基于机器学习的新一代防火墙
• 将机器学习 (ML) 嵌入防火墙核心，为基于文件的攻击提供内联无签名攻击预防，同时识别并立即阻止以前从未见过的网络钓鱼尝试。
• 利用基于云的机器学习进程将零延迟签名和指令推送回新一代防火墙。
• 使用行为分析检测物联网 (IoT) 设备并提出策略建议；新一代防火墙上的云交付和原生集成服务。
• 自动化的策略建议可以节省时间并减少人为错误的机会。
通过全面的第 7 层检查随时识别和分类所有端口上的所有应用
• 识别有网络流量的应用，不考虑端口、协议、规避技术或加密(TLS/SSL)。
• 使用应用而非端口作为所有安全启用策略的决策基础：允许、拒绝、计划、检测以及应用流量整形。
• 提供为专有应用创建自定义 App-ID 的能力，或为来自 Palo Alto Networks 的新应用请求 App-ID 开发的能力。
• 识别应用中的所有有效负载数据，例如文件和数据模式，以阻止恶意文件并阻止数据泄露尝试。
• 创建标准和定制的应用使用情况报告，包括软件即服务 (SaaS) 报告，这些报告提供了对您网络上所有已批准和未批准的 SaaS 流量的深入洞见。
• 使用内置的策略优化器，支持将旧的第 4 层规则集安全迁移到基于则集。App-ID 的规则，从而为您提供更安全、更易于管理的规则集。
在任何位置、任何设备上为用户实施安全方案，同时根据用户活动调整策略
• 支持基于用户和组而不仅仅是 IP 地址的可视性、安全策略、报告和取证。
• 轻松地与各种存储库集成以利用用户信息：无线 LAN 控制器、
VPN、目录服务器、SIEM、代理等等。
• 允许在防火墙上定义动态用户组 (DUG) 以执行有时间限制的安全操作，而无需等待更改应用于用户目录。
• 应用一致的策略，而不考虑用户的位置（办公室、住宅、旅行途中等）和设备（iOS 和 Android® 移动设备、macOS® Windows®、Linux 台式机、笔记本电脑；Citrix 和 、Microsoft VDI 以及终端服务器）。
• 防止公司凭据泄露到第三方网站，并通过在网络层为任何应用启用多因素身份验证 (MFA) 来防止重新使用被盗的凭据，而不用进行任何应用更改。
• 提供基于用户行为的动态安全操作，以限制可疑或恶意用户。
防止隐藏在加密流量中的恶意活动
• 检查 TLS/SSL 加密流量（入站和出站）并向其应用策略，包括使用 TLS 1.3 和 HTTP/2 的流量。
• 提供对 TLS 流量的丰富可视性，例如加密流量大小、TLS/SSL
版本、密码组等，无需解密。
• 支持对遗留 TLS 协议、不安全密码和错误配置的证书的使用进行控制，从而减轻风险。
• 有利于解密的轻松部署，并允许您使用内置日志来解决问题，例如证书被锁定的应用。
• 允许基于 URL 类别以及源和目标区域、地址、用户、用户组、设备和端口灵活地启用或禁用解密，以实现隐私和法规上的合规性。
• 允许从防火墙创建已解密流量的副本（即解密镜像），并将其发送到流量收集工具，以用于取证、历史记录或数据丢失预防(DLP)。
提供集中管理和可视性
•在一个统一的用户界面通过 Panorama™ 网络安全管理实现多个分布式Palo Alto Networks 新一代防火墙（不考虑位置或规模）的集中管理、配置和可视性优势。
• 通过 Panorama 用模板和设备组简化配置共享，并随着日志记录需求的增加扩展日志收集。
•使用户能够通过应用命令中心 (ACC) 深入并且全面地了解网络流量和威胁。
使用云交付的安全服务检测和防止**威胁
• 威胁预防—超越传统的入侵防御系统 (IPS)，单次扫描即可阻止所有流量中的全部已知威胁。
• ** URL 过滤—通过业界首个实时 Web 防护引擎和业界领先的效率。网络钓鱼防护，提供**的 Web 防护，同时*大限度地提升运营。
• WildFire®—通过对未知恶意软件的自动检测和预防，确保文件安全，该解决方案由业界领先的基于云的分析和来自 42000 多个客户的众包式情报提供支持。
•DNS 安全—利用机器学习的强大功能实时检测和防止 DNS 上的威胁，并以情报和情境为安全人员提供支持，以制定策略和快速有效地应对威胁。
•IoT 安全—行业*全面的物联网安全解决方案，可在单一平台上
提供基于机器学习的可视性、防御和实施功能。
•企业 DLP—行业首个云交付的企业 DLP，可始终如一地保护所有
网络、云和用户之间的敏感数据。
启用 SD-WAN 功能
• 可轻松采用 SD-WAN，只需在现有防火墙上启用该功能即可。
• 可以安全实施 SD-WAN，其已与我们****的安全技术进行了原生集成。
• 通过*大限度地减少延迟、抖动和丢包，提供出色的*终用户体验。
利用单通道架构提供独特的数据包处理方法
• 在单通道中对所有威胁和内容执行联网、策略查找、应用和解码以及签名匹配。这样，可以明显减少在一台安全设备中执行多种功能所产生的处理开销。
• 通过使用基于流的统一签名匹配，在单通道中扫描流量中的所有签名，避免了引入延迟。
• 启用安全订阅时，可实现一致且可预测的性能。（表1中，“威胁预防吞吐量”是在启用多个订阅的情况下测量的。）
