導(dǎo)航：安全管理網(wǎng)>> 安全論文>> 機(jī)械安全論文>>正文

安全流量導(dǎo)向器

文檔作者：王迪文檔來源：中國城市規(guī)劃設(shè)計研究院		點(diǎn) 擊數(shù)：	更新時間： 2021年07月27日
下載地址：點(diǎn)擊這里	文件大小： 1.58 MB 共4頁	文檔格式： PDF	下載點(diǎn)數(shù)： 1 點(diǎn)（VIP免費(fèi)）

全屏查看

內(nèi)容預(yù)覽 [文件共4頁]

本文件共4頁，如需編輯使用，請下載。

注：預(yù)覽效果可能會出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大?。?.58 MB 共4頁文件格式：PDF 下載點(diǎn)數(shù)：1 點(diǎn)（VIP會員免費(fèi)）

下一篇： EMI引起刮板給煤機(jī)變頻器信號波動案例的…

上一篇：氨合成裝置廢熱回收器泄漏失效案例分析

文本預(yù)覽

僅提取頁面文字內(nèi)容，供快速閱讀使用。

安全流量導(dǎo)向器
王迪
(中國城市規(guī)劃設(shè)計研究院北京100044)
【摘要】為了應(yīng)對不同的安全威脅，往往需要在網(wǎng)絡(luò)安全邊界部署多層安全防御系統(tǒng)，很常見的解決方案是部署多個
橋接網(wǎng)絡(luò)安全設(shè)備，而這也會同時帶來一些困擾和潛在安全隱患。安全流量導(dǎo)向器是一種能為各種品牌、各種類型、各種用
途的安全設(shè)備提供統(tǒng)一接入和可靠性保護(hù)服務(wù)的產(chǎn)品平臺，可以為網(wǎng)絡(luò)安全邊界提供高可靠性、高靈活性、高處理效率、高
維護(hù)方便性和高可擴(kuò)展性。
【關(guān)鍵詞】橋接；旁路；負(fù)載均衡；觸發(fā)器；篩選器
中圖分類號：TP391 文獻(xiàn)標(biāo)識碼：A 文章編號：1009—6833(2015)01-138-04
1 實(shí)際中遇到的困擾
伴隨著網(wǎng)絡(luò)應(yīng)用日益多樣化，網(wǎng)絡(luò)架構(gòu)也在發(fā)生重大演變，
持續(xù)增長的基于網(wǎng)絡(luò)的業(yè)務(wù)對網(wǎng)絡(luò)安全提出了越來越多的要
求。這使得單一的安全防御方式，如防火墻或IPS，已經(jīng)不能
有效的應(yīng)對多種多樣的網(wǎng)絡(luò)安全威脅。此時，就需要通過對網(wǎng)
絡(luò)安全威脅進(jìn)行評估，在網(wǎng)絡(luò)安全邊界部署多層安全防御系統(tǒng)，
以應(yīng)對不同的安全威脅。
網(wǎng)絡(luò)安全設(shè)備的部署模式有橋接模式、網(wǎng)關(guān)模式和旁路模
式三種，三種模式各有特點(diǎn)。其中橋接模式也稱透明模式或串
接模式，工作在數(shù)據(jù)鏈路層，這種模式的好處是不需要對原有
的網(wǎng)絡(luò)結(jié)構(gòu)做任何調(diào)整，很好的保持了原有的各種網(wǎng)絡(luò)應(yīng)用的
連續(xù)性，因此，在我院的案例里，基本采用了增加橋接模式網(wǎng)
絡(luò)安全設(shè)備的方案。
當(dāng)時的網(wǎng)絡(luò)結(jié)構(gòu)圖為：
一．--4m—mmmm一-。--4，-mm mm=繅=
：==．二置冒
圖l互聯(lián)網(wǎng)出口區(qū)原始圖
但是，在實(shí)際應(yīng)用中我們發(fā)現(xiàn)，隨著各種橋接網(wǎng)絡(luò)安全設(shè)
備加入到網(wǎng)絡(luò)中來，橋接模式帶來的一些問題也急需解決：
網(wǎng)絡(luò)可靠性低：多數(shù)安全設(shè)備沒有冗余保護(hù)及旁路功能，一旦
某臺安全設(shè)備出現(xiàn)硬件或軟件故障而停止工作時，導(dǎo)致通信中斷。
