什麼是雲端防火牆？
雲端防火牆是一種網路安全裝置，可在企業的網路託管資產周圍建立虛擬屏障。它允許網路安全團隊監控哪些流量可以通過，就像基於硬體的防火牆一樣。
雲端防火牆的不同之處在於其後端架構，因為其處理能力是由虛擬化資源提供。這可讓雲端防火牆在部署和維護上有更大的靈活性；本指南將探討這在現實世界中的影響。
雲端防火牆為何重要
作為基線，雲端防火牆是網路安全工具包的重要部分：它位於組織的雲端網路邊界，監控所有流入和流出的流量。這稱為南北流量，包括與外部使用者或系統的任何網路互動，例如存取雲端應用程式的客戶或存取雲端資源的內部終端使用者。
南北網路流量佔大多數組織網路流量的絕大多數：防火牆就是在這個邊界監控每個要求的內容和合法性。然而，現在越來越多的重點放在東-西網路移動上，也就是在組織的雲端網路內裝置之間傳輸的資料封包。 攻擊者通常會利用對內部資源的隱含信任，讓東西方更容易受到未經授權網路流量的橫向移動，並增加任何威脅的爆破半徑
雲端防火牆能夠分割東西方流量，並在帳戶接管和內部威脅部署惡意軟體或竊取資料之前將其捕捉。就是這樣。
雲端防火牆功能
監控不同類型的流量需要一些核心功能。
流量攔截
雲端防火牆的核心是其策略性截取流量的能力。這通常是透過在反向代理設定中將防火牆定位為閘道器，然後透過它執行所有要求的資料來收集。 為了保持低延遲，雲端 防火牆通常會部署在靠近組織總部和數據中心的地理位置。
封包檢測
每個網路封包都會根據防火牆的基本規則集和分析引擎進行分析。核心細節是標頭細節，例如 IP 位址、連接埠和協定。更多的狀態防火牆分析包括圍繞每個封包的上下文。大多數先進的雲端防火牆現在都會針對每個連線進行風險評分；企業可藉此識別每個資源可能承受的風險等級。
安全政策的執行
根據封包檢查程序，雲端防火牆會執行每個規則中包含的特定動作。這可以是簡單的封鎖連線，也可以是複雜的要求終端使用者進一步驗證。
威脅偵測與安全工具整合
利用入侵偵測與防禦系統 (IDS/IPS) 等技術，雲端防火牆可與其他安全工具整合，以減緩惡意軟體、未授權存取和可疑活動等深層威脅。防火牆資料是對自動化威脅偵測最具影響力的元件之一。
記錄與報告
雲端防火牆會保留所有政策式回應以及周遭網路活動的記錄。這是更廣泛的合規性和報告能力的重要部分。
從紙上看來，這些功能與傳統的實體防火牆並沒有什麼不同，那麼是什麼讓雲端防火牆如此與眾不同呢？
運作方式
傳統上，防火牆是實體實體。它們存在於您的數位周圍的一部分，而在許多情況下，只是一個獨立的路由器，旨在攔截潛在惡意流量在到達您的系統之前。 那麼，當您的資料和軟體位於雲端並且您使用雲端防火牆時，這是如何運作的呢？
與傳統的防火牆設備不同，基於雲端的邊界並不存在於實體位置，至少不存在於您的應用程式或資料庫中。系統的所有元素都是分散的。 然而，在基本層面上，下一代系統實際上與傳統的系統並不太區別。 主要區別在於，資料不是透過單點輸入、過濾，然後傳播到適當的端口，而是在雲端層級進行過濾。基於雲端的工具周圍有一面看不見的牆，可以將不良行為者拒之門外。
傳統防火牆 vs. 雲端防火牆
傳統防火牆是安裝在組織財產上的實體裝置或設備，由組織控制。它們通常與伺服器堆疊存放在同一個房間。從網路的角度來看，防火牆位於網路路由器與內部網路所有裝置之間。然後，每台裝置都會設定為透過此防火牆路由其資料流。這種網路架構至今仍很普遍。
雲端防火牆不是實體放置在伺服器堆疊中，而是以透過網際網路存取的服務方式運作。它們依賴雲端虛擬化來執行與傳統防火牆相同的功能 - 控制進出私有或公用雲端網路的資料流，但不需要內部硬體。這個架構有幾個好處，我們將在下面討論。
雲端防火牆部署的好處
防火牆並非唯一受惠於雲端虛擬化的技術。虛擬化是一種為伺服器、儲存設備、網路和其他實體硬體建立虛擬版本的技術。它透過軟體模擬硬體功能，讓虛擬機器可在單一實體機器上同時執行。雲端防火牆供應商依靠此外包架構為防火牆的規則檢查和流量分析引擎提供動力。
這樣做的好處是多方面的。
識別並封鎖所有惡意流量
任何防火牆的核心優點都在於如何保護企業免受惡意流量（如跨站腳本和弱性攻擊）的侵襲。 雲端防火牆以兩種方式挫敗攻擊：將封包資料與預先建立的攻擊模式清單進行比較，以及識別偏離規範的網路行為模式。前者依賴雲端 防火牆供應商的威脅情資饋送（feed），然後持續與您企業的網路路徑流量進行比較。 如果有任何對齊的情況，防火牆能夠在請求到達受保護的網路之前將其攔截。
後者是較新的防火牆保護方法。人工智慧-powered 防火牆能即時監控流量行為，並建立網路行為基線。 過多的請求、不規則的連線嘗試或異常的資料傳輸等不尋常的模式都可以被發現，並加以預防。
雖然加密可隱藏封包內容，但雲端防火牆仍可分析封包標頭中的元資料，例如來源和目的地 IP、埠和協定。透過檢視流量模式，他們可以找出顯示惡意活動的異常或可疑連線。
多雲端部署
許多組織依賴多個雲端供應商：無論是開發人員依賴 GitHub 作為程式碼儲存庫、銷售人員依賴自己的 CRM 工具，或是人力資源部門透過 Outlook 進行溝通。這些都是不同形式的雲端工具。雲端 防火牆啟用多重雲端網路，確保混合與公共雲端網路路徑的安全。
