借助F5，Trinity Cyber成功阻止恶意攻击者

Trinity Cyber的专利网络安全解决方案通过检测安全风险并以内联方式消除恶意代码、勒索软件或文件漏洞利用等威胁，为客户提供保护，同时将误报率维持在接近于零的水平。F5 BIG-IP SSL Orchestrator是实现全面内容检查和威胁缓解的关键支撑。

业务挑战

“阻止不法分子”，Trinity Cyber以此概括公司的使命。该公司成立于2017年，由美国国家安全局（NSA）前专家创立，创始团队包括NSA威胁行动中心前副主任Steve Ryan，以及曾为两任美国总统担任国土安全顾问的Thomas P. Bossert。公司在美国运营分布式私有云，拥有约52名员工，为客户提供先进的网络安全服务。其客户包括关键基础设施运营商、美国国防部下属机构，以及其他面临较高损失风险的组织，其中涵盖金融、能源和民事政府部门的机构。

Trinity Cyber团队自称“正义一方”，但其创新技术和服务绝不简单。与大多数同类方案相比，这些技术和服务能更主动地保护客户，误报率接近于零。难怪Gartner和《Dark Reading》最近都将该公司评为值得关注的企业。

工程总监Stefan Baranoff表示：“许多公司高度依赖阻止传统的失陷指标（IOC）。这种做法存在两个问题：首先，IOC是在攻击发生后才提取出来的，而且通常是通过监控SPAN端口（即流量副本）来提取；其次，IOC本身的特点决定了，攻击者更改IOC的速度可能快于您为其创建特征码的速度。我们关注的是恶意行为者如何实施恶意活动，也就是暴露其身份的数据中的技术、行为和模式。我们直接针对这些技术，在攻击得逞之前，通过在线处理将其阻止。”

Trinity Cyber首先对内容进行深度检查，既能揭示攻击者的技术手段，又能快速采取应对措施。但其能力并不止于阻止可疑内容。Baranoff表示：“我们实际上可以替换、移除或修改会话中的内容。这项能力在业内并不多见，有助于提供更持久的保护。”

例如，恶意内容可能会附加在原本无害的下载图像末尾。Baranoff表示：“看起来就像有人访问了一个网页。加密数据看起来像随机乱码，与互联网上其他所有图像中的数据并无二致。其他解决方案可能会阻止该图像或提供该图像的域，导致互联网的大量内容无法正常访问。我们会删除图像末尾的数据，然后继续传送图像。”

解密和全面检查至关重要，但要通过单一解决方案同时对入站和出站流量执行这两项操作并非易事。

为何选择F5

2021年，Trinity Cyber选择F5 BIG-IP SSL Orchestrator，为尚未部署充分SSL/STARTTLS解密能力的客户执行必要的双向流量解密。公司最初为某个特定客户部署了一台虚拟机，由此开始转变其解密方式。

F5解决方案经济高效且支持虚拟机，这些优势也发挥了重要作用。Baranoff表示：“对虚拟实例的支持至关重要。这种灵活性让我们能够根据客户需求扩展资源。”

实施仅用了几天时间。此后，Trinity Cyber对BIG-IP SSL Orchestrator的应用不断扩展，覆盖了更多客户、更多虚拟机以及更复杂的用例。

其中一个用例涉及Log4j漏洞。这一严重缺陷曾使数百万台设备面临风险，至今仍被威胁行为者广泛利用。2021年末，CISA发布了一项紧急指令，要求所有联邦民事部门和机构评估系统，并立即修补系统或采取缓解措施。许多组织在漏洞披露后的最初几小时内匆忙监控并修补系统，而Trinity Cyber客户当时已受到保护，至今仍能抵御任何利用Log4j漏洞的企图。

在众多复杂用例中，另一个用例是Trinity Cyber致力于阻止攻击者从多家客户的网络中窃取凭据。攻击者试图利用欺骗性超链接、电子邮件网络钓鱼技术和创建虚假域名等手段，获取有效的Office 365凭据。Trinity Cyber技术独有的防御能力识别出攻击者采用的常见手法，并以完全自动化的方式从客户的网络流量中清除这些攻击手法，从而阻止攻击者从其客户群中收集任何凭据。

深入洞察加密流量

Baranoff表示，其公司保护的流量中约有95%经过加密，而客户原本无法洞察这些流量，因此Trinity Cyber希望寻找一家有能力为这些客户提供保护的技术合作伙伴。

他说：“F5是少数几个无需我们大幅改变运营方式的选择之一。”

首席执行官Steve Ryan表示：“BIG-IP SSL Orchestrator是我们交付各项服务不可或缺的一环。它可以提供加密流量的可见性，帮助Trinity Cyber识别并消除威胁。”

Baranoff还称赞该解决方案能够跟踪各种协议，无论加密如何启动，都能在收到“STARTTLS”命令后立即解密流量。他表示：“我还没见过其他解决方案能做到这一点。选择F5让我们获益匪浅。”

使用iRules掌控并定制性能

BIG-IP SSL Orchestrator的可定制能力是另一项差异化特性。

Baranoff表示：“使用自有系统时，如需调整，我们可以修改代码。其他供应商的系统通常无法做到这一点。借助F5 iRules，我们可以修改代码进行定制，实现所需的行为，从而更好地支持客户及其用例。”

事实上，当被问及如何概括BIG-IP SSL Orchestrator的优势时，他首先提到的是灵活性：“灵活性、稳定性、性能、功能丰富的可见性和控制能力。F5明显更胜一筹。”

节省时间和成本

因此，Baranoff表示：“F5帮我节省了大量时间和成本。”

目前，他的团队正与F5 Professional Services合作，开展声明式自动化部署和生命周期维护。

“合作进展非常顺利，”他说，“F5团队响应极其迅速，并全力帮助我们充分发挥产品价值。”

他还希望F5能尽快找到应对这一迫在眉睫的全球性难题的方法，即如何解密HTTP3。“如果能实现，将是一项了不起的成果。”

与此同时，他表示：“这款产品一直在不断改进，我们很期待它未来的发展。”

未来，恶意攻击者很可能仍会构成威胁。Trinity Cyber将继续与之抗衡，F5也将携手提供支持。