隨著互聯(lián)網(wǎng)應(yīng)用類型的不斷增加以及應(yīng)用形式的不斷變化，層出不窮的的安全威脅時刻發(fā)生在我們身邊�；诜⻊�(wù)的架構(gòu)以及Web2.0使用的普及，使更多的通信只是通過少數(shù)幾個端口及采用有限的幾個協(xié)議就可以完成，這就使得基于端口/協(xié)議類安全策略的傳統(tǒng)防火墻無法應(yīng)對各種新的安全威脅。下一代防火墻就是在這種背景下提出的，相對于傳統(tǒng)防火墻，下一代防火墻具有以下特點：
l 全面的應(yīng)用層流量識別與管理
l 高精度、高效率的入侵檢測
l 實時的病毒防護(hù)
l 迅捷的URL分類過濾
l 卓越的應(yīng)用層安全處理性能
l 兼容傳統(tǒng)防火墻的所有功能特性
針對新的功能，我們也提出新的測試方法，下面將重點從功能測試、性能測試兩方面分別進(jìn)行介紹。功能測試主要從入侵檢測及應(yīng)用識別兩方面進(jìn)行描述，其他業(yè)務(wù)測試方法類似。
一、功能測試
1.入侵檢測及防御功能測試
IPS（Intrusion Prevention System，入侵防御系統(tǒng)）是一種可以對應(yīng)用層攻擊進(jìn)行檢測并防御的安全防御技術(shù)。在實際使用中，用戶關(guān)心的是實際發(fā)生的攻擊IPS能否識別并進(jìn)行攔截，開啟IPS后對用戶的正常使用是否會造成影響，這就是IPS攻擊特征的識別及誤識別。入侵?jǐn)r截率即對流經(jīng)設(shè)備的攻擊成功阻斷的比率，是衡量一款入侵檢測設(shè)備好壞的重要指標(biāo)。
入侵?jǐn)r截率測試在測試前建議更新官方發(fā)布的最新特征庫，在被測設(shè)備上使能所有攻擊特征，特征匹配的處理動作為重置或丟棄并記錄日志。測試采用BPS（BreakingPoint Systems）測試儀，構(gòu)造兩部分流量：一部分為正常業(yè)務(wù)的背景流量，要求不影響設(shè)備的性能，不會引起丟包，一般可設(shè)置為設(shè)備處理性能的10%；一部分為攻擊流量，BPS支持Level 1到Level 5 五個樣本集，各樣本集中的樣本數(shù)依次增加。在測試過程中可以依次采用Level 1 到Level 5進(jìn)行測試。每運(yùn)行一輪后，通過對設(shè)備產(chǎn)生的日志及BPS測試儀運(yùn)行報告進(jìn)行對比，得出被測設(shè)備識別率和誤報率。
在實際的攻擊過程中，攻擊者可能會增加各種逃逸手段，使攻擊逃過IPS系統(tǒng)的檢測，因此我們在測試時也需要考慮到這種情況。常見的逃逸方式有IP分片、TCP分段、協(xié)議端口重定向、采用特殊的編碼格式、采用分隔符逃逸、采用大小寫逃逸等。在測試中可以通過測試儀構(gòu)造各種逃逸手段，對比沒有逃逸手段時的測試結(jié)果，被測設(shè)備的識別率應(yīng)該不會下降。
2.應(yīng)用識別與流量管理測試
應(yīng)用識別與流量管理，主要提供以下三個功能：
l 限制最大帶寬。如限制P2P、視頻等占用大量資源的應(yīng)用的最大帶寬；
l 保障關(guān)鍵業(yè)務(wù)的保障帶寬；
l 應(yīng)用流量監(jiān)控統(tǒng)計。
要實現(xiàn)上面三個功能，首先要做的是要把流經(jīng)設(shè)備的應(yīng)用識別出來。目前提供有兩種方式，基于特征的應(yīng)用識別和基于數(shù)據(jù)流的應(yīng)用識別。對應(yīng)基于特征的識別，由于這些特征都是從樣本中提取的，而在選取樣本時就可能存在選取的樣本不夠多不夠全面，導(dǎo)致定義的特征不能涵蓋該種應(yīng)用的所有資源，這就會出現(xiàn)不能識別應(yīng)用的情況；或者定義的特征相對寬泛，這樣就會導(dǎo)致誤識別的出現(xiàn)，因此對于應(yīng)用識別是測試的另一重點。
目前各廠商基本都能支持幾千種的應(yīng)用特征，對每種應(yīng)用進(jìn)行遍歷測試在人力及時間都比較緊缺的情況下不夠現(xiàn)實，因此比較常見的方法為在現(xiàn)網(wǎng)中選取幾個使用范圍比較廣的應(yīng)用進(jìn)行測試，比如迅雷、QQ、微信、微博、主流的在線視頻、Http下載、web mail等進(jìn)行測試。在測試中對同一應(yīng)用的不同版本都需要進(jìn)行驗證，對于下載類應(yīng)用還需要對各種下載方式及不同的種子進(jìn)行驗證。其次需要注意各應(yīng)用的精細(xì)化測試，比如QQ就包括QQ聊天、QQ文件傳輸、QQ語音、QQ視頻等功能，被測設(shè)備能否針對每種功能分別進(jìn)行限速及阻斷也是測試中需要重點關(guān)注的。
