強化安全架構的五大方法

對於IT專家而言，網路安全無疑是最重要的的話題之一。即便是對安全工程師、首席信息安全官、首席信息官、甚至首席執行官也是一樣。

網路安全的關鍵問題在於：「究竟如何才能提升安全性?」其答案就在於「增強串聯安全工具的部署」。在遵循PCI-DSS標準與HIPAA監管要求方面，串聯安全工具部署也許並不十分重要，但它對提升安全架構的防禦效果來說，卻是必不可少。

關於IT專家如何改進企業串聯安全架構，可被歸納為以下五項舉措：

1. 在網路與安全工具之間安裝旁路交換機，以提高網路可用性與可靠性

2. 在網路進/出口處部署威脅情報網關，以減少安全誤報

3. 將SSL解密功能從現有安全設備(如：防火牆和WAF等)分離到網路數據包中轉設備或專項設備，以降低延遲並提高安全工具效率

4. 對可疑數據按順序進行工具鏈式檢查，以便改進數據檢查流程

5. 利用N+1或高可用性技術，插入網路數據包中轉設備，提高安全設備可用性

旁路交換機通常是提升網路安全性與可靠性一個不錯的起點。雖然直接部署串聯安全工具亦可以加強防線，然而一旦出現故障，這些工具也會形成單個故障點。雖然安全工具中的內置旁路可以盡量降低這種風險，但如果在後期需要移除該工具設備，它也可能會形成另一個服務中斷點。

外部旁路交換機不但具有內部旁路的優勢，還消除了直接部署串聯工具的痛點，這是因為它提供了自動按需式故障切換功能，對網路的影響幾乎難以察覺(毫秒級)。由於旁路交換機始終駐留於網路，因此可以設置為旁路模式，從而支持按需添加、移除或升級安全與監測設備。

威脅情報網關是第二個出色的策略，這是因為它能消除往來的已知惡意IP地址流量。企業即使配備了防火牆、IPS以及各種安全工具，仍對每天遭受重大入侵的原因毫無頭緒，為什麼?這是由於大量的警報極大地佔用了安全團隊的處理能力以及基礎架構容量。威脅情報網關可自動協助過濾進入網路且需要分析的流量。通過消除已知的惡意流量，一些企業減少了30%以上的IPS誤報，從而讓網路安全團隊集中精力應對真正的潛在威脅。

雖然許多安全工具(如：防火牆、WAF和IPS等)具有流量解密的能力，以便對傳入流量進行安全分析，但這也會影響CPU性能，並大幅拖慢(高達80%)安全設備的處理能力。這是因為這些設備的處理器同時也在執行其他任務，例如分析數據包以應對安全威脅，包括：跨站腳本攻擊(XSS)、SQL注入、隱藏的惡意軟體以及安全威脅等。因此SSL解密有可能成為這些安全工具的巨大負擔，並降低安全工具效率，進而增加檢查網路數據的成本。由於在數據解密時會受到性能衝擊，許多安全團隊會選擇關閉安全工具的此項特性，而這將可能帶來極大的安全風險。

解決方案之一就是採用網路數據包中轉設備(NPB)，由該設備執行數據解密，或者將此項任務交由單獨的解密設備。一旦數據被解密後，網路數據包中轉設備就能將這些數據轉發給一台或多台安全工具進行分析。

另一個要考慮的策略是串列數據鏈，它通過預定數據分析序列，即以串列方式將可疑數據發送至多台安全工具進行額外安全檢查與解析——增強數據檢查。這確保了各種行動的正確順序且不會遭到忽略。安全與監測工具可以通過網路數據包中轉設備內的軟體資源調配而連接起來，以控制數據流在選定服務依序傳輸。這實際上可以讓您實現自動化檢查流程，以增加警報檢查與後續行動。

第五種增強安全架構的方法是通過安裝有擴展性生存能力的NPB來提高安全設備的可用性。優秀的網路數據包中轉設備將擁有兩個選項。第1個選項一般稱作N+1，部署於負載共享配置內。在負載共享配置中，您已經配備了1台額外安全設備，以應對其中某個重要工具(IPS、WAF等)出現故障。但是，該設備實際上與其他設備一同使用，並共享正常的處理負載，而非以空閑方式待用。這種方式通常稱作負載均衡。如果其中1台設備出現故障，總數據負載仍可以由剩餘設備加以處理。待發生故障的工具恢復正常後，其它工具將恢復負載共享配置。

雖然在不使用網路數據包中轉設備的情況下，上述任務也能完成，但負載均衡設備及其方法往往過程複雜。網路數據包中轉設備具有內部編程能力，可處理負載均衡及心跳信息，以檢測工具何時出現故障以及何時可用，從而構建起經濟高效的自愈架構。而另一個更加穩健但成本更高的選項就是部署高可用性，即N+M選項，在該選項中，配備了一套完全冗餘的設備。儘管成本非常高，但根據業務需求，這可能也是最佳的選擇。

上述五大舉措可以顯著改進安全架構，包括解決方案可靠性，真實檢測以及防止/限制安全威脅。

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！