墙规则过滤通信流。可为每个网络接口配置不同的策略。
? 覆盖所有基于 IP 的协议：通过支持全数据包捕获简化了故障排除，并且可提供宝贵的分析见解，有助于了解增加的防火墙事件 – TCP、UDP、ICMP 等。
? 侦察检测：检测端口扫描等活动。还可限制非 IP 通信流，如 ARP 通信流。
? 灵活的控制：状态型防火墙较为灵活，可在适当时以一种受控制的方式完全绕过检查。它可解决任何网络上都会遇到的通信流特征不明确的问题，此问题可能出于正常情况，也可能是攻击的一部分。
? 预定义的防火墙配置文件：对常见企业服务器类型（包括 Web、LDAP、DHCP、FTP 和数据库）进行分组，确保即使在大型复杂的网络中也可快速、轻松、一致地部署防火墙策略。
? 可操作的报告：通过详细的日志记录、警报、仪表板和灵活的报告，Deep Security 防火墙软件模块可捕获和跟踪配置更改（如策略更改内容及更改者），从而提供详细的审计记录。
1.1.1.2.6 完整性监控
监控未授权的、意外的或可疑的更改
Deep Security 完整性监控软件模块可监控关键的操作系统和应用程序文件（如目录、注册表项和值），以检测可疑行为。其功能如下：
? 按需或预定检测：可预定或按需执行完整性扫描。
? 广泛的文件属性检查：使用开箱即用的完整性规则可对文件和目录针对多方面的更改进行监控，包括：内容、属性（如所有者、权限和大小）以及日期与时间戳。还可监控对 Windows 注册表键值、访问控制列表以及日志文件进行的添加、修改或删除操作，并提供警报。此功能适用于 PCI DSS 10.5.5 要求。
? 可审计的报告：完整性监控模块可显示 Deep Security 管理器仪表板中的完整性事件、生成警报并提供可审计的报告。该模块还可通过 Syslog 将事件转发到安全信息和事件管理 (SIEM) 系统。
? 安全配置文件分组：可为各组或单个服务器配置完整性监控规则，以简化
监控规则集的部署和管理。
? 基准设置：可创建基准安全配置文件用于比较更改，以便发出警报并确定相应的操作。
? 灵活实用的监控：完整性监控模块提供了灵活性和控制性，可针对您的独特环境优化监控活动。这包括在扫描参数中包含/排除文件或通配符文件名以及包含/排除子目录的功能。此外，还可根据独特的要求灵活创建自定义规则。
1.1.1.2.7 日志审计
查找日志文件中隐藏的重要安全事件并了解相关信息
使用 Deep Security 日志审计软件模块可收集并分析操作系统和应用程序日志，以查找安全事件。日志审计规则优化了对多个日志条目中隐藏的重要安全事件进行识别的能力。这些事件随后会转发到一个 SIEM 系统或集中式的日志记录服务器，以便进行关联、报告和存档。Deep Security 代理还会将事件信息转发到 Deep Security 管理器。日志审计模块的部分优势如下：
? 可疑行为检测：该模块可检测服务器上可能发生的可疑行为。
? 收集您的整个环境中的事件：Deep Security 日志审计模块能够收集许多事件并将其关联起来，这些事件包括：Microsoft Windows、Linux 和 Solaris 平台间的事件；来自 Web 服务器、邮件服务器、SSHD、Samba、Microsoft FTP 等的应用程序事件；自定义应用程序日志事件。
? 关联不同事件：收集各种警告、错误和信息事件并将其关联起来，包括系统消息（如磁盘已满、通信错误、服务事件、关机和系统更新）、应用程序事件（如帐户登录/注销/故障/锁定、应用程序错误和通信错误）、管理员操作（如管理员登录/注销/故障/锁定、策略更改和帐户更改）。
? 有关合规性的可审计报告：可生成安全事件的完整审计记录，以帮助满足合规性要求，如 PCI 10.6。
1.1.1.3 产品原理及架构
Deep Security 解决方案架构包含三个组件：
? Deep Security 代理，部署在受保护的服务器或虚拟机上。
? Deep Security 管理器，提供集中式策略管理、发布安全更新并通过警报和报告进行监控。
? 安全中心，是一种托管门户，专业漏洞研究团队针对新出现的威胁通过该门户开发规则更新，然后由 Deep Security 管理器定期发布这些更新。
Deep Security 1.1.1.3.1 工作原理
Deep Security 代理接收来自 Deep Security 管理器的安全配置，通常是一个安全配置文件。该安全配置包含对服务器强制执行的深度数据包检查、防火墙、完整性监控及日志审计
IT 基础架构安全配物理服虚拟服云计算 规则。只需通过执行建议的扫描即可确定对服务器分配哪些规则，此过程将扫描服务器上已安装的软件并建议需要采用哪些规则保护服务器。对
置 配Deep 报警安全Security 安全中所有规则监控活动都创建事件，随后这些事件将
