搜索

[15773] 2020-08-25_下下下一代防火墙关键技术漫谈

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2020-08-25_下下下一代防火墙关键技术漫谈 下 下 下 一 代 防 火 墙 关 键 技 术 漫 谈 2 3 d o n g e   F r e e B u f   2 0 2 0 - 0 8 - 2 5 防 火 墙 到 底 几 代 了 ？ 防 火 墙 到 底 几 代 了 ？ S i r i ： “ 抱 歉 ， 很 难 回 答 你 的 问 题 ” 。 防 火 墙 虽 然 是 个 网 络 设 备 ， 但 其 功 能 不 需 要 与 其 他 防 火 墙 之 间 互 联 互 通 ， 所 以 没 有 “ 互 联 ” 标 准 化 的 诞 生 。 防 火 墙 是 在 一 个 L 2 / L 3 网 络 设 备 基 础 上 叠 加 不 同 的 功 能 的 软 件 系 统 ， “ 功 能 ” 的 标 准 化 最 后 只 停 留 在 了 “ 营 销 话 术 ” ， “ 第 三 方 认 证 评 级 ” ， “ 市 场 调 查 机 构 ” ， “ 等 保 国 标 ” 的 手 上 。 但 有 一 点 不 可 否 认 ， 相 对 上 一 代 ， 下 一 代 防 火 墙 其 实 是 “ 下 一 层 ” 防 火 墙 ， 将 对 网 络 流 量 的 认 知 深 入 一 层 。 如 果 说 A C L ， 五 元 祖 的 防 火 墙 规 则 是 第 一 代 ， 那 么 相 当 于 3 层 ， 网 络 层 。 其 下 一 代 ， 状 态 防 火 墙 可 以 认 知 T C P 三 次 握 手 ， 位 于 4 - 5 层 ， 传 输 和 会 话 层 。 再 下 一 代 ， U T M 防 病 毒 等 认 知 到 了 应 用 数 据 ， 位 于 6 - 7 层 ， 应 用 层 。 那 下 下 下 一 代 呢 ， 已 经 超 出 网 络 的 层 次 了 ， 那 么 合 理 的 推 论 就 是 在 ， 在 以 上 几 代 都 检 查 不 出 来 的 情 况 下 ， 认 知 对 用 户 业 务 的 威 胁 。 所 以 下 下 下 一 代 算 是 目 前 看 到 防 火 墙 的 终 极 形 态 了 。 如 何 理 解 针 对 业 务 的 威 胁 ？ 如 何 理 解 针 对 业 务 的 威 胁 ？ 这 个 看 起 来 是 个 玄 学 ， 因 为 这 个 层 面 上 已 经 没 有 了 协 议 的 约 束 ， 所 以 是 道 “ 主 观 题 ” ， 还 是 文 科 的 。 “ 主 观 题 ” 在 市 场 营 销 上 可 谓 随 意 发 挥 ， 各 种 危 机 案 例 ， 骇 人 场 景 ， 人 工 智 能 ， 深 度 学 习 都 上 了 。 但 真 正 的 工 程 角 度 ， 还 是 要 把 文 科 “ 主 观 题 ” 转 化 给 理 科 的 “ 证 明 题 ” 。 如 何 证 明 这 道 题 目 呢 ？ 既 然 我 们 知 道 主 观 因 素 很 多 ， 那 么 人 的 因 素 增 加 大 ， 理 解 业 务 的 深 度 和 广 度 增 大 了 。 我 们 需 要 更 加 深 入 灵 活 的 规 则 更 深 更 广 的 数 据 支 撑 更 全 面 及 时 的 情 报 更 智 能 的 分 析 逻 辑 所 以 最 终 这 题 关 键 考 点 “ 数 据 分 析 ” 。 翻 译 成 “ 人 话 ” 就 是 “ 找 规 律 ， 找 不 同 ” 。 比 如 ： 张 三 总 是 半 夜 访 问 ， 和 正 常 人 不 同 。 李 四 像 个 机 器 人 ， 每 天 都 是 固 定 模 式 读 图 。 工 程 与 技 术 如 何 选 择 ？ 工 程 与 技 术 如 何 选 择 ？ 大 数 据 分 析 ， 机 器 学 习 ， 深 度 学 习 技 术 在 过 去 1 0 年 有 了 一 次 越 迁 ， 技 术 层 出 不 穷 ， 但 落 地 到 安 全 场 景 是 否 合 适 ？ 抛 开 市 场 营 销 不 说 ， 只 谈 干 货 。 安 全 领 域 需 求 是 主 要 分 类 “ 正 常 ” 与 “ 不 正 常 ” 的 问 题 。 深 度 学 习 ： 深 度 学 习 ： 基 于 神 经 网 络 技 术 ， 用 于 自 然 语 言 理 解 ， 图 形 图 像 视 频 识 别 ， 语 音 识 别 场 景 ， 其 都 是 人 的 感 官 模 拟 。
