传统防火墙的访问控制或者流量管理粒度粗放，只能基于IP/端口号对数据流量进行一刀切式的禁止或允许。深信服下一代防火墙基于庞大的应用和用户识别能力，对数据流量和访问来源进行精细化辨识和分类，使得用户可以轻易从同一个端口协议的数据流量中辨识出任意多种不同的应用，或从无意无序的IP地址中辨识出有意义的用户身份信息，从而针对识别出的应用和用户施加细粒度、有区别的访问控制策略、流量管理策略和安全扫描策略，保障了用户**直接、准确、精细的管理愿望和控制诉求。

例如：允许HTTP网页访问顺利进行，并且保证高访问带宽，广东什么是下一代防火墙费用，但是不允许同样基于HTTP协议的视频流量通过；允许通过QQ进行即时通讯，广东什么是下一代防火墙费用，广东什么是下一代防火墙费用，但是不允许通过QQ传输文件；允许邮件传输，但需要进行防攻击和敏感信息过滤，如发现有攻击入侵或泄密事件马上阻断，等等。

由于web应用系统在开发时并没有完善的安全控制，对上传至web服务器的信息进行检查，从而导致web服务器被植入攻击、木马成为攻击者利用的工具。AF通过严格控制上传文件类型，检查文件头的特征码防止有安全问题的文件上传至服务器。同时还能够结合攻击防护、插件过滤等功能检查上传文件的安全性，以达到保护web服务器安全的目的。

缓冲区溢出攻击是利用缓冲区溢出漏洞所进行的攻击行动。可以利用它执行非授权指令，甚至可以取得系统特权，进而进行各种非法操作。AF通过对URL长度，POST实体长度和HTTP头部内容长度检测来防御此类型的攻击。

实时漏洞分析采用的是旁路检测技术，即将待检测的数据包镜像一份到待检测队列，检测进程对检测的数据包进行扫描检测，对原有数据包的转发不会造成任何性能影响。

实时漏洞分析所使用的漏洞特征库由深信服北京研究中心安全**针对目前较新的软件、系统等漏洞提取特征，形成库并快速的更新到AF设备，保证识别出网络中出现的较新漏洞。

深信服AF通过三个维度实现了策略有效性检测：

Ø   通过监测流量进行发现，判定是否对设备与业务系统之间进行了策略配置实现检测、防御、响应；

Ø   通过策略的对比检查，发现是否存在无效策略、策略重复、策略配置不当等问题；

Ø   通过规则库的版本检测，高危0day预警是否开启等方式判定设备是否具备新威胁的防御能力。

免责声明： 本页面所展现的信息及其他相关推荐信息，均来源于其对应的用户，本网对此不承担任何保证责任。如涉及作品内容、 版权和其他问题，请及时与本网联系，我们将核实后进行删除，本网站对此声明具有最终解释权。