应用状态检测

　　 安全领域中长期依赖、发挥最大作用的无非是状态防火墙，通过协议状态检测技术实现数据访问单向流动，从而有效的保护内部网络不受攻击。而对服务器，采取暴露端口的形式。随着应用的增多和对安全性要求的提高，对这种开放端口的服务器同样需要保护，在网络层状态检查的基础上需要扩展到应用层的状态检查，从而对暴露在网络中的服务器进行保护。这种趋势会产生一系列的应用层安全网关，比如web安全网关、语音安全网关等专用协议网关。当然，其网络位置不必是整个网络的出口，只要在保护资源的通路上即可。目前的专有过滤网关就是这一趋势的一个表现。这种技术在具体产品形态上表现为:防垃圾邮件网关——针对目前网络垃圾邮件泛滥的产品;应用防火墙——专门保护应用层安全的防火墙，其中的代表是web应用防火墙。

安全技术融合

　　 传统的网络层安全技术，如nat、状态防火墙、vpn将不再作为专有设备，网络中路由器、交换机性能的提升和硬件构架的换代将直接提供网络层的安全功能，传统意义上的防火墙功能可以集成在路由器中。而另一方面，随着协议和接口的统一，防火墙也可以取代路由器或者交换机的位置。安全厂商或许会变化成网络设备厂商，网络设备厂商也能变为安全厂商，而由于积累的不同，网络设备厂商具有更大的优势。比如，现在的交换机成本和以前的hub一样，但是抛弃了原来的交换芯片，使用新的硬件，不但提供交换，而且提供安全和业务特性，将来会直接把安全延伸到整个内部网络，彻底解决目前的内网安全问题。那么，传统的安全厂商如何发展?1、把自己融合进网络设备厂商。2、向安全的新领域—业务安全(而不是网络安全)进军。3、组建安全联盟，形成一个大的安全体系，自己成为其中一个基石。

vpn功能集成

　　 从厂商的角度来说，希望一个环境中既使用vpn设备，又使用防火墙。但是，由于vpn设备对数据的隧道封装会导致防火墙设备上对vpn数据检测出现失准的现象，而同时维护两套配置策略也是没有必要的。为了减少重复处理，降低维护工作，提高防火墙的防护范围，直接在防火墙上集成vpn功能是非常有效的方法。如ipsec vpn、ssl vpn、l2tp vpn直接通过防火墙来支持，应用效果提高，而且降低了用户的投入成本。

　　 防火墙技术在新的挑战下会继续向前发展，提供越来越多的智能和主动防御功能。防火墙中各个功能的协调工作，以及和网络中其他硬件、软件组件的配合联动，才能达到真正意义上的智能安全和主动防御。而这些，都需要安全厂商不断的创新。

反间谍软件:摸索中前行

　　 与其他网络安全产品相比，反间谍软件可谓后起之秀，但它却是今年最耀眼的产品之一。

　　 对付间谍软件，第一个任务就是要有一个清晰的标准来定义它，并以此作为准绳进行判断和查杀。但难点恰巧是这个标准很难定义。通常情况下我们可以这样定义:任何在计算机用户不知不觉的情况下，秘密搜集使用者的相关信息，并将其发给幕后操纵者的软件都可以称之为间谍软件，但是，很多合法的广告软件实现的也是类似的功能，这使得界定起来非常困难。

　　 有的人认为，可以通过传送信息的最终结果是否带有恶意来进行判定，但实际上，是否具有“恶意”，人类能够通过智力和直觉来判断，但要没有意识的计算机软件来进行区分，却难以实现。

　　 由于缺乏统一的标准，不同的厂家都有不同的方式，像赛门铁克所采取的“风险影响模型”，就是综合多种行为因素，包括能否让用户自由选择删除等，来判定是不是间谍软件。

　　 反间谍软件和防病毒类似，都需要一种可靠的解决方案和专门的研究及响应机制，来跟踪新的间谍软件风险，并及时提供随威胁变化而变化的升级版本。虽然恶意软件与传统病毒存在区别，但是防范它们的目标是相同的，即保护客户电脑不受有害软件的侵扰。

　　 由于防病毒厂商能够迅速探测到全球爆发的威胁，在第一时间内发布计算机防护和恢复的安全更新，并且能够集中管理已部署解决方案，因此面对不断增长的间谍软件风险，防病毒厂商在提供长期全面解决方案方面拥有无可比拟的优势。

　　 一款好的反间谍软件工具，要给用户提供实时的保护。不仅应该能够检测尽可能多的间谍软件，毫无残留地消除“间谍”在系统每一个角落中留下的残渣余孽，避免死灰复燃，还应该安装和部署简便，可以方便地升级间谍软件特征表。好的反间谍工具应该提供迅捷明了的状态显示报告，可以让用户及时了解间谍软件给公司造成多大的损害，最大的风险和威胁在哪里。当然，在企业中，一个方便管理的中央控制台也是必不可少的。反间谍软件可见的发展趋势和防病毒软件类似，也是依靠行为识别技术实现主动防御。

　　 目前，“从什么位置阻挡间谍软件是最有效的”这个问题还有争论。有的厂商认为应当从桌面阻止，因为移动技术在企业内的大量应用，使得越来越多的计算设备脱离了由网关所划定的安全疆域，如果用户在网关的保护之外感染了间谍软件，然后又再次接入网络，这台机器本身就成了协助“间谍”潜入的跳板。所以，先要保证每一个“内部成员”的可靠性。

　　 而另外一部分厂商则认为，桌面工具始终是被动防线，“更好的”间谍软件总会突破这道防线。因此，应该在网关处采取防护措施。

　　 当然，如果资金足够，企业应该采取多层次的防护措施来阻止间谍软件，这样才能收到理想的效果。

ids:强调可用性

　　 “ids会被ips取代”、 “ids要和防火墙联动”……这两年来，市场上关于ids的技术观点层出不穷。但是，这些概念更多地是在炒作。

　　 长期以来，ids的“漏报”和“误报”问题一直困扰着用户。加强攻击检测是减少“漏报”和“误报”现象的首要手段。过去，攻击检测是ids的全部。而今天，它只是ids的一个重要方面。ids要实现全面关注网络健康，还应该能够做到帮助用户对检测内容进行深层次的分析，主动防御，最终提交给用户一份有意义的报告。

　　 在某些ids产品中已经新增加了内容恢复和应用审计功能，能针对常用的多种应用协议，比如http、ftp、smtp、pop3、telnet、nntp、imap、dns、rlogin、msn等进行内容恢复，能完全真实地记录通信的全部过程与内容，并将其进行回放。此功能对于了解攻击者的攻击过程、监控内部网络中的用户是否滥用网络资源、发现未知的攻击具有重要和积极的作用。例如，在恢复http的通信内容时，可恢复出其中的文本与图形等信息;而应用内容的审计则可发现内部的攻击，了解哪些人员查看了不该查看的内容。

　　 此外，实时监测网络流量并及时发现攻击行为，亦是ids的一项基本特征。现在的ids产品增加了对网络实时监控和诊断功能，尤其是增加了扫描器，能对全网络进行主动扫描，实时发现网络中的异常，并给出详细的检测报告。

　　 这种在审计和监控等多项功能上得到加强的ids已经超越了传统意义上的ids，是适用于用户需求、保护用户网络健康的新型ids。