數(shù)據流量加密是(shì)否有(yǒu)利于網絡安全？某種程度上(★€↓shàng)來(lái)說(shuō)，的(±δλ×de)确如(rú)此。然而美(měi)好(hǎo)的(de)事(sh∑☆"≠ì)物(wù)往往都(dōu)是(shì)魚和(hé)熊掌不(bù)可(kě)σ•™兼得(de)，為(wèi)提高(gāo)安全性而犧牲應用(yòng)性能(✘δnéng)是(shì)我們需要(yào)避免的(de)事(s→↑ £hì)情。
大(dà)多(duō)數(shù)企 €πα業(yè)機(jī)構的(de)SSL流量平均已占網絡總流量的(de)15%€至25%，在垂直細分(fēn)市(shì)場(chǎng)中的(d"<e)此類流量更高(gāo)。行(xíng)業(yè)規範諸如(rú)支付卡行'§(xíng)業(yè)安全标準以及HIPAA法案均要(yào)求各企≥∏×★業(yè)在數(shù)據傳輸中對(duì)敏感數(shù)據進σ®行(xíng)加密（例如(rú)：銀(yín)行(xíng)✘∏往來(lái)數(shù)據、商戶或醫(yī)療行(xíngφ¶)業(yè)相(xiàng)關網站(zhàn)☆♠λ∏等）。重要(yào)企業(yè)應用(yòng)程序如(rú)M÷ icrosoft Exchange、Salesforce.com、Dropbα'ox也(yě)針對(duì)LinkedIn、Twitter、Fa₹↑cebook等超人(rén)氣網站(zhàn)啓用(yòng)SSL，以達'✘± 到(dào)隐私保護要(yào)求。
加密有(yǒu)利于保護數(shù)據，但(dàn)它同樣可(kě)β> ε以保護潛在的(de)攻擊者。複雜(zá)的(de)惡意軟件(jiàn)以及難以 λ察覺但(dàn)有(yǒu)很(hěn)大(dà)危害的(de)潛在攻擊信息往♣×₹往隐藏在SSL加密流量中。然而數(shù)₩÷據流的(de)加密使得(de)IT團隊的(de)安全監控、應用(yòng )監控、安全分(fēn)析，甚至資源規劃變得(de)更加困難，因為(wèi)他(tā)們不(bù)得(de)不(bù)通(tōng)≤∑過解密與檢查所有(yǒu)數(shù)據尋找異常情況。
暗(àn)伏的(de)危機(jī)
SSL加密數(shù)據中還(hái)可(kě)能(né₩☆©&ng)隐藏著(zhe)什(shén)麽？企業(yè)需要(€±↔yào)了(le)解兩大(dà)風(fēng)險：有(yǒu)ασ 形威脅以及更加微(wēi)妙的(de)威脅信号。
這(zhè)種“威脅”通(tōng)常是(s≈÷₩hì)指惡意軟件(jiàn)，即經過加密處理(lǐ)僞裝成良性SSL流量的(dβ∞ e)惡意代碼。威脅信号則表明(míng)惡意方正在©♠♠窺探或掃描網絡，試圖尋找攻擊弱點，它們是(shì)潛在黑(hēi)•φ÷£客或網絡入侵的(de)明(míng)證。識别和(hé)應對(duì)這→☆ ≥(zhè)兩類威脅是(shì)IT團隊的(de)主要(yào)任務< $δ之一(yī)，然而日(rì)益激增的(de)SSL流量使得(dβe)這(zhè)些(xiē)任務耗時(sh₽±£í)更長(cháng)并且需要(yào)特殊的(de)分(€♠fēn)析工(gōng)具。
性能(néng)是(shì)關鍵
當然，企業(yè)的(de)下(xià)一(yī)代防火(huǒ)牆和¥¥★(hé)應用(yòng)監測工(gōng✘∞ ×)具可(kě)應對(duì)這(zhè)些(xiē)威脅。防火(huǒ)≥♦♠↓牆能(néng)夠解密和(hé)掃描SSL數(shù)據，并 ₽λ↕且根據安全策略檢查是(shì)否存在惡意軟件(jiàn)&¥或防止入侵企圖。
但(dàn)是(shì)，此類功能(néng)也(yě)有(yǒu)附加條π>>•件(jiàn)。由于IT團隊在防火(huǒ)牆上(shàng)₩↓ φ啓動了(le)更多(duō)功能(néng)，如(rú♣↑)：病毒防護、防僵屍、IPS、URL過濾和(hé)應用(y₹σòng)控制(zhì)，整套安全工(gō£'♣ng)具的(de)計(jì)算(suàn)時(shí)間(jiān)也(yě★↓)越來(lái)越長(cháng)，存在安全套件(ji∞¥↓àn)成為(wèi)瓶頸的(de)風(fēng)險，因而限制(zhì)¥±♥ 網絡發展，或必須對(duì)安全套件(jiàn)進行(xíng)全面升級，₹>以滿足必要(yào)的(de)性能(néng)需求。