看 过 一 些 论 文 将 网 络 流 特 征 弄 成 图 片 ， 然 后 做 图 像 学 习 ， 感 觉 明 显 画 蛇 添 足 。 虽 然 用 了 深 度 学 习 ， 其 效 果 比 传 统 机 器 学 习 还 差 。 目 前 我 才 疏 学 浅 ， 还 没 认 知 到 基 于 流 量 的 安 全 领 域 使 用 深 度 学 习 的 必 要 场 景 ， 而 且 人 因 素 最 大 ， 算 力 资 源 要 求 也 最 大 。 ( 补 充 :   N P L 可 用 于 U R L 参 数 注 入 分 析 场 景 ) 机 器 学 习 机 器 学 习 / 大 数 据 分 析 ： 大 数 据 分 析 ： 相 比 统 计 规 则 ， 机 器 学 习 相 当 于 在 一 定 公 式 下 进 行 最 优 解 查 找 ， 找 到 最 合 适 的 参 数 。 方 法 也 很 多 。 但 也 都 需 要 “ 训 练 ” 过 程 ， 这 个 过 程 在 防 火 墙 设 备 中 进 行 目 前 还 不 是 很 适 合 ， 因 为 需 要 人 指 导 ， 但 训 练 后 的 模 型 进 行 “ 预 测 ” 完 全 可 以 在 防 火 墙 中 进 行 。 目 前 我 觉 得 决 策 树 及 其 衍 生 模 型 ， 包 括 随 机 森 林 ， G B D T 均 适 用 于 实 时 预 测 ， 可 以 使 用 的 工 程 框 架 如   X G B o o s t   的 C + +   版 本 。 其 可 行 性 论 文 网 上 已 经 有 很 多 。 关 键 技 术 指 标 在 哪 里 ？ 关 键 技 术 指 标 在 哪 里 ？ 首 先 防 火 墙 都 是 以 性 能 指 标 为 参 照 ， 实 现 相 同 功 能 下 以 硬 件 代 价 小 （ 成 本 ） 性 能 高 为 竞 争 力 。 除 了 算 法 的 领 先 ， 需 要 在 架 构 上 领 先 。 无 论 使 用 机 器 学 习 ， 还 是 统 计 规 则 ， 都 要 在 比 过 去 大 几 个 数 量 级 的 数 据 下 提 取 特 征 为 基 础 的 。 也 就 是 “ 数 据 量 ” 与 “ 计 算 速 度 ” 还 有 “ 灵 活 性 ” 的 能 力 要 超 过 上 一 代 。 而 这 三 者 关 系 却 是 互 斥 的 ， 需 要 做 减 法 。 既 然 是 “ 数 据 分 析 ” 是 关 键 ， 我 们 看 看 现 在 有 的 技 术 H a d o o p 生 态 ， 显 然 可 以 处 理 大 数 据 量 ， 但 是 速 度 慢 ， 成 本 高 。 后 起 之 秀   S p a r k   /   F l i n k   解 决 速 度 问 题 ， 但 还 是 基 于 H a d o o p 生 态 ， 是 一 个 通 用 框 架 ， 灵 活 性 上 更 好 ， 性 能 还 是 太 慢 。 而 下 下 下 一 代 防 火 墙 被 限 定 在 一 个 固 定 输 入 的 “ 数 据 分 析 ” 系 统 下 ， 显 然 灵 活 性 可 以 牺 牲 一 些 ， 数 据 量 也 可 以 牺 牲 一 些 ， 但 速 度 绝 对 不 能 妥 协 ， 因 为 防 火 墙 是 嵌 入 在 关 键 路 径 上 的 。 首 先 需 要 一 个 通 用 的 深 度 解 析 引 擎 ， 能 灵 活 将 业 务 字 段 从 流 量 中 提 取 ， 显 然 当 代 防 火 墙 都 已 经 具 备 。 然 后 需 要 一 个 通 用 的 计 算 分 析 引 擎 ， 能 够 缓 存 大 量 的 关 键 数 据 ， 然 后 根 据 规 则 进 行 计 算 。 