超越高级威胁防护
简介
随着高级持续性威胁（APT）在恶意软件领域占据主导地位，基于特征码的检测已无法为这一快速演变的威胁环境提供充分的安全保障。基于特征码的检测依赖供应商为其平台提供特征码更新。遗憾的是，如今许多威胁专门针对特定组织实施渗透，仅使用一次，随后便重新打包和修改，以规避检测。
与功能有限的入侵检测和防御解决方案不同，高级威胁防护（ATP）系统会在可疑对象通过网络之前将其捕获并执行，确保经过检查的流量不会对端点构成威胁。ATP系统还可以阻止此前从未出现过的威胁，例如零日攻击。
由于ATP系统能够有效阻止恶意软件，越来越多的此类系统被部署，用于保护更大比例的入站和出站流量。然而，随着ATP系统部署范围扩大，人们发现可通过互补技术在三个方面进一步增强其能力并提升成效：SSL/TLS辅助、高可用性和流量引导。本文将介绍F5与FireEye解决方案如何协同工作，在这三个方面提升性能并改善成效。
超越高级威胁防护
多种趋势推动着SSL/TLS检查能力不断提升，包括SSL/TLS的使用日益广泛、各类加密协议日趋复杂（例如密钥长度增加），以及攻击者通过加密恶意载荷来逃避检测。这些趋势给现有ATP系统带来了日益沉重的负担，也是推动F5® SSL Orchestrator™开发的重要因素。该解决方案可对入站和出站SSL/TLS流量进行高性能解密和重新加密，并提供动态服务链和基于策略的流量引导，从而在整个安全链中智能管理加密流量，使ATP系统能够专注于检测恶意对象。
F5 SSL Orchestrator可提高威胁检测和缓解系统的灵活性，并显著增强无中断扩展能力。与任何解决方案一样，ATP系统及其关键传感器也可能发生故障，而此类故障很容易导致流量受阻。即使传感器或设备发生故障，F5 SSL Orchestrator也有助于确保关键站点达到可用性和正常运行时间目标。F5 SSL Orchestrator可在多个ATP系统之间智能均衡流量，确保即使传感器发生故障或过载，站点仍保持可用。此外，此配置支持管理员添加或移除传感器，而不会影响站点的整体可用性。
F5与FireEye集成式网络安全解决方案
F5 SSL Orchestrator与FireEye Network Security结合使用，可提供灵活的部署选项和可扩展性，增强威胁防护。将F5 SSL Orchestrator串联部署在内网与互联网之间时，它会在客户端与Web服务器之间创建解密明文区，作为汇聚式流量可视点，供FireEye安全设备检查流量。借助SSL/TLS管理、入站和出站SSL/TLS流量可视性，以及串联和带外部署选项，可以快速、高效地实时遏制高级持续性威胁（APT）。这样，管理员便可在有害数据渗入网络之前将其隔离或删除。
图1展示了完整的F5 SSL Orchestration与FireEye联合解决方案。该解决方案充分发挥两项技术的综合能力，提供弹性扩展和服务链功能。
F5 SSL Orchestrator以内联方式部署在Web流量路径中：
1. 解密SSL流量，并将其传送至FireEye Network Security池。
2. 对已通过FireEye Network Security设备的SSL流量进行加密。
3. 对FireEye池执行负载均衡，提供出色的可用性。
4. 当所有成员均停机时，启用池绕过功能。
5. 确定流量应解密，还是可以不经解密直接绕过FireEye池，从而降低设备负载。
此架构可让FireEye设备充分发挥性能并高效运行，同时不影响流量吞吐量。密钥管理集中在F5 SSL Orchestrator中，因此FireEye设备池无需执行任何SSL功能，同时仍可全面查看流量。
F5 SSL Orchestrator的动态服务链和基于策略的流量导向功能，可帮助您以适当的可用性在整个安全链中智能管理加密流量。流量导向功能可让确定无需解密的流量（例如VDI）绕过ATP池，从而提高该池的有效容量。当FireEye传感器速度下降或发生故障时，此配置还可确保流量持续传输。通过这种方式，该架构能够充分保护流量，发现威胁并阻止攻击，同时提高效率并消除性能瓶颈。
结论
当今严峻的安全挑战要求企业既具备高级威胁防护能力，又能确保应用可用性。F5与FireEye携手提供解决方案，融合高效的技术、情报和专业能力，在恶意活动发生前加以识别和阻止。F5与FireEye解决方案可通过增强SSL可见性发现隐藏威胁；通过动态服务链和基于策略的流量引导，优化安全性和性能；以更强的可扩展性提供高级威胁防护；并通过优化架构提高运营效率。
要了解F5和FireEye如何助力业务成功，请访问f5.com/fireeye。
发布于2018年12月13日