搜索

[12080] 2017-12-02_论如何选购最重要的安全设备：下一代防火墙篇

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2017-12-02_论如何选购最重要的安全设备：下一代防火墙篇 论 如 何 选 购 最 重 要 的 安 全 设 备 ： 下 一 代 防 火 墙 篇 华 数 数 字 电 视 传 媒   F r e e B u f   2 0 1 7 - 1 2 - 0 2 近 年 来 ， 由 于 网 络 安 全 重 要 性 的 提 升 ， 安 全 产 品 市 场 迅 速 成 长 ， 安 全 设 备 琳 琅 满 目 ， 但 防 火 墙 基 本 上 是 必 选 近 年 来 ， 由 于 网 络 安 全 重 要 性 的 提 升 ， 安 全 产 品 市 场 迅 速 成 长 ， 安 全 设 备 琳 琅 满 目 ， 但 防 火 墙 基 本 上 是 必 选 的 ， 是 最 基 础 的 需 求 。 下 一 代 防 火 墙 集 成 了 防 病 毒 的 ， 是 最 基 础 的 需 求 。 下 一 代 防 火 墙 集 成 了 防 病 毒 ( A V ) 、 入 侵 防 御 、 入 侵 防 御 ( I P S )   和 协 议 分 析 和 协 议 分 析 ( D P I ) ， 是 一 种 价 廉 物 美 的 ， 是 一 种 价 廉 物 美 的 解 决 方 案 。 市 场 上 可 提 供 防 火 墙 产 品 的 厂 家 ， 国 内 外 知 名 大 品 牌 就 有 几 十 家 ， 品 质 肯 定 是 良 莠 不 齐 的 ， 今 天 我 解 决 方 案 。 市 场 上 可 提 供 防 火 墙 产 品 的 厂 家 ， 国 内 外 知 名 大 品 牌 就 有 几 十 家 ， 品 质 肯 定 是 良 莠 不 齐 的 ， 今 天 我 们 就 来 讲 讲 如 何 选 购 质 优 价 低 的 好 东 西 。 们 就 来 讲 讲 如 何 选 购 质 优 价 低 的 好 东 西 。 下 一 代 防 火 墙 的 按 照 生 产 厂 商 背 景 分 为 数 通 厂 商 和 安 全 厂 商 ， 数 通 厂 商 代 表 有 华 为 、 C i s c o 、 H 3 C   、 山 石 、 J u n i p e r 、 迪 普 等 ， 安 全 厂 商 有 绿 盟 、 启 明 / 网 御 、 安 恒 、 天 融 信 、 深 信 服 、 3 6 0   网 神 等 。 按 照 架 构 分 ， 主 要 有 多 核 和 X 8 6 两 个 大 类 ， 有 些 厂 商 会 宣 称 自 己 的 产 品 用 了 一 些 神 奇 的 技 术 ， 归 根 结 底 也 是 跑 不 出 这 两 种 架 构 的 ， 架 构 本 身 其 实 也 没 有 好 坏 之 分 ， 下 面 我 们 的 评 测 方 法 只 看 效 果 ， 不 管 使 用 何 种 技 术 ， 也 不 论 是 国 产 进 口 ， 更 不 管 是 哪 家 生 产 的 。 如 何 评 价 防 火 墙 的 效 果 ？ 其 实 一 点 都 不 难 ， 既 然 是 下 一 代 防 火 墙 ， A C L 肯 定 都 有 的 ， 咱 们 就 不 比 了 ， 直 接 考 察 病 毒 检 出 率 、 入 侵 防 御 成 功 率 和 协 议 检 查 率 就 可 以 了 。 但 是 ， 这 里 要 注 意 ， 有 句 话 说 得 好 ， 抛 开 剂 量 谈 毒 性 都 是 耍 流 氓 ， 防 火 墙 只 有 达 到 了 必 要 的 吞 吐 量 ， 再 比 较 这 些 指 标 才 有 意 义 ， 吞 吐 量 上 不 去 ， 防 火 墙 真 的 成 了 墙 ， 正 常 流 量 都 过 不 去 ， 还 谈 什 么 安 全 。 