可擴(kuò)展性差：面臨新的網(wǎng)絡(luò)威脅和入侵時，需要測試和部
署新的安全產(chǎn)品及解決方案。這時往往多個廠商參與競爭，在
做多個設(shè)備的測試時，需要對線上的安全設(shè)備做新增和移除，
導(dǎo)致通信中斷。
維護(hù)困難：安全設(shè)備做管理維護(hù)時需要停止工作或重新啟
動，例如固件升級、軟件系統(tǒng)更新，導(dǎo)致通信中斷。
安全設(shè)備的處理性能影響網(wǎng)絡(luò)的可用性：當(dāng)網(wǎng)絡(luò)流量超過
了設(shè)備的可處理能力范圍時，導(dǎo)致通信中斷。
專項(xiàng)安全防護(hù)設(shè)備無法專注處理：鏈路上的所有數(shù)據(jù)流量都
要通過安全設(shè)備，這中間包含了很多并不需要該設(shè)備做檢測和分
析的流量，給設(shè)備增加了不少額外的負(fù)載，而有些安全設(shè)備是以
數(shù)據(jù)吞吐量為選型依據(jù)來購買的，這就直接造成了設(shè)備采購成本
的浪費(fèi)。比如，防DDOS設(shè)備是為DMZ區(qū)域里的服務(wù)器作防護(hù)
的，只需要檢測從互聯(lián)網(wǎng)訪問這些服務(wù)器的流量，而它卻還要處
理所有內(nèi)網(wǎng)員工訪問互聯(lián)網(wǎng)的流量，加重了它的處理負(fù)擔(dān)，降低
了它的工作效率，也帶來了潛在的處理性能問題。
安全設(shè)備利用率差：當(dāng)某個橋接安全設(shè)備確實(shí)由于負(fù)載過
重不能滿足應(yīng)用需求時，只能靠更換成支持更大負(fù)載的設(shè)備，
而不能讓兩臺橋接安全設(shè)備同時工作并配置負(fù)載均衡，造成了
原有設(shè)備的閑置和浪費(fèi)。
網(wǎng)絡(luò)連接復(fù)雜：各種安全設(shè)備間的連接順序、連接關(guān)系復(fù)
雜，容易導(dǎo)致連接電纜混亂，出現(xiàn)故障時無法及時的定位、排
障和快速恢復(fù)網(wǎng)絡(luò)連通性。
運(yùn)維成本高：各種安全設(shè)備的更新、添加或移除困難，因
為這些操作同樣會導(dǎo)致關(guān)鍵鏈路的通訊中斷，必須安排專門時
間進(jìn)行割接，增加了管理維護(hù)的人員的工作量及時間成本。
2需求分析和目標(biāo)
分析上述情況，橋接模式的網(wǎng)絡(luò)安全設(shè)備需要解決的問題有：
不讓安全設(shè)備成為網(wǎng)絡(luò)瓶頸和單點(diǎn)故障；
安全設(shè)備可以無中斷的接入和部署，防止個體影響全局；
對數(shù)據(jù)進(jìn)行梳理，做基于安全防護(hù)意圖的流量篩選，讓安
全設(shè)備僅處理應(yīng)當(dāng)處理的流量；
讓安全設(shè)備可以做面向會話的負(fù)載均衡和冗余備份。
為解決我院目前面臨的多種串接安全設(shè)備帶來的困擾和潛
在安全隱患，我院需要一種能為各種品牌、各種類型、各種用
途的安全設(shè)備提供統(tǒng)一接入和可靠性保護(hù)服務(wù)的產(chǎn)品平臺，幫
助我院解決目前面臨的問題并實(shí)現(xiàn)以下目標(biāo)：
提供高可靠性：為多種安全設(shè)備提供冗余保護(hù)和旁路功能，
避免某臺安全設(shè)備出現(xiàn)故障或損壞時造成核心網(wǎng)絡(luò)鏈路的通訊
中斷，保證網(wǎng)絡(luò)通信和業(yè)務(wù)的正常運(yùn)營。此外，為防止瞬時大
流量導(dǎo)致的安全設(shè)備處理能力不足，該平臺還需要提供在該種
情況下的針對該安全設(shè)備的自動bypass功能；
提供高靈活性：使多種安全設(shè)備的連接、安裝或部署更加
便利和靈活，該平臺能夠?qū)崿F(xiàn)網(wǎng)絡(luò)介質(zhì)(光、電)和網(wǎng)絡(luò)速率
(10G、1G)的轉(zhuǎn)換，方便各種不同介質(zhì)和速率的安全設(shè)備集
