但以下三个主要问题似乎一直以来都是大家最为关心的问题：
- 能否阻止漏洞：“我们能否阻止下一个重大漏洞影响我们的组织，对此我没有信心。下一次发生大型网络攻击时，我们是否会受到保护？”
- 缺乏可视性：“我不确定我使用的安全工具是否向我呈现了威胁的全貌。我需要了解实际发生的情况。我需要知道整个网络中的潜在威胁。否则，我将无法在主动威胁造成损害之前快速检测和消除它们。”
- 资源有限：“面对持续不断的网络攻击，我的预算、员工和时间都是有限的。我的团队不堪重负。他们只能被动反应，与威胁上演 “打地鼠” 的游戏，而且也跟不上威胁的演变步伐，而不是针对这个问题制定可持续的解决方案。”
防火墙？真的吗？
没错，是真的！
在本系列的三篇文章中，我们将对上述问题进行逐一探讨，并展示作为安全防御核心组件的思科下一代防火墙如何提供解决方案。
让我们先来解决第一个问题——能否阻止漏洞。
如今，面对持续不断的攻击和极受媒体关注的网络安全漏洞，组织担心会出现下一个重大网络安全漏洞。漏洞可能会危及敏感数据，动摇大众对组织品牌的信心，导致网络无法使用、工作效率下降，甚至数百万美元的损失。
思科防火墙如何阻止漏洞，让企业专注于业务发展？
- 切实可行的威胁情报
- 可以阻止威胁的扩散
这一切都要归功于最有效的威胁情报。防火墙充当网络流量的过滤器和网关，但它必须根据现有的规模最大、最稳健、最新的威胁情报来仔细检查网络流量和文件。思科 Talos 为思科防火墙提供威胁情报。思科 Talos 是世界上最大的商业威胁情报团队，由 250 多名世界级的研究人员、分析师和工程师组成。
该团队由无与伦比的遥感勘测和先进系统提供支持，致力于为思科产品（包括防火墙）免费且持续不断地提供准确、快速和切实可行的威胁情报。
- Talos 情报和分析的广度和深度令人震惊。例如：
- Talos 每天拦截大约 2000 亿封恶意邮件，相当于平均每秒拦截约 230 万封邮件。
- Talos 每天检查近 170 亿个 Web 请求
- Talos 通过汇集从产品遥测以及蜜罐、沙盒和恶意软件社区内大量行业合作伙伴那里获取的数据，每天收集并分析超过 150 万个恶意软件样本
- Talos 利用这些数据来制定安全防护措施（以安全规则的形式），为思科客户抵御已知和新型威胁，发现常见软件中的新漏洞，并将威胁扼杀在萌芽状态，以免其危害扩散到互联网。
除发布许多开源研究和分析工具之外，Talos 还负责维护 Snort.org、ClamAV 和 SpamCop 的官方规则集。
内置入侵防御（IPS）
可先发制人阻止攻击
思科下一代防火墙还提供内置的下一代入侵防御 （NGIPS） 功能。NGIPS 不仅能够预防漏洞，还是抵御攻击的第一道防线不可或缺的组成部分。它不仅会查找已知的攻击签名并阻止它们，还会使用广泛的网络协议列表来识别更广泛的攻击并阻止这些攻击。
针对漏洞防御，防火墙能够标注可疑文件，对这些文件进行分析以发现尚未识别的威胁，并修补高优先级漏洞。现在，您无需部署单独的 IPS，它是具有单一管理控制台的思科防火墙解决方案的组成部分。
成效如何？
久经验证，成效卓着
思科防火墙中内置专业来源提供的威胁情报和集成 IPS 功能，通过两者的结合，带来了实实在在的成效。
让我们回忆一下过去几年中曾出现的一些重大漏洞攻击：WannaCry、Nyetya 和 VPNFilter。思科 Talos 将所有这些（及其他）漏洞攻击一网打尽，因此，采用思科防火墙的客户无需执行任何操作即可自动获得保护。
以WannaCry 为例。思科 Talos 采用 Snort 规则的形式制定了安全防护措施，在 WannaCry 对公众实施更大规模攻击大之前两个月即已做好防御准备。
WannaCry 在 2017 年 5 月 12 日的那次攻击后登上了全球新闻头条。思科 NGFW 客户早在 3 月 14 日对此已有所防御。这是因为 WannaCry 利用了之前披露的一些漏洞来入侵系统。
由于 Talos 编写的 IPS 规则可以防止任何试图利用这些漏洞的攻击，思科 NGFW 客户自动受到保护并应用保护措施。在此之后， Talos 调查并阻止了许多其他重大漏洞，所有这些漏洞均已收录在其博客的每周 “威胁综述” （https://blog.talosintelligence.com/） 中。
在下期中，我们将探讨如何利用更出色的网络可视性来帮助您的组织快速发现并检测隐蔽的攻击。毫无疑问，您的防火墙也可以做到。
