防火墙：指由软件和硬件设备组合而成，在内部网和外部网之间、局域网和外网之间的保护屏障
- 硬件防火墙是通过硬件和软件的组合来达到隔离内部网络的目的，软件防火墙，是通过纯软件的方式，实现隔离内外部网络的目的
- 稳定性（linux操作系统）
- 主要指标（吞吐量和报文转发率）
- 工作原理
软件防火墙
- 包过滤机制（网络层） --IP伪装
硬件防火墙
- 第四代“状态检测机制”，状态检测是在通讯发起连接时，就检测规则是否允许建立连接，然后在缓存的状态检测表中添加一条记录，以后就不必去检查规则了，只要查看状态检测表就OK了
- 状态检测机制，跟踪的不仅是“数据包”中包含的信息，为了跟踪“数据包”的状态，防火墙还记录有用的信息以帮助识别“数据包”，例如“已有的网络连接，数据的传出请求”等
内网控制
软件防火墙不具备具体化的控制管理，例如“不能禁止QQ、不能很好地防止病毒侵入、不能针对具体的IP和MAC做上网控制”等，其主要的功能在于对外
硬件防火墙在状态检测机制的基础上，开发“应用层”过滤规则，尤其是ARP病毒
- 思科 ASA5555-K8 6.5
- 华为 USG6650 9.75
- 深信服 NGAF-1000-C600 6.9
- 网神 NSG3000-TE35M-Q 15
- 绿盟 NFNX3-G2000H 9.8
- H3C SecPath F5000-AK515 未知
堡垒机：也叫做运维安全审计系统，他的核心功能是4A：
- 身份验证（Authentication）
- 账号管理（Account）
- 授权控制（Authorization）
- 安全审计（Audit）
堡垒机是用来控制那些人可以登录哪些资产（事先防范和事中控制），以及录像记录登录资产后做了什么事情（事后溯源）
开源JumpServer
行云管家，思福迪、帕拉迪、尚思卓越、齐治、极地，绿盟、江南科友，安恒、云安宝、深信服
企业运维管理现状和问题：
- 主机账号管理混乱，密码长期不更换
- 主机管理权限不明确，操作系统自身难以实现权限最小化，从而导致过度授权、操作失误、数据泄漏等一系列安全风险
- 企业使用第三方代维服务意识常态，第三方人员误操作、恶意操作等行为时有发生
- 缺乏有效的操作审计与控制手段，系统无法满足等级保护等法规的要求
- 上云后，云资源和原有资源不在同一个有效的管理体系内，云厂商本身不提供资源的精细化管理
- 公有云资源安全性无法保障
问题：
- 账号密码管理不规范
- 资源授权不清晰
- 上云后运维体系发生变化
- 访问控制不严格
在哪台设备上执行操作 操作是哪一位来执行 正在执行哪些运维操作 执行的操作是否合规
风险： 失误操作导致关键应用服务异常、宕机 违规操作导致敏感信息泄漏、丢失 恶意操作导致线上的敏感数据信息被篡改、破坏 无法有效监控第三方人员的维护操作是否规范与安全
- 缺乏有效的运维审计能力
- 面临法规遵从的压力
行云管家，4核8G 40000
思福迪
帕拉迪
尚思卓越
齐治
极地
绿盟
江南科友
安恒
云安宝
深信服
数据库服务器：24核，128G内存，2*8T SSD