成在網(wǎng)絡(luò)中；
提高處理效率：提高安全設(shè)備的處理性能和工作效率。該
平臺能夠提供針對橋接安全設(shè)備負(fù)載均衡的能力，在單臺設(shè)備
處理性能不足的時候，通過負(fù)載均衡方式來擴(kuò)展處理性能。此
外，為提高安全設(shè)備工作效率，該平臺還需要能夠提供2～7層
線速過濾功能，使各種安全設(shè)備專注于處理自身需要處理的網(wǎng)
絡(luò)流量；
提高維護(hù)方便性：為多種安全設(shè)備的日常運(yùn)行和維護(hù)帶來
便利，使得對某臺設(shè)備的維護(hù)不會影響核心網(wǎng)絡(luò)鏈路的正常通
訊；此外為更新、添加或移除各種安全設(shè)備帶來靈活性和便利
性，降低管理維護(hù)的時間和人員成本；
提高可擴(kuò)展性：為構(gòu)建多層次的立體安全防護(hù)體系帶來便
利，實(shí)現(xiàn)高度的可擴(kuò)展性，使得今后對新的安全設(shè)備或方案的
測試、評估、部署更加靈活方便。
3解決方案
經(jīng)過調(diào)研和論證，我院選用了vss Monitoring公司的VSS
Protector系列產(chǎn)品中的安全流量導(dǎo)向器VSS Protector 612。該
安全流量導(dǎo)向器所具有的功能和高度的靈活性，可以為我院一
系列的橋接式網(wǎng)絡(luò)安全設(shè)備提供基于策略的旁路功能
(bypass)、負(fù)載均衡功能和冗余保護(hù)功能。
安全流量導(dǎo)向器是一個對網(wǎng)絡(luò)來講完全透明的故障防護(hù)設(shè)
備和負(fù)載均衡設(shè)備。它可以為網(wǎng)絡(luò)和安全設(shè)備提供高可用性保
護(hù)：提供網(wǎng)絡(luò)Bypass功能，保障網(wǎng)絡(luò)始終可用；提供網(wǎng)絡(luò)安全
設(shè)備Bypass功能，保障安全設(shè)備的故障不影響網(wǎng)絡(luò)：提供網(wǎng)絡(luò)
萬方數(shù)據(jù)
安全設(shè)備冗余功能，保障安全設(shè)備高可用性。它還可以為網(wǎng)絡(luò)
安全設(shè)備提供性能保護(hù)：提供負(fù)載均衡功能，消除安全系統(tǒng)性
能處理瓶頸；提供深度流量過濾能力，使各個安全設(shè)備專注于
需要處理的流量，提高處理性能：方便網(wǎng)絡(luò)安全設(shè)備測試、重
啟、升級、設(shè)備替換和故障排查。
部署了安全流量導(dǎo)向器后，網(wǎng)絡(luò)結(jié)構(gòu)圖為：
④一睜一■一P一粵
_函函話匍
從中可以看到，安全流量導(dǎo)向器Protector612配置有12個
網(wǎng)絡(luò)ISl(標(biāo)識為Network Bypass)和12個工具口(標(biāo)識為
Input／Output)，所有的網(wǎng)絡(luò)安全設(shè)備均部署在工具口上，每個
工具口流入哪些流量均由相應(yīng)的網(wǎng)絡(luò)口上的策略決定。當(dāng)某個
橋接安全設(shè)備故障時，可以通過配置策略讓本應(yīng)流入該設(shè)備的
流量不再流入該設(shè)備(即旁路功能bypass)，從而保證網(wǎng)絡(luò)通
信不中斷。另外，增加了一臺防毒墻，由安全流量導(dǎo)向器做兩
臺防毒墻的負(fù)載均衡。
4具體的實(shí)施步驟和配置方法
首先介紹設(shè)計的當(dāng)所有橋接網(wǎng)絡(luò)安全設(shè)備正常工作時的數(shù)
據(jù)流量走向。
防火墻內(nèi)側(cè)部分：
數(shù)據(jù)從核心交換機(jī)流出，流入IA口；
導(dǎo)向到7A口流出，經(jīng)設(shè)備DDos—l流入7B口；
導(dǎo)向到1B口流出，經(jīng)數(shù)據(jù)跳線流入2A口：
