1. 邊界安全發展簡介
藍盾信息安全科技股份有限公司成立于1999年,至今正好十年了。十年來藍盾公司專注于網絡安全產品的研發,至今形成了四個研發方向,其中邊界安全方面上有防火墻、IDS、IPS、DDOS防御網關、流控墻、UTM等設備;內網保護方面有安全掃描系統、網絡監控系統、帳號集中管理系統等;在應用防護方面有反垃圾郵件系統、網頁防篡改系統、黑客追蹤系統、數據庫保護系統等;在終端安全保護方面有基于文件安全的保密系統和相應的主機安全保護系統等。十年來,藍盾共開發出十二大類五十余種型號的公共安全產品。同時,藍盾也承擔了公安部及保密局的專項產品開發任務,開發出多款部級、省級專用安全產品。

邊界安全是藍盾的強項,也是藍盾自成立以來就有的產品。邊界網絡安全發展到現在經歷了四個階段,從網絡邊界部署的硬件防火墻;過渡到深度包過濾防火墻;再到目前邊界上比較流行的混合式安全,即UTM;到目前,整個網絡安全發展趨勢是朝著高效的安全平臺、模塊化的運用、可聯動的系統管理、可定制的功能需求和快速開發維護的產品體系架構發展。
這十年來,我們藍盾在邊界安全產品線的研發也同樣經歷了四個階段,1999年開發出了國內具有自主知識產權的防火墻產品,2002年開發出深度包過濾防火墻產品,期間同時開發出漏洞掃描、IDS、DDOS網關等專業防御產品,2005年開始研發UTM統一威脅管理產品,從2009年開始我們基于四維UTM的安全平臺架構(以下簡稱4d-UTM,4-dimensional Unified Threat Management)開發出更加高效、更加靈活、可拓展更高的安全產品。

2. 藍盾4d-UTM體系
藍盾的4d-UTM安全體系是由UTM統一威脅管理,UEM統一終端管理,UPM統一策略管理、以及UCM統一通道管理構成。UTM是解決邊界上的應用融合,UEM是解決終端主機、服務器上的安全監控。正如目前安全行業的研發熱點,可信網絡與可信終端有一個融合的趨勢,在藍盾4d-UTM的體系里面我們有網絡上的UTM以及終端上UEM,并且通過UPM對UTM及UEM進行統一的策略管理,體現了這種融合。在4d-UTM體系里,UCM代表者對IPv4、IPv6以及其他異構網絡、復合網絡的協議自適應管理。

我們認為4d-UTM體系是解決目前點、線、面信息安全單獨為戰的格局,可以實現信息化的全面安全聯動。以下我們再稍微具體地來看看這個體系。

首先是邊界層面的UTM,分為4層,從下到上依次為多核安全硬件層、安全內核層、可模塊化的功能層、以及設備表現層/管理層。通過這種系統架構,藍盾的邊界產品線可以很容易地按功能模塊進行劃分,分解為多種專項功能產品,如防火墻、UTM、VPN、漏洞掃描系統、流控墻、郵件過濾網關等。
其次是關鍵信息終端上部署的UEM,在藍盾4d-UTM架構圖中,我們看到具體體現為HSC主機安全控制插件,該插件可以運行在主機及服務器上進行遠程安全管理。同時,UTM與主機上的UEM安全控件可以進行策略聯動設置,實現網絡與終端的安全聯動。
然后是管理層面的UPM統一策略管理平臺,通過集中及分級管理方式,該UPM平臺能對多臺UTM設備進行統一的管理,包括了日志的收集和分析、統一的策略下發、統一的風險管理。同時,我們通過部署在互聯網上的藍盾安全系統管理服務器對UPM平臺、UTM網關實時或定時進行更新升級,包括對入侵特征庫、病毒庫、網頁黑名單,以及目前越來越流行的應用層級別的程序特征進行升級。
最后,通過該體系的UCM自適應通道管理實現對異構網絡和復合型網絡的協議支持。
以下給大家舉個例子了解一下4d-UTM在實際網絡中的作用。在下面這張拓撲圖中,大家可以看到一個典型的分布式網絡,里面有總部和分部的網絡拓撲。我們首先把UTM架設在總部和各個分布的出口位置,保障邊界的安全;再將UEM終端安全控件部署在各子網絡中重點的信息控制點,實現安全從邊界到終端的控制,包括對進程、注冊表、USB接口、敏感文件、殺毒軟件、系統補丁等方面的安全管理;我們再通過統一的策略管理平臺UPM程序進行設備的統一管理、日志的統一收集分析,以及風險級別、警告級別的統一設置。整個網絡涉及到點(及信息終端)、線(即網絡邊界)、面(及管理層面)各個安全漏洞的易發點,形成了立體網絡架構和網絡安全體系的建立。