基 于 状 态 管 理 的 流 计 算 分 析 基 于 状 态 管 理 的 流 计 算 分 析 首 先 这 个 不 是 新 东 西 ， 做 过 状 态 防 火 墙 的 都 知 道 ， 流 表 ( F l o w   S e s s i o n   T a b l e ) 就 是 基 于 流 或 会 话 关 系 的 状 态 管 理 。 从 会 话 产 生 ， 状 态 变 迁 到 结 束 的 过 程 ， 需 要 符 合 一 定 规 律 ， 这 个 规 律 是 网 络 协 议 定 义 的 ， 所 有 的 检 查 都 是 基 于 这 个 状 态 进 行 叠 加 的 。 对 应 到 业 务 风 险 就 是 对 业 务 状 态 的 管 理 ， 一 般 来 说 正 常 人 在 线 完 成 一 个 业 务 的 平 均 值 为 3 0 分 钟 以 内 。 所 以 通 常 这 个 数 据 量 只 需 要 1 个 小 时 即 可 解 决 9 0 % 的 场 景 ， 数 据 量 的 问 题 被 减 掉 了 。 然 后 是 会 话 的 k e y ， 在 业 务 安 全 层 面 上 ， 可 以 使 用 传 统 的 I P ， F l o w I d ， 但 更 需 要 使 用 的 是 A p p I d ， U s e r I d ， D e v i c e I d ， S e s s i o n I d 这 种 业 务 维 度 的 k e y ， 这 是 一 个 开 放 字 段 ， 但 不 会 超 过 1 0 种 ， 需 要 通 用 支 持 ， 也 就 是 从 报 文 任 意 位 置 解 析 出 来 的 字 段 ， 都 可 以 作 为 这 个 状 态 的 k e y 。 业 务 中 也 可 以 同 时 有 很 多 k e y 的 状 态 ， 需 要 进 行 聚 合 （ A G G ） 关 联 （ J O I N ） 或 合 并 （ U N I O N ） 。 第 二 个 不 确 定 就 是 规 律 ， 这 个 业 务 规 律 是 无 法 事 先 定 义 的 ， 没 有 协 议 ， 只 能 事 后 分 析 产 生 ， 所 以 机 器 学 习 和 人 工 分 析
在 这 里 需 要 能 指 导 这 个 规 律 ， 具 体 不 展 开 讲 。 这 个 状 态 管 理 的 计 算 也 就 是 速 度 与 灵 活 性 的 取 舍 ， 比 如 还 是 流 表 状 态 管 理 ， 这 个 显 然 是 针 对 3 层 流 量 定 制 的 状 态 管 理 ， 所 以 速 度 快 。 但 业 务 层 面 没 法 牺 牲 字 段 和 计 算 表 达 的 灵 活 性 了 ， 所 以 这 里 的 功 能 和 一 个 F l i n k   C E P 系 统 相 似 。 （ 已 经 不 少 安 全 公 司 在 云 安 全 上 使 用 了 ） 其 底 层 就 是 一 个 通 用 的 状 态 计 算 决 定 的 ， 这 个 通 用 状 态 可 以 抽 象 定 义 为 摘 抄   S p a r k   中 的 一 段 代 码 ， 看 起 来 就 是 这 么 回 事 ， F l i n k 中 也 是 类 似 的 的 ， 所 有 大 数 据 流 计 算 都 相 似 ， 但 速 度 一 定 不 会 快 了 ， 但 有 一 些 场 景 我 们 还 可 以 减 法 ， 比 如 分 布 式 ， 故 障 恢 复 场 景 ， 还 有 E x a c t l y   O n c e 等 情 况 都 是 通 用 框 架 下 的 问 题 ， 但 在 防 火 墙 安 全 领 域 的 数 据 分 析 下 是 可 以 简 化 的 。 还 有 语 言 实 现 层 面 ， 甚 至 硬 件 加 速 的 方 案 ， 可 以 优 化 ， 尽 量 使 单 节 点 性 能 大 幅 提 升 ， 以 我 的 经 验 ， 现 在 的 硬 件 能 力 是 可 以 支 撑 的 。 