2005年度千兆防火墻公開比較評測報告(編輯修改稿)
2025-09-10 20:47 本頁面
【文章內(nèi)容簡介】 無攻擊/攻擊） Check Point0/68 Fortinet0/61 聯(lián)想網(wǎng)御0/0 首信0/931 Symantec0/1867 防御攻擊時的Web性能 測試工程師：防火墻所處的位置決定了它會經(jīng)受非常多惡意行為的挑戰(zhàn)。當它和攻擊做斗爭時，在其翼護下的用戶上網(wǎng)感受將會怎樣？ 測試實況：我們首先創(chuàng)建了Web背景流，測試儀模擬的用戶規(guī)模和上面的測試相同，只不過服務器端的網(wǎng)頁變?yōu)橛?K字節(jié)到256K字節(jié)不等的多種靜態(tài)頁面。 然后，防火墻啟動攻擊防御，測試儀開始通過內(nèi)網(wǎng)向處于DMZ的服務器進行Ping_Flood攻擊，攻擊參數(shù)設置參見第41版防DoS攻擊部分。當確認防御成功后，重新傳輸Web背景流。我們對攻擊前后Web應用背景流的數(shù)值表現(xiàn)進行了比較。 結(jié)果發(fā)現(xiàn)，當不啟動攻擊時，Web應用穿越各個防火墻時的性能差異非常細微。在攻擊防御過程中，穿過參測設備建立的TCP連接的延遲大多有了明顯的變化，而連接建立后開始響應頁面的延遲多半沒有劇烈變化。參見表三和圖3。 通過在防火墻上監(jiān)視流量，負載最大時達到了350Mbps左右。 可貴的是，即使防火墻忙于抗DoS攻擊，聯(lián)想網(wǎng)御SuperV在Web應用方面的性能也沒有任何降低。CheckPointiSECURITYSP5500和FortiGate3600的表現(xiàn)也不錯，它們將TCP連接建立的延遲控制在70ms以下。 測試點評 何去何從防火墻 現(xiàn)在黑客的目標直指防火墻一般都打開的端口——80和443等，比如通過HTTP攜帶惡意數(shù)據(jù)進行跨站腳本攻擊等，或者將P2P通信應用在80端口上或干脆直接封包在HTTP協(xié)議中，而黑客完全可以通過未經(jīng)授權的P2P通信進入企業(yè)網(wǎng)絡內(nèi)部。 顯然，作為邊界安全網(wǎng)關產(chǎn)品，防火墻僅僅提供端口級的訪問控制已經(jīng)不能解決上述問題。防火墻必須要在應用層數(shù)據(jù)分析上邁出一大步。 盡管在這次測試中，我們沒有對應用層防護進行更多的測試，但是，通過對P2P通信控制能力的考查，已經(jīng)可以對這些產(chǎn)品在應用層的分析程度上有一個基本認識。正可謂“落葉而知秋”。 不管是“安全網(wǎng)關”還是“應用智能”，他們都已擺脫“地址+端口”的羈絆，開始著眼于應用數(shù)據(jù)的內(nèi)部，只不過程度不同。有人認為應用層數(shù)據(jù)的分析不應該由防火墻來完成?？墒?，對于來自外網(wǎng)的威脅，有哪個用戶愿意買多臺功能不同的設備將它們組合起來？以前，用戶更多的是迫于無奈。 現(xiàn)在有了這類完全集成或部分集成的產(chǎn)品?？墒?，人們很擔心防火墻變得更加“聰明”后的性能問題。 談到性能，大家應該從多個角度去考察，僅僅看“permitany”情況下、64字節(jié)的UDP轉(zhuǎn)發(fā)性能是片面的。防火墻添加了規(guī)則后表現(xiàn)怎么樣？不同包長混合、UDP和TCP連接混合后的表現(xiàn)怎么樣？防御攻擊時的性能怎么樣？ 從另一個角度說，有的“一體化”產(chǎn)品的性能也的確需要加強，但我們看到，有些變得更“聰明”后的產(chǎn)品的性能也是不錯的。 此外，不要忘了防火墻首先是一個安全產(chǎn)品。隨著黑客們的行為、網(wǎng)絡通信方式較之以前發(fā)生的變化，防火墻應該知難而進！我們了解到，一些傳統(tǒng)狀態(tài)檢測防火墻廠商正在開發(fā)應用層的防護功能，有的還正與防病毒廠商合作，旨在增加邊界網(wǎng)關的防范能力。另外，一些安全網(wǎng)關也努力地向更高性能發(fā)展，在我們的這些參測廠商中，有的馬上就要推出全新的產(chǎn)品禁止掃描 黑客:主機掃描→端口掃描→漏洞掃描，這是一個極為常見且有效的窺探目標主機的方法。它雖算不上是攻擊，但針對某臺設備的攻擊往往在這些步驟結(jié)束后接踵而至。有些國家視未經(jīng)允許掃描他人主機為非法?！ y試工程師:不管是企業(yè)網(wǎng)內(nèi)的重要服務器還是普通員工的個人電腦都不應該被肆意掃描?！ y試實況: 我們首先在防火墻不加任何防范情況下在內(nèi)網(wǎng)掃描一臺位于DMZ(非軍事化區(qū))的服務器。內(nèi)網(wǎng)的掃描主機在Fedora Core 3上安裝了Nmap和Nessus等掃描軟件，被掃描的服務器為默認安裝的Windows Server 2003。Nessus漏洞掃描的成功建立在主機掃描和端口掃描成功的基礎上。防范Nmap的掃描行為是給防火墻出的第一道題! 如圖1所示，它是防火墻不加防御情況下對DMZ中服務器的掃描結(jié)果(任何一個采用默認安裝的操作系統(tǒng)都是不安全的)。在獲取了這些信息后，黑客就可以利用這些漏洞或隱患著手下一步的攻擊了。圖為：安全風險 然后，我們讓廠商的工程師進行現(xiàn)場配置，在保證其他通信不受影響的前提下提供
化學相關推薦
鄂ICP備17016276號-1