什么是统一威胁管理（UTM）？

统一威胁管理（UTM）是一种信息安全系统，提供单一防护点以应对网络威胁，包括病毒、蠕虫、间谍软件和其他恶意软件，以及网络攻击。它统一了网络安全、性能、管理和合规能力，使管理员能够通过一个系统管理网络安全。

与防病毒工具不同，UTM系统不仅保护PC和服务器免受高级威胁（如网络钓鱼攻击），还扫描所有网络流量，过滤潜在危险内容并阻止入侵，以保护整个网络及单个用户免受网络安全威胁。它们还收集实时威胁情报数据，并执行深度包检查等安全功能，以识别潜在漏洞。

许多中小型企业使用基于云的UTM安全产品和服务，通过一个系统处理安全威胁管理，而不是多个较小的系统。

谁使用UTM系统？

在安全运营中心或类似设施中运营的网络安全团队是主要的UTM用户。首席信息安全官、首席技术官和首席信息官使用UTM系统性能报告来了解网络威胁的管理情况。其他C级领导也可能使用这些报告，尤其是在威胁公司运营的情况下。

UTM的工作原理

UTM解决方案将多个安全功能组合到一个设备或软件程序中，并配备中央管理控制台。UTM产品提供对主要威胁的防护，如恶意软件、网络钓鱼、社会工程、病毒、蠕虫、特洛伊木马、勒索软件、黑客和拒绝服务（DoS）攻击。了解威胁并识别组织网络的弱点对安全至关重要。UTM系统使用两种检查方法来实现这一点：

• 基于流的检查：也称为基于流的检查，它采样进入网络安全设备（如防火墙或入侵防御系统（IPS））的数据。这些设备检查数据是否存在恶意活动，如病毒、入侵和其他黑客攻击尝试。
• 基于代理的检查：这是一种网络安全技术，用于检查进出网络安全设备（如防火墙、IPS或虚拟专用网络（VPN）服务器）的数据包内容。通过使用代理服务器检查这些数据包，网络安全设备可以充当代理，重建进入设备的内容。

UTM系统与防火墙配对，保护私有网络免受外部威胁。

UTM系统的优缺点

UTM系统让网络安全团队在一个系统中满足其关键安全诊断需求，而不是使用多个工具。正确配置的本地或基于云的UTM系统提供了抵御网络攻击的第一道防线。它们灵活且适应各种安全场景，使用它们的组织可以节省资金，因为它们可以消除多个产品和服务。

相反，UTM系统的主要属性——一个系统处理所有网络安全任务——也使它们成为单点故障。使用单个中央处理单元的本地UTM系统可能会因过多的并发活动而过载，导致崩溃或性能问题。基于云的UTM系统提供了解决这一潜在问题的方法。

UTM设备

UTM设备是硬件或软件，将各种网络安全功能组合到一个简单、易于管理的设备中。除了防火墙、VPN和IPS外，UTM安全设备还支持基于网络或云的集中管理。例如，Cisco Meraki设备使用基于云的管理工具，可以按设备远程部署。

UTM功能

UTM通常包括多种安全功能和威胁防护能力：

• 反垃圾邮件服务：此类服务与垃圾邮件过滤器一起扫描进出电子邮件流量，寻找可能的攻击迹象，然后阻止或标记传入攻击。算法扫描消息内容以查找与垃圾邮件相关的模式。一些系统查找特定单词，其他系统查找特定语言模式，还有一些系统使用贝叶斯分析查找整个单词模式。如果消息似乎是垃圾邮件或恶意软件，内容会被标记或隔离。
• URL过滤和应用控制：UTM设备可以执行URL过滤和应用控制。通过应用控制，UTM设备将特定应用程序列入允许列表，以便它们连接到互联网，而无需处理垃圾内容过滤或其他安全措施。应用控制通常与UTM设备的防火墙和其他功能结合使用，以保护所有进入企业网络的流量。
• 防火墙：网络防火墙防止未经授权和恶意的用户访问数据或资源，如文件服务器、打印机和Web服务器。防火墙有三种主要类型：包过滤、电路级网关和应用级网关。
• VPN：VPN的作用是在公共网络上的两台计算机之间建立安全连接。这使得同事之间可以安全共享文件、远程访问数据或使用任何其他服务，而无需担心外部方会拦截数据。VPN使用加密保护数据在公共和私有网络之间传输时免受未经授权的访问。它们创建了一个在公共互联网上加密隧道的安全连接。
• 内容过滤：Web内容过滤控制哪些信息可以进入或离开网络，使用各种过滤方法，如按IP地址、端口号或媒体访问控制地址。内容过滤用于网络上阻止不需要的内容，并通过过滤传出数据提供数据丢失防护功能，以防止传输敏感信息。
• IDS和IPS：入侵检测系统（IDS）监控网络以寻找网络攻击迹象，而入侵防御系统（IPS）采取行动阻止攻击并中和恶意流量。IDS旨在检测异常行为，以便进行分析、记录和报告。它不能阻止传入威胁，但可以通知管理员有关入侵情况并记录活动以供后续分析。IPS可以添加到现有的IDS或防火墙中。

对可疑活动的响应能力是IDS和IPS之间的关键区别。

实施UTM系统的提示

在计划安装UTM系统时，在选择UTM产品或服务并准备项目计划之前，有两个关键问题需要考虑：

• 了解网络安全管理系统需求：弄清楚必须解决哪些问题。恶意软件、网络钓鱼和分布式DoS事件和攻击是否在增加？这可能需要在保护方面采取不同的方法。由于合并、收购或裁员而导致公司运营方式的变化也可能需要改变所需的保护量。
• 评估现有系统的性能：花时间考虑是否需要进行更改。如果当前系统或多个系统是本地部署的，基于云的方法是否会更好？

防火墙与UTM

UTM是一个用于网络安全威胁检测、分析和缓解的单一系统，具有各种特定的安全服务。另一方面，防火墙保护网络服务，通常是网络威胁的第一个接触点。防火墙是基于硬件或软件的安全技术，监控传入和传出的网络流量，并限制对私有网络的访问。

下一代防火墙（NGFW）是一个网络安全平台，提供内部和外部网络之间的网关。UTM系统和NGFW服务于类似的目的，但在一些关键领域有所不同。NGFW最初是为了填补传统防火墙留下的网络安全空白而开发的，包括应用智能、IPS和DoS保护。

与NGFW类似，UTM系统位于外部和内部网络之间，防止网络攻击进入内部网络及其关联的信息系统。UTM系统通常包括NGFW、IDS、IPS、各种过滤器、VPN和其他功能。

UTM指的是单个设备执行NGFW、防火墙和VPN功能的能力。这些UTM系统与NGFW之间的主要区别在于，UTM系统提供比NGFW更多的功能，如IPS和垃圾邮件过滤，并且能够监控和保护内部网络免受入侵者侵害。

UTM的未来

随着网络攻击的频率或影响不太可能下降，UTM系统和其他网络安全技术将继续被需要。人工智能（AI）集成将增强UTM系统的性能和能力。许多供应商和服务提供商已经将AI添加到其产品和服务中。