導(dǎo)向到8A口流出，經(jīng)設(shè)備NetSec流入8B口：
導(dǎo)向到2B口流出，經(jīng)數(shù)據(jù)跳線流入3A口：
導(dǎo)向到9A或10A口流出，經(jīng)設(shè)備IWSA—l或IWSA一2流
入9B或10B口(兩臺IWSA配置為負(fù)載均衡)；
導(dǎo)向到3B口流出，進(jìn)入防火墻內(nèi)口。
防火墻外側(cè)部分：
數(shù)據(jù)從防火墻外口流出，流入6B口；
導(dǎo)向到12B口流出，經(jīng)設(shè)備ACFIow流入12A口；
導(dǎo)向到6A口流出，經(jīng)數(shù)據(jù)跳線流入5B口；
導(dǎo)向到1lB口流出，經(jīng)設(shè)備DDos．2流入11A口；
導(dǎo)向到5A口流出，進(jìn)入鏈路負(fù)載均衡器。
反向流量的路徑與上面所述正相反。
安全流量導(dǎo)向器的初始化工作很簡單，只需用設(shè)備初始的
用戶名和密碼從其管理口登錄其初始管理IP地址，就可以對其
進(jìn)行配置了。
在“System Settings”修改設(shè)備系統(tǒng)名稱、管理口IP地址，NTP
服務(wù)器等，在“Access Control”里修改系統(tǒng)授權(quán)用戶及認(rèn)證方法。
(1)配置防火墻內(nèi)、外兩組網(wǎng)絡(luò)bypass
所謂“網(wǎng)絡(luò)bypass”是指安全流量導(dǎo)向器內(nèi)置的網(wǎng)絡(luò)口之間
的直通功能，即六對網(wǎng)絡(luò)口之間可以分別直連，即lA與lB直
連，2A與2B直連，一直到6A與6B直連。這時的數(shù)據(jù)流向是，
流入lA的數(shù)據(jù)從lB流出，而流入1B的數(shù)據(jù)從1A流出。當(dāng)
安全流量導(dǎo)向器本身不加電時，網(wǎng)絡(luò)13的網(wǎng)絡(luò)bypass功能自動
開啟，仍可以做到讓數(shù)據(jù)在安全流量導(dǎo)向器的網(wǎng)絡(luò)口間直通，
只是此時數(shù)據(jù)不能再導(dǎo)向到任何的橋接安全設(shè)備。
在本案例中，需要為防火墻的內(nèi)、外側(cè)分別配置網(wǎng)絡(luò)
bypass。為了使核心交換機(jī)(接在lA口)和防火墻內(nèi)口(接在
3B口)直連，即lA和3B網(wǎng)絡(luò)bypass，需要分別把lB和2A、
2B和3A用跳線跳接上；為了使防火墻外口(接在6B口)和
鏈路負(fù)載均衡器(接在5A口)直連，即5A和6B網(wǎng)絡(luò)bypass，
需要把5B和6A用跳線跳接上。
(2)在“Port Settings”里把12個工具13均定義為連接雙口
設(shè)備，使其成為6對工具口，每對工具口可以一臺橋接網(wǎng)絡(luò)安
全設(shè)備，即7A與7B一對，8A與8B一對，一直到12A與12B
一對。
矗巴曼墾曼圓
豎p骨f曹—r’_—-=-——-——膏-蘆--·墨—·=習(xí)’r—粵-—司-_1
．， 蠢。I睦= 。卜￡—上I．= 叫 一皇產(chǎn)皇皇}，叫
’—————。iL薔
(3)在“Trigger Policies”為每個橋接安全設(shè)備定義認(rèn)定其
離線或宕機(jī)的觸發(fā)器(即trigger)
例如，上網(wǎng)行為管理設(shè)備(NetSec)連接在8A和8B口，
那么需定義為8A或8B中任一端口離線即視為該設(shè)備離線，于
是建立一個觸發(fā)器名為‘'NetSec．Down”。
(4)為兩臺防毒墻配置負(fù)載均衡
兩臺防毒墻(IWSA)分別接在9A、9B和10A、10B上，
需要在“Load—Balancing Groups”里把兩臺設(shè)備的內(nèi)、外13分別配
置為兩個端El組(Port Group)，即9A和10A為一組(命名為
