|
[周报全文]独立pk统一 安全模块变形记 查看评论 2007年08月16日 15:31分 作者： 来源：$page.getbromedia()
摘要：近两年来，业内炙手可热的utm概念越发像一个“安全黑洞”：不断“吞噬”掉一切对用户有用的安全功能。
相关白皮书： 集成变形 utm的两条出路 不难看出，随着安全威胁的不断变化，越来越多的安全模块表现出了分离主义倾向，这对于传统的utm也提出了挑战。 为了解决这个问题，utm有两条出路。第一，提高处理器性能。在今年6月，sonicwall和fortinet公司先后向业界公布了自己的下一代utm处理器，采用最多16核，基于np或者asic的内容安全处理器。新的处理器专门为utm定制，着重考虑的就是多功能开启时的处理能力。 新的处理器给业界打了一针强心剂，因为这意味着utm有可能告别传统的smb形象，有机会向高端进发。此外，陈胜权透露，如果要本着更彻底的态度去解决utm的性能瓶颈，必须从最初的产品设计方面去尽力实现统一化。正如utm名字所倡导的，将ips、反病毒、内容过滤和反垃圾邮件等功能引擎统一化，将病毒库、入侵特征库、内容过滤库、垃圾邮件特征库统一化。只有这样，才能在功能和性能上取得比较好的平衡。 在此基础上，utm将会迎来新一轮的集成潮，他认为这是必然的趋势。特别是随着处理能力的提升，以往出现的很多数据库扫描问题，将会从更加源头的协议分析实现。比如从反垃圾邮件的协议角度实现，不仅性能可以提升，而且集成设备也可以实现对邮件进行可追查性检测等特性。 第二，底层硬件加速。随着硬件性能的提升，下一代utm的趋势就是应用层过滤：越来越多的安全发生在应用层，简单的网络层的包过滤都已经无法满足需求了。因此，从底层进一步整合url、http、行为审查等管理模块就显得十分必要。 王景辉的看法是，utm作为一个多功能的硬件盒子，应用层安全功能越多，就越符合utm的特质。虽然消耗性能，但是对于企业用户有着很大的吸引力，特别是其解决了用户部署的困难。另外，utm要想实现对于p2p应用的智能控制，需要基于应用策略、同时结合qos的流量整形策略一起合理控制带宽。因此，日后的utm需要优化底层的硬件结构，加入硬件加速，或者变成插卡方式的utm矩阵。 目前，业界对此观点表示认可。据李松透露，插卡方式的utm很可能会成为高端市场的选择，而专用的fpga安全模块集成并发处理芯片，可以从底层上分担cpu的工作，因此前景看好。 相关链接一 utm与独立安全网关示例 ■ ironport blocker邮件安全网关 ironport blocker是ironport c系列电子邮件设备产品线的特殊版本，它非常适合中小企业进行部署。该设备的实施是完全自动化的，而且可以自助管理。初始设置时间不超过15分钟，而且无需进行维护。 ■ surfcontrol的webdefense webdefense提供24x7x365的不间断服务，它可以控制网络使用，允许企业界定和执行如何，以及何时员工使用因特网，并可以依照公司网络安全和业务策略确保对员工的浏览内容和邮件进行控制。 ■ 神州数码网络dcfw-1800e utm dcfw-1800e utm集合了防火墙、防病毒、ips、防垃圾邮件、vpn、流量整形、anti-dos、用户身份认证、审计网关九大功能。不仅能提供对ipsec、pptp和l2tp等多种vpn连接的完整支持，还支持11万余种病毒的检测与http、smtp、pop3防毒过滤。 ■ 深信服m5000-ac m5000-ac是深信服推出的上网行为管理设备，它提供了深度内容检测技术，可以封堵所有p2p软件；具备邮件延迟审计专利，保证所有邮件先延迟、后发送；可以监控所有即时通信软件的聊天记录；支持网络准入规则，只允许符合上网策略的用户连接internet。 编看编想 什么才是“实际”的性能测试？ 在写这篇文章的时候，有一个制造企业的用户向记者抱怨，他最近希望购买一款高端的内容过滤产品。几个厂家的代表提交各自的产品介绍，他发现这些产品的性能都差不多，因此，他希望实地进行测试。但不巧的是，这个用户自身的网络流量并不大，对于几款待测设备来说，都处于“吃不饱”的境地。 这种情况下，用户找来了smartbit测试仪，但测试仪的数据包受到自身限制，因此，在并发连接数、性能测试中都无法真实的反映设备状况。该用户感到无所适从。本来是考虑到未来的冗余度进行设备采购，但却没有恰当的测试环境支持。 记者发现，类似的用户有很多。对此，记者可以提供用户两个软件测试窍门供参考。 第一，性能测试。如果用户希望实际反映设备的处理能力，可以利用flash get或者迅雷这种下载软件。这些软件都支持多线程下载，无论是http或者ftp，流量一下子就会上去，只要简单地看看下载数据统计，就可以直观地计算出设备的真实吞吐率。 第二，并发连接数测试。测试并发连接数的最好方法不是测试仪，而是p2p下载。比如打开多个bt、电驴等应用，将其最大连接数设置为1000，就可以最大限度地实际模拟极端环境，此时设备表现出的连接能力才是最真实的。 (责任编辑：admin) |