3. 異常監控技術
另外,在4d-UTM的平臺上有個很重要的技術,就是基于網絡層的異常監控。大家可能會問,對于UTM來說,實現了單純的功能性復合,而這些功能性的復合到底是否可以聯動工作其實更加重要。另一方面,單純從功能而言,UTM可以實現對邊界上各種威脅的管理任務,但是這種管理的復合性對復雜網絡有一定難度,網管人員用起來會眼花繚亂,光顧及功能方面就夠看的了。于是我們在想,是否能有這樣的一種簡單的管理平臺來支持,使用戶能方便的管理網絡?我們發現,相對于各種花哨的功能,網管人員其實更加關注網絡異常情況,希望網絡安全設備能對異常進行預警、定位。于是我們有了這樣一個異常監控系統作為4d-UTM體系的補充,與目前潮流反其道而行,拋開應用層各種層出不窮的特征分析、程序分析,從網絡底層發現網絡異常狀況。一旦發現異常狀況即進行警報,同時聯動UTM上的各項功能進行聯動防御工作。通過獲取在網絡層流進流出的數據流,對端口數據、連接數據和流量數據加以分析,形成相應的關鍵點監控,包括每個IP的流量、連接、端口情況,從數據包包頭分析提升到應用分析,如對FTP、郵件收發、網頁瀏覽等應用的異常分析,從最根本的網絡層推測到應用層的各種異常原因。

通過這樣一種由底而上的異常分析系統,我們可以實現很多網管員關心的網絡異常情況診斷工作。
比如,異常監控分析系統首先會對部署在各網絡中的UTM設備進行自檢,對設備的網卡工作情況、系統資源等方面建立了一個系統自檢表,保證設備的正常運行,同時對設備資源情況也有個異常監控。
然后,對網絡層會話數實現快照,對網絡連接數、新建連接數進行跟蹤、記錄、異常報警。現在有越來越多的小包的會話充斥在網絡中,可以產生比大流量爆發更具有威脅的破壞力,我們可以監測網絡中的小包數量,設置警戒線,當過了警戒線即實時向管理員報警,使其能采取相應的預防補救措施。同時,在流量方面通過以預設警戒線的方式進行報警,對網絡進出的流量進行了實時的分析,并且比對數據包方面的監控數據進行多維分析,將流量還原歸類為不同大小的數據包。
在實際應用中,越來越多的網絡里小包的產生率越來越高,在眾多實施過的網絡中我們發現如果不對小包加以控制的話,如果讓 64 bytes到 256 bytes的小包比重達到30-50%時,就會造成網絡不穩定,就會有網絡連接慢、連接不穩定的情況發生。通過對數據包、流量、連接情況進行警戒線的比對捕捉,我們就可以實現異常網絡情況的實時分析和報警。
通過以上的介紹,大家可以了解到,經過藍盾4d-UTM體系的部署,用戶能真實解決信息安全管理散亂的格局,統一對多維安全域實時監控,實現信息化安全的全面聯動。