目前，幾乎所有企業(yè)、政府機(jī)構(gòu)、非營利實(shí)體及其它各類型組織都面臨著網(wǎng)絡(luò)安全挑戰(zhàn)，隨著網(wǎng)絡(luò)罪犯不斷提高作案能力，這類挑戰(zhàn)將日益加劇。

網(wǎng)絡(luò)安全現(xiàn)狀

病毒、木馬、蠕蟲和其它惡意軟件數(shù)量的增加，分布式拒絕服務(wù)?(DDoS) 攻擊的蔓延，物聯(lián)網(wǎng)設(shè)備與互聯(lián)網(wǎng)的融合，以及數(shù)據(jù)中心線路速度的不斷增長(zhǎng)（從 1 Gbps 增長(zhǎng)至 10 Gbps、25 Gbps 乃至 40 Gbps），各種趨勢(shì)進(jìn)一步加劇了網(wǎng)絡(luò)安全挑戰(zhàn)。

開源網(wǎng)絡(luò)安全軟件的缺點(diǎn)

?

在洶涌的數(shù)據(jù)海嘯中，我們需要使用專業(yè)的軟硬件確保網(wǎng)絡(luò)安全性。網(wǎng)絡(luò)安全呈現(xiàn)雙軌并進(jìn)的發(fā)展態(tài)勢(shì)，其中既包括根據(jù)網(wǎng)絡(luò)安全需求開發(fā)的自定義軟硬件（較為昂貴），也包括開源網(wǎng)絡(luò)安全軟件，這些開源安全軟件包括：

Zeek（前身為 Bro）：Zeek 入侵檢測(cè)系統(tǒng)?(IDS) 框架是一款非常強(qiáng)大的網(wǎng)絡(luò)監(jiān)控工具，可捕捉有關(guān)網(wǎng)絡(luò)連接的數(shù)百個(gè)元數(shù)據(jù)字段。這些元數(shù)據(jù)可為網(wǎng)絡(luò)流量提供無與倫比的可視性，幫助我們識(shí)別異常行為，如可疑或威脅活動(dòng)。

Suricata：Suricata 是一款成熟的開源網(wǎng)絡(luò)威脅檢測(cè)引擎，具備實(shí)時(shí)網(wǎng)絡(luò)入侵檢測(cè)、內(nèi)聯(lián)入侵防御?(IPS)、網(wǎng)絡(luò)安全監(jiān)控?(NSM) 和捕捉數(shù)據(jù)包離線處理等功能。

Snort：Snort 是一款開源網(wǎng)絡(luò) IPS 工具，可在 IP 網(wǎng)絡(luò)上執(zhí)行實(shí)時(shí)流量分析和數(shù)據(jù)包記錄。該工具可實(shí)施協(xié)議分析、內(nèi)容搜索/匹配，并可用于檢測(cè)各種攻擊與探頭，包括緩沖區(qū)溢出、秘密端口掃描、CGI 攻擊、服務(wù)器信息塊?(SMB) 探頭及操作系統(tǒng)指紋識(shí)別嘗試等。

ntop n2disk 和 nProbe Cento：ntop n2disk 和 ntop nProbe Cento 分別是網(wǎng)絡(luò)流量記錄器和高速流量分析探頭，支持 1/10/100 Gbps 以太網(wǎng)連接。

相比定制化的網(wǎng)絡(luò)安全系統(tǒng)，開源網(wǎng)絡(luò)安全軟件具有更低的成本，但基于 CPU 的服務(wù)器無力應(yīng)對(duì)流量增長(zhǎng)。使用開源網(wǎng)絡(luò)安全軟件檢測(cè)實(shí)時(shí)數(shù)據(jù)流時(shí)，每臺(tái)基于 CPU 的服務(wù)器最高可達(dá)到約 15 Gbps 的速率。但是在數(shù)據(jù)中心，網(wǎng)絡(luò)安全系統(tǒng)所產(chǎn)生的負(fù)載往往會(huì)遠(yuǎn)高于這個(gè)數(shù)值。

這時(shí)候用戶往往使用多臺(tái)基于 CPU 的網(wǎng)絡(luò)安全服務(wù)器處理較大負(fù)載，他們通常利用負(fù)載均衡器將入站流量分為大小適當(dāng)?shù)臄?shù)據(jù)流，并將這些數(shù)據(jù)流分配至各個(gè)網(wǎng)絡(luò)安全服務(wù)器。分別通過開源網(wǎng)絡(luò)安全軟件進(jìn)行處理。在這種方式中，由于服務(wù)器節(jié)點(diǎn)增加、采購負(fù)載均衡器等原因，會(huì)推高網(wǎng)絡(luò)安全系統(tǒng)的整體成本。

英特爾 可編程加速卡加速網(wǎng)絡(luò)應(yīng)用

?

借助一款基于 FPGA 的加速器卡，即采用英特爾 ?Arria 10 GX FPGA 的英特爾 可編程加速卡?(PAC)，Napatech 獲得了一種中間方案，從而提升了開源網(wǎng)絡(luò)安全應(yīng)用的性能，實(shí)現(xiàn)了加速。

此外，采用英特爾 Arria ?10 GX FPGA 的英特爾 ?PAC 基于 FPGA 的通用型加速技術(shù)還可幫助 Napatech 加速其他網(wǎng)絡(luò)應(yīng)用，包括：

TRex：TRex 是一款開源狀態(tài)和無狀態(tài)流量生成器，基于數(shù)據(jù)平面開發(fā)套件?(DPDK)。通過對(duì)真實(shí)流量模板的預(yù)處理和使用，TRex 可實(shí)現(xiàn)智能重播，生成第 4 層到第 7 層流量。

Wireshark：Wireshark 是一款廣泛使用的網(wǎng)絡(luò)協(xié)議分析器，可提供網(wǎng)絡(luò)活動(dòng)的微觀視圖。Wireshark 是實(shí)際上（通常也是法定的）協(xié)議分析標(biāo)準(zhǔn)，被眾多企業(yè)、非營利機(jī)構(gòu)、政府機(jī)構(gòu)和教育機(jī)構(gòu)廣泛使用。

英特爾 PAC 中的英特爾 ?Arria ?10 FPGA 可加速關(guān)鍵網(wǎng)絡(luò)安全與其它網(wǎng)絡(luò)應(yīng)用，支持具備適當(dāng)配置的服務(wù)器全速處理 40-Gbps 流量，且不會(huì)遺漏任何數(shù)據(jù)包。最新的加速統(tǒng)計(jì)數(shù)據(jù)如下：

Suricata – 加速?4 倍

n2disk – 加速?3 倍

TRex – 加速?4 倍

Wireshark – 加速?7 倍

面向采用英特爾 Arria 10 GX FPGA 的英特爾 可編程加速卡的 Napatech Link Capture Software 將英特爾 加速器卡轉(zhuǎn)變?yōu)?SmartNIC，對(duì)上述開源應(yīng)用實(shí)施多種加速網(wǎng)絡(luò)安全和其他網(wǎng)絡(luò)功能，數(shù)據(jù)中心運(yùn)營商可根據(jù)特定要求選擇所需的網(wǎng)絡(luò)安全應(yīng)用。

編輯：黃飛

?