LB．IWSA．A)，9B和10B為一組(命名為LB．IWSA—B)，并
萬方數(shù)據(jù)
定義為如果組成員里某端口離線時所有流量轉(zhuǎn)向組成員中其它
未離線的端口。嗣■匪苧
(5)在“Trigger Policies”為這個負(fù)載均衡組定義認(rèn)定其離
線或宕機(jī)的觸發(fā)器，命名為“IWSA．Bundle”
@嚏’—-曩■_—●_
矗}譽(yù)嗨
釜皇鼉鼉暑!毫· ’?！弧瘛鯻___●●●_●●■●■●■●■■■●■■■■●__一
；=
擎
'=目
(6)在“Bypass settings”里設(shè)置當(dāng)工具El上的橋接安全設(shè)備
宕機(jī)或離線時各個網(wǎng)絡(luò)口的流量導(dǎo)向關(guān)系
分析前面的流量走向可以知道當(dāng)哪個安全設(shè)備宕機(jī)或離線
時應(yīng)配置哪組網(wǎng)絡(luò)I=1 bypass
如設(shè)備NetSec宕機(jī)或離線時(即觸發(fā)器‘'NetSec．Down”為
“True”)，應(yīng)配置2A口和2B口之間直連冒筐蓮
- 1■_’--!蘭：。!-'-_竺蔓
如兩臺IWSA設(shè)備均宕機(jī)或離線時，應(yīng)配置3A口和3B口
之間直連
Pr蛐●l：
●，_q’-a- -’●●●-i
￡一!j：■L?蘭——
i l■●L■■n●-蔓■● ，·-■- 盟!訂西每-T——～一■__
(7)在“Filter Library”里為各個橋接安全設(shè)備配置流量篩
選器(filter)，用于定義哪些流量需要導(dǎo)向給安全設(shè)備做過濾，
哪些流量不需要安全設(shè)備過濾而直接走網(wǎng)絡(luò)bypass
流量篩選器可以根據(jù)多種過濾元素通過混合搭配來定義，
以下是所有可過濾的數(shù)據(jù)包的列表，詳細(xì)的介紹可參閱安全流
量導(dǎo)向器的相關(guān)手冊。
A filter condition expression is specified with packet fields
(below)，and values tO be compared against the packet field：
packet field【=]value
Multiple such comparisons may be joined using the keywords
”and”or”or”．Compound expressions(using”and”／”or”)are
evaluated left-to-right，but an explicit evaluation order may be
Packet fields Alternate forms Nores
mac SOUrCe address，ethemet SOurce
nlaC 9mJroe
[address]，SOurce[address]
maC [address]
etype [rnaclethemet]etype
vlan [maclethemet]vlanid，[macletbemet]vid
priority 【rnacIetllenIe日砸，[maclcnle*meqqos
tag 【mac陽hI孤艙慨
optional：mask
np SOUlr．2 ip眥[address]，ip[address] 
optional：mask
ip destination ip dest[address]，dest[ination]ip[ad擊酬
lptos lptos
ip protoeoI ipprot
ipflow ipflow
[tcpludp]port，
top SOurce Range
[tcpludp】port
tcp [tcpludp]dest[ination]port，
Range descin刮i嘶dest[imlion][tcp{udp]port
optional：mask
offset ann 【maclipl嬸{udp】o凰et nnn

