專家答疑：如何解決萬兆網絡安全三大問題
萬兆網絡安全的現實問題
事實上，目前安全應用領域存在著一些亟待解決的實際問題。
一方面，許多用戶的安全設備性能還停留在千兆階段，市場上高性能的安全設備種類也相對較少，安全產品本身的帶寬和處理性能不足成為整個網絡的性能瓶頸。為了保障關鍵業務點的正常運行，有些用戶不得不犧牲網絡的高性能以確保安全。
另一方面，用戶的安全意識也有待進一步提升。當前的網絡安全，已經不再是單一手段、單一設備能夠解決，需要整體著眼，從核心到匯聚，從終端到桌面，層層部署，面面俱到。有些用戶認為，依靠防火墻/網關設備以及防病毒軟件等手段，就可以應對網絡安全問題。而實際上，在先進的網絡環境下，安全威脅來自于網絡的各個層面，如不加以解決，將給用戶的網絡帶來無處不在的風險。
網絡安全領域存在的另一個實際問題還在于，目前網絡安全廠商眾多，然而實力參差不齊。一些廠商的產品與解決方案無論從性能、完整性、策略甚至理念上，與業內領導廠商之間存在著不小的差距，更無從期待這些廠商能引導用戶的安全建設向"更快、更高、更強"的方向發展。這從另一個角度上也影響了萬兆時代安全的前進腳步。
要解決這些問題，我們需要從以下幾個方面著手來進行。
提高設備性能
首先，隨著萬兆帶寬給網絡傳輸效率帶來的跳躍式前進，越來越多的視頻、語音等多媒體數據在網絡上傳輸，網絡安全設備需要對流量進行更深入、更全面的分析。如若安全設備的處理速度低于網絡數據的傳輸速度，就會成為整體網絡的性能瓶頸。因此，萬兆網絡普及發展過程中，與之相匹配的高性能安全設備是必備基礎設施之一。
針對這個問題，H3C認為，萬兆時代的安全面臨的性能挑戰，從低端防護到高端核心防護，從接入到匯聚、數據中心、核心骨干、城域網，等等，都需要高性能的設備來保障。在安全設備性能方面的改進，是H3C這幾年的研發重點。在防火墻、IPS等基礎安全組件上，H3C推出了40G超萬兆防火墻SecPath F5000-A5、入侵防御系統產品SecPath T5000-S3、應用控制網關ACG8800-S3等多款高性能產品。從早期的基于X86通用處理器的架構，到后來的NP架構，FPGA架構以及ASIC架構等，其優缺點各異。經過多方測試、選型，具備良好的業務擴展能力、軟件編程可繼承性、高性能并行處理的多核硬件平臺成為新形勢下安全網關硬件平臺發展的首選。#p#
安全需要端到端
在解決了網絡安全單點性能瓶頸問題之后，要保證萬兆IT的整體安全，H3C認為，需要從邊界防護到整網防護，真正實現端到端的安全防護。
網絡安全體系是一個層次復雜、涉及面非常廣的系統，要想真正發揮安全體系的最大效能，必須從整體出發，將安全覆蓋到每個環節。分布式理念的應用為安全建設帶來了新思路：通過將安全控制延伸到每一個終端節點，采用端點控制和分層安全過濾技術，降低安全事件集中爆發的隱患和風險。
我們以H3C為例，H3C創新性地將"分布式理念"應用到安全建設中，在網絡架構和硬件架構上成功地解決整網安全的超萬兆性能需求：通過分布式網絡架構將安全特性滲透到網絡各級節點，分散安全性能壓力(從核心到邊緣);通過分布式硬件架構實現超萬兆安全處理平臺，保證關鍵匯聚節點超萬兆線速安全處理能力。H3C還將安全控制延伸到每一個終端節點，采用端點接入控制和分層安全過濾技術，不僅解決了安全事件集中爆發的隱患和風險，而且將原有獨立、分散的計算、通信和存儲資源變成一個整體，每一個節點的性能提升，都將會提升整網安全性能。
基礎到應用，全面防護
對于萬兆IT時代的安全來說，各種業務的爆炸式增長，更多安全威脅不是來自網絡外部，而是隱藏在用戶IT網絡的各個角落，因此，從基礎防護到應用防護，實現全面七層防護，是必不可少的手段。
目前，H3C已成為全球安全產品系列最全的廠家之一，不僅涵蓋防火墻、IPS、UTM等硬件設備，更推出了針對4~7層的安全處理設備，如應用加速、廣域網優化、負載均衡、網絡審計、流量監控分析等多種設備，幫助用戶將閑置的網絡資產盤活，實現網絡資源的優化，讓整個體系源于安全，但又高于安全。
此外，安全產品必須保證專業的安全防護能力。由于安全技術點多而且相對分散，針對單個功能點也有基于開源代碼的實現和專業化廠商的實現。單純的僅僅依靠單廠商的力量無法兼顧到各項技術的完美實現。H3C提出OAA開放應用架構，通過開放合作，與業界知名廠商建立廣泛合作，為用戶提供業界最頂級的解決方案是最為合理的選擇。
H3C同時還強調，在萬兆網絡高效、快速的發展趨勢下，整體安全防護與管理的復雜性不斷上升，網絡作為整個社會的基礎設備，人們對于網絡的可管理性需求越來越高，因此構建一個簡化的安全管理機制與安全策略顯得尤為重要。好的網絡安全設備能夠簡化統一管理，從而減少維護人員的工作量，否則，用戶不僅需要專門的人員對安全設備進行管理，給企業造成成本上的負擔，而且企業的整體網絡安全得不到保障。
【編輯推薦】