企業(yè)戰略集團（Enterprise Stra₽ ★tegy Group）2015的(de)研究顯示，24%的(de)λ←企業(yè)網絡團隊對(duì)可(kě)能(néng)會(huì←>)破壞關鍵流量或有(yǒu)損業(yè)績∞×ε♣的(de)技(jì)術(shù)表示不(bù)太了(le)解。然而，除了(l✔∏e)正常功能(néng)，采用(yòng)安全網關解密SSL流₩>♥≠量的(de)固有(yǒu)處理(lǐ)開(π∑kāi)銷通(tōng)常會(huì)對(duì)性能(n¥ αéng)産生(shēng)顯著(zhe)影(yǐng)響，當業(yè)務和Ω¶(hé)數(shù)據量都(dōu)在增長(cσ♠háng)的(de)情況下(xià)尤其如(r♥☆ú)此。網絡安全檢測機(jī)構NSS Lab 2±§013年(nián)針對(duì)7個(gè)下(xià)一φ¥≈↓(yī)代防火(huǒ)牆測試的(de)調∞£查發現(xiàn)，在使用(yòng)基本512B和∏•(hé)1024B密碼時(shí)，該設備的(de)平均'性能(néng)損失高(gāo)達74%。
狀态檢測
那(nà)麽我們如(rú)何才能(néng)消除因<÷加密或增加可(kě)視(shì)性而産生(shēng)的(de)安全盲點？≈™"≈又(yòu)是(shì)如(rú)何在無損整₹₹體(tǐ)網絡性能(néng)的(de)前提下(xià ∞)洞察隐蔽流量中潛伏的(de)危機(jī)？首先，企業(yè)必♠λ£♦須全面且清晰地(dì)訪問(wèn)其物(wù)理(lǐ)、虛拟和↔• (hé)混合雲環境下(xià)的(de)所有(yǒu)流量。為(wèi)σ∏≤€此，通(tōng)常需要(yào)使用( π±yòng)全狀态SSL解密，拓展安全團隊探察業(yè)務和(hé)網絡λ<★應用(yòng)程序加密流量的(de)能(néng)力，★¥★©以發現(xiàn)隐藏的(de)異常，如(rú)：網絡偵察、入 ®✘侵或惡意軟件(jiàn)。
全狀态SSL解密可(kě)提供完整的(de)會(hu$€→∞ì)話(huà)信息，幫助IT團隊更好(hǎo)地(dì)理(lǐ)解≤¶±©處理(lǐ)全進程和(hé)可(kě)能(néng)發動的(de)攻∞§擊，這(zhè)與單純提供原始數(shù)據包的(de)無狀态解密截然不( ↔bù)同。
其次，全狀态SSL解密應在專用(yòng)平台上÷λ(shàng)完成，如(rú)：網絡數(shù)據包中轉（netwo§'rk packet broker），以便卸載來(lái)自(zì)防火(hu<♣♦₽ǒ)牆、安全網關和(hé)應用(yòng)程序監視(shì↓ )工(gōng)具的(de)額外(wàiβ≠•)處理(lǐ)負擔。通(tōng)過減少(shǎo)工(gōng)作(zuò £)負載，使其更好(hǎo)地(dì)識别≈©•∑并有(yǒu)針對(duì)性地(dì)φσδβ應對(duì)攻擊，這(zhè)有(yǒu)助于最大(d∞"à)限度地(dì)發揮防病毒、沙箱和(hé)IPS等工(gōng)具及™↔其運行(xíng)應用(yòng)程序的(de)性能♣₽α(néng)和(hé)容量。将網絡數(shù)據包代理π ←(lǐ)程序植入精心搭建的(de)架構旁路(lù)框架可(kě)實現(x☆αiàn)網絡可(kě)用(yòng)性和(hé)可(kě)靠性最大(dà)化≤✔(huà)。這(zhè)将充分(fēn)釋放(fàng)安全性和(hé)×βσ±網絡架構的(de)潛力，同時(shí)為(wèi)IT和(÷≠hé)安全團隊提供所有(yǒu)加密和(hé)未加密網絡流量的(de)全面可₩γ(kě)視(shì)性。
SSL加密在打擊非法信息竊取和(héγ©₹)黑(hēi)客攻擊，保護敏感數(shù)據，幫助企業(yè)達到(dà ↑ &o)合規性要(yào)求方面起著(zhe)至關重要(yào)的(deγ€£∞)作(zuò)用(yòng)。但(dàn)它同時(shí)也(yě)可(kě ←)能(néng)隐瞞安全威脅，限制(zhì)網絡團隊檢查、調整♠₹✘和(hé)優化(huà)應用(yòng)性能< '§(néng)的(de)能(néng)力。企業(yè)為$÷±(wèi)客戶的(de)流量保駕護航非常重要(yào)，然✔ '←而消除加密盲點并獲得(de)洞察網絡和(hé)關鍵任務應≥β¶∑用(yòng)程序的(de)全面可(kě)視(shì)性也(yě¥∏£)同樣不(bù)容忽視(shì)，部署合适架構則是(sh §ì)實現(xiàn)一(yī)石二鳥的(Ω¥→&de)良方。
