安全问题一直是IT的关注重点。为了确保IT系统的安全，数据中心一般需要部署各种安全产品，包括防火墙、IPS、WAF等等，这些产品虽然能起到一定作用，但不足也显而易见：大部分安全产品和设备都是面向传统IT环境的，并不能很好地适应以虚拟化为主的云环境；其次，这些产品以硬件产品为主，成本高还不够灵活。日前，VMware对外发布了一个新的安全产品：服务定义防火墙。这是一款面向云环境的原生的防火墙，以软件形式部署，可以给虚拟化环境带来主动的安全防护，引起了安全行业的关注。

VMware推出的服务定义防火墙依托VMware的两个产品NSX Data Center和AppDefense实现。其中，NSX是VMware的网络虚拟化产品，它与vSphere、vSAN一起被称为VMware软件定义数据中心的三大支柱。NSX很早就集成了微分段功能，可以通过分区为云环境提供颗粒度更细的安全分区，从而提高隔离性和安全性。新推出的服务定义防火墙在此功能上进行了升级。它借助VMware另一款安全产品AppDefense来功能定义新的安全规则，为应用提供安全防护。

AppDefense是VMware的一个安全服务，以SaaS服务形式交付。它的一大创新在于，不同于大部分安全产品主要依赖预先识别和定义的特征来识别病毒和各种异常行为，而是利用人工智能来学习应用的正常行为，从而对系统异常行为进行识别和报警。

VMware对这款防火墙新品给出的描述是：凭借业经验证的VMware NSX Data Center及VMware AppDefense功能，VMware 服务定义防火墙将前所未有的应用程序可见性、对应用程序的已知良好行为的识别与智能、自动化和自适应防火墙功能相结合，帮助更好地保护应用程序、数据和用户。

VMware大中华区高级产品经理傅纯一

“VMware新推出的服务定义防火墙的核心思想是，先定义出要保护的应用或服务其正常的工作行为应该是什么样的，此后一旦发现应用的行为和正常的行为有偏差，就意味着这可能是恶意攻击，从而促发一系列的动作，比如说挂起该服务或者报警给管理人员等待处理。”VMware大中华区高级产品经理傅纯一表示。

傅纯一解释说，这个解决方案的核心就是AppDefense和NSX Data Center。AppDefense能够对虚机、应用的行为进行分析。它在保护这个虚机之前会先要利用一段时间（比如一到两周），学习这个虚机的正常行为，学习结束之后才可以进入保护模式。而NSX Data Center可以对每一个虚机提供一个定制的防火墙，这是一个软件实现的防火墙，成本比硬件防火墙低得多。

“和传统防火墙被动防护不同，服务定义防火墙可以识别新的攻击手段。只要是异常行为 AppDefense就可以识别出来，AppDefense把识别出来的可疑结果告诉NSX Data Center防火墙，防火墙就可以自动生成规则，把这种可疑的访问行为隔离在虚机外面，起到保护虚机的作用。”傅纯一说。

据介绍，与传统防火墙相比，VMware新推出的服务定义防火墙有三大特点。第一，它是系统原生的或者说系统固有的，它能与Hypervisor集成，从而最大程度地联动。第二，配合服务定义防火墙的推出，VMware还推出了一个应用程序验证云，AppDefense把机器学习后的各种应用行为模式汇总在云端，从而提高行为异常检测的准确性；第三，它是用软件的方式来实现的，从而提供更高的性价比。

傅纯一表示，系统原生的防火墙与非原生的防火墙相比，具有很多优势。比如，AppDefense是vSphere里面的一个模块，运行在Hypervisor中，而Hypervisor的安全性更高，很难被攻击，AppDefense运行在Hypervisor里受攻击的可能性就比较小。而另一方面，AppDefense能通过Hypervisor了解虚机正常的运行状况：虚机里面跑什么操作系统，上面跑了什么应用等，因此拥有深度的应用体系可见性。另外，应用验证云收集了全球众多客户的相关应用运行知识，来对每一个客户的环境提供指导，让AppDefense的判断更加精准，防止各种误判和漏判。最后，软件实现的防火墙能保证在各个环境中安全策略的一致性，不管是部署在私有云还是公有云中，都可以自动化地完成部署。