所 有 防 火 墙 厂 商 都 会 标 称 一 个 网 络 层 性 能 ， 比 如 整 机 1 0 G 吞 吐 ， 这 说 的 是 所 有 端 口 的 进 入 这 个 防 火 墙 加 起 来 的 流 量 可 以 达 到 1 0 G b p s   ， 注 意 ， 这 一 定 是 没 有 开 A V 、 D P I 、 I P S   这 三 个 功 能 的 ， 甚 至 没 有 加 载   A C L ， 相 当 于 手 机 的 待 机 时 间 ， 测 量 时 不 得 使 用 的 。 同 时 开 启 了 A V 、 D P I   、 I P S   这 三 个 功 能 的 ， 称 为 应 用 层 性 能 ， 测 试 出 来 大 概 也 就 是 网 络 层 性 能 的 1 0 % ， 好 的 厂 商 大 概 在 2 0 %   ， 差 的 不 到 5 %   ， 水 份 极 大 。 这 就 好 比 待 机 时 间 2 0 0 小 时 的 手 机 ， 一 旦 打 电 话 玩 游 戏 ， 2   小 时 就 没 电 了 。 既 然 我 们 的 防 火 墙 是 买 了 用 的 ， 不 是 摆 着 看 的 ， 应 当 直 接 忽 略 网 络 层 性 能 ， 我 们 这 次 测 试 ， 实 际 上 最 重 要 的 工 作 就 是 帮 这 些 厂 商 挤 挤 水 份 ， 测 出 真 正 的 应 用 层 性 能 。 言 归 正 传 ， 我 司 作 为 国 内 一 家 科 技 水 平 和 网 络 安 全 水 平 处 于 行 业 领 导 地 位 的 大 厂 ， 组 织 了 一 场 防 火 墙 选 型 测 试 ， 报 名 厂 商 踏 破 门 槛 啊 。 首 先 我 们 租 来 一 台 思 博 伦 C 1 0 0 ， 其 实 是 最 低 端 的 测 试 仪 表 ， 只 能 打 1 0 G   流 量 ， 但 是 对 付 那 些 防 火 墙 厂 商 绰 绰 有 余 ， 把 其 中 一 个 厂 商 的 最 高 端 的 防 火 墙 打 到 瘫 痪 ( 这 是 后 话 了 ) …   然 后 ， 很 重 要 ， 我 们 有 工 程 师 会 操 作 这 个 C 1 0 0   设 备 噢 ， 很 少 有 甲 方 工 程 师 会 操 作 这 个 东 西 的 ， 甚 至 这 样 的 第 三 方 公 司 都 很 少 。 插 入 普 及 一 个 科 学 小 知 识 ， 吞 吐 量 = 包 转 发 性 能 + 包 长 ， 背 景 流 ， 也 就 是 我 们 模 拟 的 正 常 流 量 ， 我 们 会 采 用 一 个 最 接 近 日 常 流 量 的   i M i x 包 。
下 面 来 谈 谈 测 试 过 程 中 和 厂 商 斗 智 斗 勇 的 故 事 。 第 一 回 合 ， 更 换 特 征 库 第 一 回 合 ， 更 换 特 征 库 开 工 ， 要 求 厂 商 把 设 备 怼 上 去 ， A V 、 D P I 、 I P S   全 开 ， 开 炮 ， 直 接 就 挂 了 ， 丢 包 率 3 5 % 。 厂 商 销 售 马 上 跟 你 沟 通 ， 表 示 设 备 没 有 调 试 好 ， 工 程 师 要 调 一 调 ， 请 给 个 机 会 。 没 办 法 ， 平 时 大 家 关 系 都 挺 好 ， 调 一 调 吧 。 这 时 厂 家 工 程 师 从 容 的 从 口 袋 里 掏 出 了 一 个 I P S 与 A V 的 小 规 则 库 ， 那 么 这 样 就 可 以 做 到 既 打 开 了 各 种 防 火 墙 功 能 ， 不 用 过 度 占 用 防 火 墙 资 源 。 然 后 请 求 再 测 ， 好 ， 再 测 通 过 测 试 ， 表 现 完 美 。 但 是 这 招 t o o   y o u n g ， t o o   s i m p l e ， 我 们 甲 方 测 试 人 员 也 不 是 傻 子 啊 ， 再 测 一 遍 I P S   和 A V 检 出 率 ， 从 原 来 的 9 0 % 多 变 成 了 2 0 %   多 ， 小 规 则 库 肯 定 是 不 行 的 。 我 们 的 攻 击 库 其 实 是   2 0 1 5 年 的 ， 这 样 的 老 库 你 都 搞 不 定 ， 那 可 只 能 呵 呵 了 。 第 二 回 合 ， 阻 断 目 的 地 址 第 二 回 合 ， 阻 断 目 的 地 址
