信息安全产品测试方案-防火墙篇.pptVIP

* * 举例: 在VoIP网络中，防火墙的传统角色正在发生本质上的变革。过去，防火墙在VoIP环境中不影响VoIP的使用就可以了。因为VoIP要求因特网上基于IP的资源是可预测的、静态可用的，但防火墙的网络地址转换(NAT)功能给VoIP网络带来了障碍。通过“pin-holing”和其它技术，安全供应商已经找到了适应VoIP基础设施、保证互操作的方法。 　　然而，随着网络威胁越来越复杂，防火墙在VoIP环境中的角色也从“保证通畅”演化为全面支持和保护整个基础设施。从IP电话、软电话和无线通信设备等最终用户终端，到H.323关守和SIP代理服务器等基础设施设备，企业范围的VoIP部署涉及范围越来越宽。简单拒绝服务(DoS)攻击的目的是影响IP语音基础设施的可用性，而全面的应用层攻击则主要针对VoIP协议本身。总之，威胁的确存在，并且在不断增长。 * 举例: 在VoIP网络中，防火墙的传统角色正在发生本质上的变革。过去，防火墙在VoIP环境中不影响VoIP的使用就可以了。因为VoIP要求因特网上基于IP的资源是可预测的、静态可用的，但防火墙的网络地址转换(NAT)功能给VoIP网络带来了障碍。通过“pin-holing”和其它技术，安全供应商已经找到了适应VoIP基础设施、保证互操作的方法。 　　然而，随着网络威胁越来越复杂，防火墙在VoIP环境中的角色也从“保证通畅”演化为全面支持和保护整个基础设施。从IP电话、软电话和无线通信设备等最终用户终端，到H.323关守和SIP代理服务器等基础设施设备，企业范围的VoIP部署涉及范围越来越宽。简单拒绝服务(DoS)攻击的目的是影响IP语音基础设施的可用性，而全面的应用层攻击则主要针对VoIP协议本身。总之，威胁的确存在，并且在不断增长。 * 举例: 在VoIP网络中，防火墙的传统角色正在发生本质上的变革。过去，防火墙在VoIP环境中不影响VoIP的使用就可以了。因为VoIP要求因特网上基于IP的资源是可预测的、静态可用的，但防火墙的网络地址转换(NAT)功能给VoIP网络带来了障碍。通过“pin-holing”和其它技术，安全供应商已经找到了适应VoIP基础设施、保证互操作的方法。 　　然而，随着网络威胁越来越复杂，防火墙在VoIP环境中的角色也从“保证通畅”演化为全面支持和保护整个基础设施。从IP电话、软电话和无线通信设备等最终用户终端，到H.323关守和SIP代理服务器等基础设施设备，企业范围的VoIP部署涉及范围越来越宽。简单拒绝服务(DoS)攻击的目的是影响IP语音基础设施的可用性，而全面的应用层攻击则主要针对VoIP协议本身。总之，威胁的确存在，并且在不断增长。 * * * * 多种业务安全及可用性的测试方案 模拟新业务的测试方案- IxChariot B2B业务 BitTorrent eDonkey2000 Kazaa IM业务 Yahoo IM ICQ MSN Messenger Gaming FPS RTS * 防火墙测试的硬件平台 高性能的4-7层测试平台 2 PowerPC 750 per port Up to 1GB of RAM per port * Metric ALMper port CPMper port Conns/sec 4,500 12,000 Throughput 560Mbps 940Mbps Concurrent Sessions 200K 400K 高性能的2-7层测试平台 全新的 12 口 10/100/1000Mbps 以太网测试模块，提供端口聚合的能力 基于 LSM1000XMV16系列的架构，添加了汇聚交换功能 高性能的 800 MHz PPC 750GL 处理器， 每端口有1GB 的内存，可以扩充到2G 强大的每端口处理性能 支持热插拔 可以选择支持一个聚合的10GE接口 * 　总结 防火墙在不断发展 多功能和高性能结合; 深度内容检测技术广泛使用; 防火墙的测试技术也在发展 在统一的硬件平台上实现高性能的2-7层测试 通过对协议和多种业务的深度支持, 充分测试防火墙保障Web安全和Email安全的能力 测试防火墙保障多种业务的安全及可用性 * 谢 谢 ！ * * 内容检测技术发展至今，大致经历了三个阶段，从早期的状态检测（Stateful Inspection）到后来的深度包检测（Deep Packet Inspection），现在已经发展到了最新的完全内容检测（CCI，Complete Content Inspection）。状态检测只检查数据包的包头，深度包检测可对数据包内容进行检查，而CCI则可实时将网络层数据还原为完整的应用层对象（如文件、网页、邮件等），并对