我 认 为 将 一 个 通 用 流 计 算 框 架 裁 剪 移 植 到 防 火 墙 里 ， 也 许 是 下 下 下 一 代 防 火 墙 上 绕 不 开 的 关 键 特 性 ， 甚 至 是 最 关 键 特 性 。 最 后 最 后 当 然 系 统 还 有 许 多 细 节 ， 比 如 状 态 存 储 的 设 计 ， 灵 活 状 态 规 则 的 定 义 ， 多 状 态 表 下 决 策 的 统 一 ， 柔 性 的 处 置 机 制 ， 修 正 机 制 等 等 。 一 个 未 来 的 产 品 ， 还 有 很 多 未 来 的 因 素 ， 由 于 才 疏 学 浅 ， 可 能 一 叶 障 目 ， 仅 出 于 最 近 几 年 的 所 学 所 思 ， 供 探 讨 。 精 彩 推 荐 精 彩 推 荐 / /   A   m a p p i n g   f u n c t i o n   t h a t   m a i n t a i n s   a n   i n t e g e r   s t a t e   a n d   r e t u r n s   a   S t r i n g         d e f   m a p p i n g F u n c t i o n ( k e y :   S t r i n g ,   v a l u e :   O p t i o n [ I n t ] ,   s t a t e :   S t a t e [ I n t ] ) :   O p t i o n [ S t r i n g ]   =   {             / /   C h e c k   i f   s t a t e   e x i s t s             i f   ( s t a t e . e x i s t s )   {                 v a l   e x i s t i n g S t a t e   =   s t a t e . g e t     / /   G e t   t h e   e x i s t i n g   s t a t e                 v a l   s h o u l d R e m o v e   =   . . .                   / /   D e c i d e   w h e t h e r   t o   r e m o v e   t h e   s t a t e                 i f   ( s h o u l d R e m o v e )   {                     s t a t e . r e m o v e ( )           / /   R e m o v e   t h e   s t a t e                 }   e l s e   {                     v a l   n e w S t a t e   =   . . .                     s t a t e . u p d a t e ( n e w S t a t e )         / /   S e t   t h e   n e w   s t a t e                 }             }   e l s e   {                 v a l   i n i t i a l S t a t e   =   . . .                 s t a t e . u p d a t e ( i n i t i a l S t a t e )     / /   S e t   t h e   i n i t i a l   s t a t e             }             . . .   / /   r e t u r n   s o m e t h i n g         }
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理