現(xiàn)在Spirent和IXIA測試儀廠商能夠模擬的應(yīng)用也越來越多，在實驗室環(huán)境下我們可以采用測試儀模擬真實的應(yīng)用流量進(jìn)行測試，對于測試儀無法模擬的流量，可以通過現(xiàn)網(wǎng)抓包以報文回放的方式進(jìn)行測試。同時也需要考慮對分片分段報文的處理，以及對于分布式的架構(gòu)，需要考慮多引擎處理的情況。
二、性能測試
防火墻不能成為網(wǎng)絡(luò)的瓶頸，在進(jìn)行深度數(shù)據(jù)包檢測的時候也不應(yīng)該成為網(wǎng)絡(luò)的瓶頸，因此下一代防火墻的性能除了需要測試在開啟應(yīng)用檢測時的新建、并發(fā)，還需要測試在開啟IPS及內(nèi)容過濾、病毒防護(hù)時的新建、并發(fā)，并且需要在有攻擊流量背景的情況下進(jìn)行測試。攻擊背景流量可以采用BPS的ALL Strikes攻擊樣本集。
l 下一代防火墻吞吐量測試
吞吐量是指在沒有丟包的情況下，設(shè)備能夠接收并轉(zhuǎn)發(fā)的最大數(shù)據(jù)速率。對于下一代防火墻來說，應(yīng)用識別是默認(rèn)開啟的，為了盡量貼近真實場景，單一負(fù)載大小和協(xié)議的傳統(tǒng)性能測試方法不再適用。這里可以采用BPS測試儀中混合流量場景來作為模擬現(xiàn)實環(huán)境的應(yīng)用層性能測試場景，可以選擇幾個比較有代表性的場景如高校教育場景、企業(yè)數(shù)據(jù)中心場景和企業(yè)內(nèi)網(wǎng)場景，分別測試只開啟應(yīng)用識別、開啟IPS、開啟內(nèi)容過濾及URL過濾時的吞吐量。
l HTTP新建速率及并發(fā)測試
HTTP新建速率是指在每一秒內(nèi)防火墻能夠處理的HTTP新建連接請求的數(shù)量，并發(fā)連接數(shù)指的是防火墻最大能夠同時處理的連接會話個數(shù)。HTTP新建和并發(fā)測試方法同傳統(tǒng)防火墻方法基本相同，都可以采用Avalanche或者IxiaLOAd進(jìn)行測試，對于下一代防火墻需要分別測試開啟應(yīng)用識別、開啟IPS、開啟內(nèi)容過濾及URL過濾時的新建、并發(fā)性能。
l 日志輸出性能測試
下一代防火墻的一個主要功能是用戶行為審計功能，在大量業(yè)務(wù)訪問時，日志能否完整記錄用戶的訪問過程，因此日志輸出速率是我們測試需要關(guān)注的另一個性能指標(biāo)。在測試時可以采用測試儀模擬URL訪問，設(shè)備上開啟URL過濾功能，并增加自定義特征使測試儀模擬的URL能夠匹配，設(shè)置規(guī)則的動作為方向并記錄日志，設(shè)置日志輸出到日志服務(wù)器（要求日志服務(wù)器不會成為瓶頸）。測試儀以一定的速率訪問URL請求，在日志服務(wù)器能完整收到所有日志時最大的URL請求速率即為日志輸出的最大速率。
結(jié)束語
本文主要從功能及性能兩方簡要描述下一代防火墻測試方法，下一代防火墻測試的難點在于如何去模擬用戶的真實使用環(huán)境，以及對特征庫的識別率及誤報率的測試。參照以往的經(jīng)驗只能通過收集各個局點的流量模型報文，然后再在實驗室進(jìn)行報文回放測試，通過局點報文的抓取來逐漸豐富我們的應(yīng)用庫，但是這也只能去應(yīng)付問題，不能解決根本問題，還需要進(jìn)一步探究。下一代防火墻的審計功能是給用戶對現(xiàn)網(wǎng)網(wǎng)絡(luò)流量最直觀的呈現(xiàn)，日志的準(zhǔn)確性、報表的直觀性、用戶的體驗感也是在測試中需要重點關(guān)注的。
核心關(guān)注：拓步ERP系統(tǒng)平臺是覆蓋了眾多的業(yè)務(wù)領(lǐng)域、行業(yè)應(yīng)用，蘊(yùn)涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務(wù)管理理念，功能涉及供應(yīng)鏈、成本、制造、CRM、HR等眾多業(yè)務(wù)領(lǐng)域的管理，全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領(lǐng)域，是眾多中小企業(yè)信息化建設(shè)首選的ERP管理軟件信賴品牌。
轉(zhuǎn)載請注明出處：拓步ERP資訊網(wǎng)http://www.oesoe.com/
本文標(biāo)題：下一代防火墻測試
本文網(wǎng)址：http://www.oesoe.com/html/consultation/10839518730.html
相關(guān)文章