Items noted above with”Range”may optionally be specified
with a range ofvalues，e．g．”valuel—value2”．
在本案例里，主要用到的是ip source(源IP地址)、ip
destination(目的IP地址)、top source(源端E1)和ipdestination
(目的端口)?，F(xiàn)舉例說明filter的定義。
對于設(shè)備DDos．2，只需要過濾所有用戶訪問DMZ區(qū)服務(wù)
器的Http／Ftp／DNS／POP3／SMTP流量(包括會話的請求和響應(yīng))，
剩余流量應(yīng)走網(wǎng)絡(luò)bypass，這時需定義兩個filter：
用戶訪問DMZ服務(wù)器的請求流量，filter命名為“From
Outside，’：
暉1|．=昌
． 卜：：：o
三}L，亨一
L LIPDest210．74．184．0mask255．255．255．248)or(IPDest
219．238．3．224 mask 255．255．255．224))and((IP Protocol 6 and
(TCP Dest Port 80—8l or TCP Dest Port 20．2l or TCP Dest Port
25 or TCP Dest Port llO or TCP Dest Port 8080 or TCP Dest Port
25))or(IP Protocol 17 and(UDP Dest Port 53)))
該filter篩選出目的Ⅲ地址是兩段DMZ服務(wù)器m地址段且
目的端口是Http／Ftp／DNS／POP3／SMTP協(xié)議的響應(yīng)端口的流量。
DMZ服務(wù)器回應(yīng)用戶訪問的響應(yīng)流量，filter命名為
“go—out-traffic”：
怛■■■——■■■■_
’l o?
。卜·皇暑詈j 南
=盤I，2；；軍≥：一々一t- 一Po：‘‘一-’‘’
((IP Source 210．74．184．0 mask 255．255．255．248)or(IP
Source 219．238．3．224 mask 255．255．255．224))and((IP Protocol
6 and(TCP Source Port 80—8l or TCP Source Port 20．2l or TCP
Source Port 25 or TCP Source Port 1l 0 or TCP Source Port 8080
orTCP SourcePort25))or(IPProtocol 17and(UDP SourcePort
53)))
該filter篩選出源IP地址是兩段DMZ服務(wù)器IP地址段且
源端口是Http／Ftp／DNS／POP3／SMTP協(xié)議的響應(yīng)端口的流量。
對于設(shè)備IWSA-l和IWSA-2，定義為不過濾內(nèi)網(wǎng)用戶訪問
T-mail服務(wù)器的流量，這時可定義一個filter，命名燈'aust to T-Mail'’：
@
萬方數(shù)據(jù)
lp src 219．238．3．253 or lp dest 219．238．3．253
該filter篩選出源和目的IP地址均為T．mail服務(wù)器地址的
流量，也就是同時包含了請求流量和相應(yīng)流量。
(8)在“Bypass settings”里設(shè)置當(dāng)工具口上的橋接安全設(shè)備
未宕機(jī)或離線時各個網(wǎng)絡(luò)口的流量導(dǎo)向關(guān)系。
以設(shè)備DDos．2為例，做如下配置：
5A口上收到的用戶對DMZ的請求流量(由名為“From