由於雲端防火牆是虛擬化的，因此能夠獨一無二地根據網路的特定流量需求進行擴充。它們還能夠將裝置分組為小型子網路 - 這個過程稱為微分割。由於攻擊者無法再依賴應用程式或使用者之間的固有信任，因此可縮小網路入侵時的爆炸半徑。
防止硬體哽塞點
傳統的 WAF 常常會因為延遲而增加負擔，而這些負擔又會轉嫁給終端使用者。對於接近容量的硬體防火牆來說尤其如此。雲端 防火牆透過盡可能靠近各邊緣裝置，並由雲端防火牆供應商的當地存在點 (PoP) 支援來避免這種情況。 由於流量不必透過單一硬體裝置或設備傳送，因此可避免網路障礙點
可擴展性
雲端 防火牆能夠快速擴充，以因應不斷變化的雲端流量需求，而無需複雜的現場安裝、維護或升級。 某些雲端防火牆可與負載平衡器和虛擬基礎架構一起擴充，自動適應不斷增加的頻寬需求，確保一致的效能。這樣他們就能有效利用雲端基礎架構的彈性，隨著工作負載或流量的變化，自動提供正確數量的防火牆。
可用性
雲端防火牆供應商所依賴的分散式基礎架構可確保高可用性。這包括備援電源、HVAC 和網路服務，以及自動備援策略，以處理場地故障。由於所需成本高昂，更遑論所需的備援實體資源，這種可用性等級很難使用內部部署的防火牆來複製。此外，雲端防火牆可實現無縫更新，即時套用必要的變更，無需大量的系統下載或手動干預。
如何使用雲端防火牆強制執行零信任安全
雲端防火牆透過強制執行嚴格的存取控制，並持續驗證所有網路流量 (不論其來源為何)，在實施零信任安全模型方面扮演關鍵的角色。雲端 防火牆能夠評估每個要求的個別情境 - 甚至是東/西、不同內部 雲端網路或子網路之間。
零信任原則依賴於「絕不信任、永遠驗證」，而雲端防火牆是零信任架構的重要組成部分，但它們遠遠不是零信任專案應該依賴的單一安全方法。安全管理並不止於網路，但它是實現零信任的最重要基石之一。
雲端防火牆最佳實務
就像實體防火牆一樣，雲端防火牆在其生命週期中也需要一定程度的支援與更新。防火牆最佳實作可能很快就會變成一個令人麻痹的兔子窩，有很多要做的事，也有很多不要做的事，因此這裡快速列出最重要的零信任最佳實作。
不要只依賴預先設定的規則
目前大多數防火牆在出貨時都已預先設定規則集，涵蓋最常見的網路型攻擊。但是，這些並非針對您的組織 - 您網路的特定輪廓需要自己的防火牆政策。例如，如果企業不使用 LinuxConf 配置程式，就應該透過防火牆禁止所有對 98 連接埠的存取。另一方面，考慮只允許存取企業團隊實際需要的特定程式連接埠。
維持穩固的政策文件基礎
無論何時變更您的雲端防火牆規則，都應相應編輯每項規則的相關文件。每位安全團隊成員都應該知道這些文件的位置，以及圍繞每個文件的變更程序。
審核防火牆的效能
偵測防火牆的弱點需要定期檢閱其組態：這最好透過五重測試或滲透測試來進行，分析防火牆在攻擊條件下的彈性。這是評估防火牆配置是否完善的最明確方法之一 - 只要五測者提供防火牆回應的完整報告。
Check Point Cloud Firewall
Check Point Cloud Firewall is a cloud-based next-generation firewall that goes beyond simple packet analysis, to deliver advanced threat prevention, hyper-scale networking, and streamlined management in a single solution. SandBlast technology offers cutting-edge defense against both known and unknown threats by employing an evasion-resistant sandbox to analyze suspicious files in a secure environment, identifying and blocking zero-day attacks before they infiltrate the network. Complementing this, Check Point Cloud Firewall threat extraction is able to remove malicious content from documents in real-time, delivering sanitized files instantly to users without delaying workflows, ensuring both security and efficiency.
所有這些都是透過單一的統一管理系統來控制，透過集中的可視性和控制來進一步簡化作業。這可確保在內部部署、私人與公共雲端，以及遠端環境中都能一致地執行政策。透過示範探索儀表板和防火牆的功能。
選擇正確的防火牆看似是一個令人望而生畏的前景：這就是為什麼我們編寫了一份次世代防火牆購買指南，深入介紹現代防火牆的具體功能和實際使用效果。
