缓解加密威胁，确保加密安全
简介
全球几乎所有组织都在推进数字化转型。这一转型源于收集和传输敏感数据的需求，包括用户数据、客户数据、患者数据和企业数据。简而言之，如今我们的生活离不开数据，因此确保数据隐私和安全至关重要。
应用是访问数据的门户。因此，无论应用部署在何处，确保应用安全对于组织的安全和业务都至关重要，无论其身处哪个行业。
敏感数据的安全和隐私至关重要，因此政府正在制定新的规章制度，以确保组织内部的数据安全和隐私。无论组织或所收集的数据是否位于相关监管机构的管辖范围内，这些规定均适用。
欧盟的《通用数据保护条例》（GDPR）要求在欧盟境内运营的组织确保依法收集个人数据，事先征得个人同意，并对这些数据加以保护。在美国，新出台的《加利福尼亚州消费者隐私法案》（CCPA）借鉴了GDPR的多项保护措施，其他州也在评估是否将其作为消费者隐私保护立法的范本。
这些规则和法规旨在提高透明度，让客户能够更好地掌控其个人数据，以及这些数据在收集后的处理方式。如果组织发生安全漏洞，导致敏感数据丢失、被盗、遭到滥用或利用，该组织可能面临高额罚款。
加密至少被视为保护敏感信息的良好实践。事实上，不使用加密来保护数据会被视为疏忽。然而，加密也有两面性。
加密的优势
有多种方法可以保障数据安全和隐私，其中加密尤为有效。
如今，大多数流量都经过加密。几乎所有网站都使用加密技术。Microsoft Office 365和Google G Suite等在线生产力应用、云应用、软件即服务（SaaS）应用和社交网络的快速发展与持续普及，推动了加密流量的持续增长。
对数据进行加密有助于确保并持续保护数据的隐私性和完整性。
加密的弊端
然而，加密也存在危险的一面：攻击者已经意识到，加密流量非常适合向毫无戒心的用户及其组织投放恶意软件和其他恶意载荷，也很适合从用户和组织中窃取数据。
要防范隐藏在加密流量中的威胁，组织至少需要能够查看入站和出站加密流量。查看和检查加密入站流量有助于减少安全盲区，还可降低加密流量中隐藏的恶意软件所带来的风险，并缓解可能导致敏感数据泄露的漏洞。
了解加密出站流量同样重要，因为此类流量可能掩盖被盗数据的外泄。它还可能掩盖已潜伏在网络或云环境中的恶意软件与命令与控制（CnC）服务器之间的通信。这些服务器可能触发攻击，或尝试下载恶意软件并扩展现有恶意软件，形成多层、多线程攻击。
攻击者还可以下载更多恶意软件，在组织内部横向移动，甚至将攻击范围扩大到原组织之外，攻击其客户或供应链，感染更多设备和服务器，并窃取更多信息和数据。
为什么仅有SSL可见性还不够
不过，SSL可见性只是第一步。组织需要更有效地控制加密和解密流量，同时不能削弱其安全解决方案的能力。
许多组织在安全解决方案上投入巨资，选择高价值功能来执行特定任务，例如解包恶意软件、进行沙箱分析，以及将应用和网站列入拒绝列表等。虽然安全解决方案可能具备原生解密功能，但解密和加密并非其核心用途或重点。
如果没有专为大规模解密而设计的解决方案，大多数企业要实现SSL可见性，就必须让加密流量经过端到端的安全服务链。也就是说，加密流量必须在整个安全堆栈中通过静态串联的服务，反复执行冗余的解密、检查和重新加密流程。
这一过程不仅效率低下，还会耗费宝贵的时间和资源，并可能增加延迟，影响用户体验。此外，串联的每台安全设备都需要按相同比例扩展，才能满足全部加密流量的容量需求，这很容易导致资源超额分配，进而增加安全服务成本。
F5 SSL Orchestrator 如何提供帮助
F5 SSL Orchestrator可确保加密流量经过解密和适当的安全控制检查后重新加密，从而提高加密流量的可见性，并降低隐蔽威胁带来的风险。
SSL Orchestrator专注于增强SSL/TLS基础设施，同时充分发挥现有安全投资的效用。它可动态串联安全服务，并根据策略引导解密后的流量，将基于上下文的智能应用于加密流量。
SSL Orchestrator可在整个安全基础设施中集中管理和分发最新的加密技术。它集中管理证书和密钥，同时提供强大的密码套件管理与控制功能。
它还提供单一平台，用于统一检查下一代加密协议。SSL Orchestrator可确保安全解决方案以高效率运行，并借助F5的负载均衡和扩展能力，在保持高可用性的同时实现扩展。此外，它还会独立监控每项安全服务的运行状况。
作为处理所有加密事务的中心，SSL Orchestrator必须确保其物理或虚拟环境均支持政府和行业严格、可靠的安全与隐私标准。
密钥和安全参数保护
提供SSL可见性的一个关键环节是建立稳健的密钥管理（PKI）基础设施。密钥管理、密钥保护及其正确使用通常与法规要求相关，例如《联邦信息处理标准140-2》（FIPS 140-2）、通用准则、国际标准化组织（ISO）制定的标准，以及其他地区或特定垂直行业的认证。
FIPS 140-2虽然是美国国家标准与技术研究院（NIST）制定的标准，但已被全球许多受到严格监管的市场采用，并为密码技术的使用和实施验证提供指导。
FIPS 140-2分为多个不同级别，分别对应不同的法规要求、风险和数据敏感度。在SSL可见性部署中，通常需要达到FIPS 140-2第3级，以便将签名密钥保护在具有防篡改能力的硬件物理外壳中，这种设备称为硬件安全模块（HSM）。HSM包括密钥清零、启动完整性检查，以及防止未经授权提取密钥的控制措施。HSM不仅能增强密钥安全性，还有助于简化证书管理并降低合规成本。
F5提供丰富的FIPS合规平台选择，包括多种设备内置HSM方案，以及通过公钥加密标准#11（PKCS #11）连接网络HSM的方案。根据所选的SSL Orchestrator许可证和型号，可支持多个FIPS 140-2级别，并提供多种价位选择，让各种规模的组织都能满足策略要求。
那么，为什么选择SSL Orchestrator？
F5 SSL Orchestrator可全面洞察加密流量，帮助降低入站加密流量中隐藏的恶意软件及其他恶意威胁所带来的风险。SSL Orchestrator还可阻止通过出站加密流量外泄被盗数据、开展CnC通信，以及下载更多恶意软件和恶意载荷。
此外，SSL Orchestrator通过集中式解密和重新加密功能、动态服务链及智能流量引导，使高价值安全功能能够规模化运行，同时安全卸载占用大量CPU资源的解密和加密任务，从而更充分地发挥安全投资的价值。
这些措施不仅可以消除安全盲区并阻止隐蔽威胁，还能释放现有安全解决方案的能力，使其充分发挥主要功能，包括提供威胁防护、防止数据泄露、执行沙箱分析以及提供其他相关安全服务。
SSL Orchestrator提供多种许可选项，适用于中小型企业（SMB）、现代企业和云环境。F5提供多种平台选项，包括Virtual Editions（VE）以及中高端设备，可帮助应对加密流量、密码套件和协议的变化，包括TLS 1.3、未来的物联网设备，以及最终将采用的后量子密码方案。
发布于2019年7月1日