Outside”的filter篩選產(chǎn)生)在觸發(fā)器“DDos．02．down”為“False”
(即該安全設(shè)備未宕機(jī)或離線不成立)時導(dǎo)向給11A口。
5B口上收到的DMZ對用戶的響應(yīng)流量(由名為
“go-out-traffic”的filter篩選產(chǎn)生)在觸發(fā)器“DDos一02．down”為
“False”(即該安全設(shè)備未宕機(jī)或離線不成立)時導(dǎo)向給llB口。
5A和5B口上收到的其他流量(filter為系統(tǒng)內(nèi)置的
“nonmatch'’，表示其它所有未被篩選出來的流量)在觸發(fā)器
“DDos．02．down”為“False”(即該安全設(shè)備未宕機(jī)或離線不成蘭。F一萑鋈一；’。瞞≥悖蘭菱王峰譬：三=：一二蘆萼焉匿強(qiáng)i。i I：
～晤?￡1’茜一■蕊_—穗—●釃--■_j落端氟黼_ j≥；’；’-
再以兩臺做負(fù)載均衡的IWSA為例，做如下配置：
3A和3B口上收到的用戶訪問T．mail服務(wù)器的以及T．mail
響應(yīng)用戶的流量(均由名為‘'trusttoT．Mail”的filter篩選產(chǎn)生)
在觸發(fā)器“IWSA．Bundle”為“False”(即該安全設(shè)備未宕機(jī)或離
陋≥’7；睜霉瑩蕾i 1～．擘-～。。t。一?！痩i
Il～二一一=囊f一1■尹-_·8-o量●-·蘭-o 三。簪峨P 警， }；’
3A和3B口上收到的其他流量(filter為系統(tǒng)內(nèi)置的
“nonmatch”，表示其它所有未被篩選出來的流量)在觸發(fā)器
“IWSA．Bundle”為“False”(即該安全設(shè)備未宕機(jī)或離線不成立)
時導(dǎo)向給安全設(shè)備。
(上接第137頁)
核心利益的網(wǎng)絡(luò)基礎(chǔ)設(shè)施。對于這些單位而言，盡管已經(jīng)部署
了相對完備的縱深安全防御體系，可能既包括針對某個安全威
脅的安全設(shè)備，也包括了將各種單一安全設(shè)備串聯(lián)起來的管理
平臺，而防御體系也可能已經(jīng)涵蓋了事前、事中和事后等各個
階段。但是，這樣的防御體系仍然難以有效防止來自互聯(lián)網(wǎng)的
入侵和攻擊，以及信息竊取，尤其是新型APT攻擊。希望相關(guān)
企業(yè)和政府能夠重視APT攻擊的危害性，盡快給出合理的應(yīng)對
措施，以免社會受到更大的損失。
理想的APT安全解決方案應(yīng)該覆蓋APT攻擊的所有攻擊
階段，也就是說，我們的APT安全解決方案應(yīng)該包括事前、事
中和事后三個處置階段，從而可能全面的檢測和防御APT攻
擊。理想APT安全解決方案應(yīng)該同時具有檢測和實(shí)時防御能
力，大數(shù)據(jù)分析和入侵檢測防御技術(shù)相結(jié)合，大數(shù)據(jù)智能分析
有些不同的是，由于兩臺IWSA配置負(fù)載均衡，前面已經(jīng)
分別把9A、10A以及9B、10B在“Load—Balancing Groups”里配
置為Port Group，因此3A和3B的流量分別導(dǎo)向給了兩個端口
組(Load-Balancing Group)，而不應(yīng)再是某一個單一端口，其
中的“Load Balancing Type”是指安全流量導(dǎo)向器基于哪些因素
來做負(fù)載均衡算法。
5出現(xiàn)過的問題
配置了兩臺防毒墻的負(fù)載均衡后，不少用戶反應(yīng)飛信客戶
端無法登陸服務(wù)器，經(jīng)實(shí)際檢測發(fā)現(xiàn)，飛信客戶端的登陸模式
如果用“默認(rèn)模式”就無法登陸，而改成用“http協(xié)議模式”就沒問
題。首先嘗試了保持負(fù)載均衡同時將一臺防毒墻離線，此時所