销 售 又 出 现 了 ， 说 刚 才 工 程 师 不 小 心 把 规 则 库 灌 错 了 ， 再 给 他 们 一 次 机 会 吧 。 好 吧 好 吧 ， 谁 让 咱 之 前 吃 过 你 的 饭 呢 ， 再 来 。 这 里 插 个 小 知 识 ， 我 们 在 测 试 A V / I P S 检 出 率 时 ， 是 通 过 发 送 病 毒 报 文 以 及 攻 击 报 文 通 过 防 火 墙 ， 看 看 防 火 墙 阻 断 几 个 ， 然 后 计 算 阻 断 率 。 我 们 一 般 把 正 常 包 的 目 的 地 址 和 攻 击 包 分 开 ， 这 样 比 较 好 计 算 ， 这 就 给 了 厂 商 工 程 师 可 趁 之 机 。 厂 商 工 程 师 对 防 火 墙 一 阵 摆 弄 ， 偷 偷 通 过 防 火 墙 端 口 抓 包 查 看 测 试 仪 表 的 攻 击 目 标 I P ， 从 而 在 防 火 墙 内 添 加 一 条 A C L — — 但 凡 想 去 目 标   I P 的 数 据 包 全 都 实 施 阻 断 ， 这 样 在 检 测 I P S ， A V 的 时 候 就 可 以 大 大 降 低 防 火 墙 的 性 能 消 耗 ， 同 时 也 提 高 了   I P S 与 A V 的 检 出 率 ， 销 售 口 中 的 高 性 能 也 就 得 到 了 “ 实 现   ”   。 调 试 好 了 ， 请 我 们 测 试 ， 第 一 次 ， I P S 检 出 率 ( 绿 圈 )   为 9 9 . 9 5 % ， 完 美 啊 ， 怎 么 这 么 牛 B ， 这 么 好 的 入 侵 防 御 我 没 见 过 呢 。 那 么 ， 我 们 试 试 把 背 景 流 量 打 2 5 % 给 那 个 收 病 毒 的 目 标 地 址 ， w h a t ？   正 常 包 ( 黄 圈 ) 也 几 乎 全 部 被 阻 断 了 … 来 来 来 ， 这 位 销 售 我 们 谈 一 谈 ， 公 然 作 弊 啊 ， 主 动 退 场 吧 。 第 三 回 合 ， 阻 断 目 标 端 口 第 三 回 合 ， 阻 断 目 标 端 口 I P S / A V 攻 击 总 是 要 基 于 T C P / U D P 的 一 些 端 口 进 行 攻 击 ， 通 常 我 们 在 进 行 病 毒 攻 击 时 ， 通 过 s m t p 协 议 发 送 病 毒 ， 就 会 用 到   2 5 端 口 ， 有 一 家 厂 商 工 程 师 在 发 现 这 一 情 况 以 后 ， 在 I P S 规 则 库 中 增 加 一 条 规 则 — — 只 要 是 通 过   2 5 端 口 发 送 的 数 据 包 全 阻 断 。 这 一 招 与 上 一 招 阻 断 目 标 地 址 基 本 是 相 同 的 ， 都 为 了 降 低 防 火 墙 的 性 能 消 耗 ， 并 提 高 检 出 率 ， 可 以 说 是 上 一 招 的 进 化 版 。 对 于 这 一 招 术 ， 我 们 应 该 怎 么 防 范 呢 ？ 当 你 怀 疑 厂 家 的 指 标 造 假 时 （ 如 检 出 率 过 高 达 到 1 0 0 % ） ， 可 以 偷 偷 的 将 病 毒 报 文 通 过 别 的 端 口 来 发 送 ， 在 仪 表 上 换 端 口 是 很 方 便 的 ， 如 果 厂 商 工 程 师 用 了 这 一 招 ， 你 就 会 发 现 ， 相 同 的 病 毒 包 ， 在 换 端 口 前 与 换 端 口 后 ， 从 9 3 %   暴 降 到 1 8 . 9 % ， 如 下 图 ： 调 整 前 调 整 前
