信息咨詢，市場營銷策劃，設計、制作各類廣告，計算機軟件及輔助設備、電子產品、工藝禮品（象牙及其制品除外）的銷售。等業務進行到底。上海黑象信息科技有限公司主營業務涵蓋技術開發，技術轉讓，技術咨詢，技術服務，堅持“質量保證、良好服務、顧客滿意”的質量方針，贏得廣大客戶的支持和信賴。