有流量己然全部流入一臺防毒墻，但問題依舊；又嘗試了取消
負(fù)載均衡，變?yōu)橹挥幸慌_防毒墻，問題消失。由此判斷，此問
題并不是防毒墻的原因造成的，猜測應(yīng)該是飛信客戶端的“默認(rèn)
模式”登陸與安全流量導(dǎo)向器的負(fù)載均衡在機(jī)制上有不兼容之
處，具體原因待查。好在到目前為止沒再發(fā)現(xiàn)有其它的網(wǎng)絡(luò)應(yīng)
用出現(xiàn)類似問題，飛信客戶端的登陸問題暫以修改客戶端的登
陸模式來解決。
出現(xiàn)過一次移除某個安全設(shè)備后斷網(wǎng)的問題，經(jīng)檢查發(fā)現(xiàn)
是安全流量導(dǎo)向器的端口狀態(tài)鎖死造成的。移除了一個安全設(shè)
備后，該設(shè)備所對應(yīng)的兩個端口狀態(tài)已經(jīng)是down了，從安全
流量導(dǎo)向器前面板的指示燈來看，也顯示這兩個端口已斷開，
此時本應(yīng)觸發(fā)在這兩個端E1上所配置的觸發(fā)器，從而使該設(shè)備
旁路，但從管理頁面上看，這兩個端1：3依舊顯示up，造成觸發(fā)
器不被觸發(fā)，無法bypass，以致網(wǎng)絡(luò)通信中斷。端口狀態(tài)鎖死
的原因待查，猜測是安全流量導(dǎo)向器的管理系統(tǒng)讀取端口狀態(tài)
的功能模塊有缺陷，安全流量導(dǎo)向器設(shè)備重啟后此故障消失。
好在此問題出現(xiàn)并不頻繁，安全流量導(dǎo)向器在我院網(wǎng)絡(luò)中已經(jīng)
全天24小時連續(xù)工作了三年多時間，此問題僅出現(xiàn)過一次。
6總結(jié)
安全流量導(dǎo)向器的硬件平臺在我院的實(shí)際環(huán)境中工作的表
現(xiàn)很穩(wěn)定，沒出現(xiàn)過故障，對流量的處理上也沒有因?yàn)榕渲昧?
多個過濾器和觸發(fā)器而產(chǎn)生延遲，有效解決了我院以前由于部
署多個橋接網(wǎng)絡(luò)安全設(shè)備而帶來的一系列問題，同時也消除了
一些還未實(shí)際發(fā)生的安全隱患。安全流量導(dǎo)向器的解決方案達(dá)
到了預(yù)期的目的和效果，稱得上是橋接網(wǎng)絡(luò)安全設(shè)備的好搭檔。
作者簡介：
王迪(1972一)，男，漢族，北京，畢業(yè)于北京理工大學(xué)計算
機(jī)科學(xué)工程系，網(wǎng)絡(luò)工程師，1994年至今任職于中國城市規(guī)劃
設(shè)計研究院負(fù)責(zé)計算機(jī)網(wǎng)絡(luò)的建設(shè)與維護(hù)。
平臺應(yīng)該是APT安全解決方案的核心，實(shí)現(xiàn)對APT攻擊事件
的事后分析和情報獲??；同時，還應(yīng)該配合主機(jī)應(yīng)用控制、實(shí)
時惡意代碼檢測和網(wǎng)絡(luò)入侵防御等技術(shù)，以實(shí)現(xiàn)對APT攻擊的
時間檢測和防御。
隨著APT侵襲的愈演愈烈，其攻擊手段的日益成熟和攻擊
途徑的日趨多變，傳統(tǒng)的防御體系已經(jīng)難以對其進(jìn)行有效偵測，
并遇到了諸多挑戰(zhàn)。趨勢科技建議，面對黑客為達(dá)目的、不擇
手段的攻擊方式，企業(yè)的威脅防護(hù)也必須從造成企業(yè)威脅的每
一個防護(hù)弱點(diǎn)下手。
參考文獻(xiàn)：
【1】陳劍鋒，王強(qiáng)，伍淼．網(wǎng)絡(luò)APT攻擊及防范策略Ⅱ】信息安全
與通信保密．2012．
【2】侯宇．淺析APT攻擊防范策略-t1]．信息系統(tǒng)工程．2014

網(wǎng)友評論 more

機(jī)械安全論文最新內(nèi)容

03-05