调 整 后 调 整 后 好 吧 ， 又 一 个 厂 商 表 示 主 动 退 场 ， 不 要 追 求 他 们 的 作 弊 行 为 。 第 四 回 合 ， 阻 断 攻 击 协 议 第 四 回 合 ， 阻 断 攻 击 协 议 又 一 个 厂 商 登 场 了 ， 我 都 开 始 怀 疑 这 些 厂 商 其 实 私 下 是 串 通 的 ， 这 个 厂 商 居 然 通 过 阻 断 协 议 来 提 高 检 出 率 。 刚 才 我 们 提 到 ， 在 检 测 A V 检 出 率 时 ， 我 们 采 用 邮 件 发 送 的 方 式 ， 将 病 毒 发 送 给 防 火 墙 检 测 。 该 端 口 被 抓 后 ， 这 个 厂 商 居 然 直 接 在 D P I 上 ， 将 带 有 邮 件 特 征 值 的 数 据 包 直 接 归 类 为 病 毒 的 一 类 ， 这 就 厉 害 了 ， 病 毒 只 要 是 通 过 邮 件 发 送 就 会 被 防 火 墙 阻 断 下 来 。 检 出 效 果 好 ， 还 不 容 易 被 发 现 。 开 始 我 们 都 被 蒙 过 去 了 ， 直 到 后 来 我 们 发 现 ， 由 于 加 了 这 个 配 置 ， 他 们 在 测 D P I 时 就 不 能 正 确 识 别 S M T P   协 议 了 ， 我 们 就 在 想 ， 这 个 协 议 怎 么 会 不 认 识 呢 ， 然 后 就 抱 着 试 试 看 的 心 态 ， 打 了 一 串 正 常 邮 件 包 过 去 ， 然 后 也 被 阻 断 了 ， b i n g o ， 销 售 快 来 ， 作 弊 抓 现 行 了 。 整 个 测 试 过 程 ， 真 的 是 斗 智 斗 勇 的 过 程 。 你 可 能 会 说 ， 要 求 厂 商 初 始 配 置 好 ， 然 后 就 不 能 触 碰 设 备 ， 那 样 就 能 防 止 作 弊 。 但 实 际 测 试 环 境 中 ， 虽 然 甲 方 时 刻 在 现 场 监 督 ， 但 由 于 场 地 和 时 间 的 限 制 ， 很 多 案 例 都 是 一 边 配 置 一 边 测 试 的 ， 有 的 厂 商 甚 至 留 个 3 G m i f i   在 管 理 口 远 程 偷 偷 配 置 ， 都 是 很 难 预 防 的 。 再 则 ， 销 售 们 平 时 关 系 都 不 错 ， 求 求 你 给 个 机 会 ， 也 抹 不 下 脸 的 。 在 工 程 师 被 抓 到 作 弊 后 ， 大 部 分 销 售 都 会 态 度 诚 恳 来 认 错 ， 希 望 不 要 曝 光 ， 也 有 销 售 居 然 厚 着 脸 皮 说 ， 这 是 我 司 的 企 业 文 化 啊 …   天 哪 ， 居 然 还 有 这 么 不 要 脸 的 公 司 。 作 为 甲 方 的 安 全 负 责 人 ， 我 今 天 写 这 篇 文 章 呢 ， 其 实 主 要 还 是 希 望 给 各 位 同 行 一 点 警 示 ， 各 位 安 全 岗 位 工 作 者 在 日 夜 防 备 黑 客 攻 击 的 同 时 ， 还 要 小 心 一 些 黑 心 销 售 的 夸 夸 其 谈 。 由 于 大 部 分 甲 方 安 全 从 业 人 员 没 有 能 力 做 防 火 墙 的 验 证 测 试 ， 无 法 靠 实 力 去 伪 存 真 ， 现 在 安 全 厂 商 可 谓 鱼 龙 混 杂 ， 包 括 一 些 知 名 厂 商 ， 也 是 “ 人 有 多 大 胆 ， 地 有 多 大 产 ” ， 靠 着 吹 牛 卖 产 品 ， 虚 标 性 能 已 成 惯 例 。 结 论 ： 结 论 ： 我 们 整 体 测 试 下 来 ， 发 现 除 个 别 厂 商 比 较 差 ， 无 论 如 何 其 I P S 检 出 率 都 低 于 4 0 % ， 大 部 分 厂 商 的 商 用 I P S / A V   库 的 检 出 率 在 7 5 - 8 0 % ， 保 持 这 个 检 出 率 水 平 ， 我 们 将 设 备 性 能 拉 平 ， 然 后 各 家 再 投 标 ， 数 通 厂 商 的 价 格 不 到 安 全 厂 商 的 一 半 。 下 一 代 防 火 墙 这 个 产 品 ， 数 通 厂 商 完 胜 。 *   本 文 作 者 ： 华 数 集 团 安 全 管 理 部 叶 翔 、 徐 彬 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理