发送到 Deep Security 管理器，或者同时也发送到 SIEM 系统。Deep Security 代理和 Deep Security 管理器之间的所有通信都受到相互验证的 SSL 所保护。
Deep Security 管理器对安全中心发出轮询，以确定是否存在新的安全更新。存在新的更新时，Deep Security 管理器将获取该更新，然后便可通过手动或自动方式将该更新应用于需要其额外保护的服务器。Deep Security 管理器和安全中心之间的通信也受到相互验证的 SSL 所保护。Deep Security 管理器还连接到 IT 基础架构的其他元素，以简化管理。Deep Security 管理器可连接到 VMware vCenter，也可连接到 Microsoft Active Directory 等目录，以获取服务器配置和分组信息。Deep Security 管理器还拥有 Web 服务 API，可用于程式化地访问功能。
安全中心对漏洞信息的公共和私有源都进行监控，以保护客户正在使用的操作系统和应用程序。
1.1.1.3.2 Deep Security 管理器
Deep Security 解决方案提供实用且经过验证的控制，可解决棘手的安全问题。有关操作且具有可行性的安全不仅让您的组织获知安全事件，还可帮助了解安全事件。在许多情况下，这种安全就是提供有关事件发起者、内容、时间和位置的信息，以便组织可以正确理解事件然后执行相应操作，而不仅仅是告诉组织安全控制本身执行了什么操作。Deep Security 管理器软件满足了安全和操作双重要求，其功能如下：
? 集中式的、基于 Web 的管理系统：通过一种熟悉的、资源管理器风格的用户界面创建和管理安全策略，并跟踪记录威胁以及为响应威胁而采取的预防措施。
? 详细报告：内容详尽的详细报告记录了未遂的攻击，并提供有关安全配置和更改的可审计历史记录。
? 建议扫描：识别服务器和虚拟机上运行的应用程序，并建议对这些系统应用哪些过滤器，从而确保提供事半功倍的正确防护。
? 风险排名：可根据资产价值和漏洞信息查看安全事件。
? 基于角色的访问：可使多个管理员（每个管理员具有不同级别的权限）对系统的不同方面进行操作并根据各自的角色接收相应的信息。
? 可自定义的仪表板：使管理员能够浏览和追溯至特定信息，并监控威胁及采取的预防措施。可创建和保存多个个性化视图。
? 预定任务：可预定常规任务（如报告、更新、备份和目录同步）以便自动完成。
1.1.1.3.3 Deep Security 代理
Deep Security 代理是Deep Security 解决方案中的一个基于服务器的软件组件，实现了IDS/IPS、Web 应用程序防护、应用程序控制、防火墙、完整性监控以及日志审计。它可通过监控出入通信流中是否存在协议偏离、发出攻击信号的内容或违反策略的情况，对服务器或虚拟机实行防御。必要时，Deep Security 代理会通过阻止恶意通信流介入威胁并使之无效。
1.1.1.4 安全中心
安全中心是 Deep Security 解决方案中不可或缺的一部分。它包含一支由安全专家组成的动态团队，这些专家在发现各种新的漏洞和威胁时便提供及时快速的响应，从而帮助客户对最新威胁做到防患于未然；同时，安全中心还包含一个用于访问安全更新和信息的客户门户。安全中心专家采用一套由复杂的自动化工具所支持的严格的六步快速响应流程：
? 监控：对超过 100 个公共、私有和政府数据源进行系统化的持续监控，以识别新的相关威胁和漏洞，并将其关联起来。安全中心研究人员利用与不同组织的关系，获取有关漏洞的早期（有时是预发布）信息，从而向客户提供及时、准确的防护。这些来源包括 Microsoft、Oracle 及其他供应商顾问、SANS、CERT、Bugtraq、VulnWatch、PacketStorm 以及 Securiteam。
? 确定优先级：然后根据客户风险评估及服务等级协议确定漏洞的优先级，以作进一步分析。
? 分析：对漏洞执行深入分析，确定需要采取的必要防护措施。
? 开发和测试：然后开发出可对漏洞实行防护的软件过滤器以及可推荐过滤器的规则，并进行广泛的测试，以便最大限度地降低误测率，并确保客户能够快速、顺利地部署这些过滤器和规则。
? 交付：将新过滤器作为安全更新交付给客户。当新的安全更新发布时，客户将通过 Deep Security 管理器中的警报立即收到通知。然后就可以将这些过滤器自动或手动应用于相应的服务器。
? 通信：通过可提供有关新发现安全漏洞的详细描述的安全顾问，可实现与客户之间的持续通信。
1.1.1.4.1.1 主动研究进一步增强防护
此外，安全中心团队还执行持续不断的研究，以改进总体防护机制。该项工作受到漏洞和威胁响应过程中发现的结果和趋势的强烈影响。这些结果还影响新过滤器和规则的创建方式，以及现有防护机制的质量，最终改进总体防护。