NGFW铸造应用层安全的“黄金地基”-国土报中文版

本篇文章4596字，读完约11分钟

这里有几个调查数据值得我们关注:

1.企业员工每周上班时花在网上处理个人事务的时间高达5.6小时，平均超过1

小时(股票交易、聊天等。)；

2.中国白领每周花7.6小时使用即时通讯、玩游戏和p2p比其他地区的白领工人多；

3.由于83%的员工在办公时间浏览与工作无关的网站，企业有更多的机会受到假冒欺诈、间谍软件和其他在线攻击的威胁；

因此，对于企业来说，当务之急是需要一种能够准确识别和控制社交应用的技术，从根本上解决员工工作效率下降、企业带宽被滥用、企业机密被泄露等问题。然而，随着社交应用的多样性、快速更新和嵌套应用，企业很难准确识别和控制社交应用。此外，对于企业来说，不仅需要识别和控制应用程序，还需要监控和审计这些应用程序所携带的数据。一旦涉及到企业的机密信息，就需要通过相应的手段进行过滤，从而最大限度地防范企业信息泄露的风险。

NGFW铸造应用层安全的“黄金地基”

企业面临的各种风险无疑对当前应用的流量识别技术提出了新一轮的挑战。在这个社交应用盛行的时代，迫切需要一种全新的技术来处理当前复杂多变的社交应用，同时需要深入全面地识别这些应用所承载的数据内容，从而最大限度地解决企业面临的各种问题。作为安全防护的黄金基础——应用识别技术，如何解决社会应用和移动应用给企业带来的安全问题，如何保证应用防护建筑的稳定发展，我们拭目以待。

NGFW铸造应用层安全的“黄金地基”

黄金基金会的现状与挑战

鉴于移动应用和社交应用的多样性、快速更新和嵌套应用等特点，应用识别技术也在不断更新和发展。传统的应用识别通常基于五元组(源ip、源端口、目的ip、目的端口和协议类型)识别的流。根据不同的协议特点，目前的流量识别方法大致分为三类:

基于端口的应用识别

应用程序标识最初取决于端口标识。例如，对于网页，端口80被识别为网页的特征，并且相应地阻塞取决于端口。作为路由器或防火墙的附属功能，它是网络管理员长期管理应用程序的唯一手段。然而，随着互联网技术的发展，应用经历了爆炸式的增长，越来越多的应用将不再依赖于端口。对于网页，qq也使用80个端口，而迅雷随机占用大量端口。

NGFW铸造应用层安全的“黄金地基”

深度包检测

这时，不依赖于端口的应用识别技术应运而生，这就是dpi。Dpi通过检测数据包中的特殊字段来确定应用程序，这更准确。以web应用程序为例，利用dpi技术识别数据包中有http和网站字段，从而可以准确判断该应用程序是一个http网页访问。最初，这足以满足网络管理员对应用程序管理的需求。然而，随着以voip和p2p为代表的加密应用的出现，dpi已经不能检测这些分组中的明文字段，从而识别特定的应用。

NGFW铸造应用层安全的“黄金地基”

深流检测(DFI)

这导致了dfi技术的出现，它将应用程序流量行为作为一种协议特性。不同应用的流量特性有很多不同，可以通过识别流量特性来识别应用。然而，dfi只适用于识别一大类应用程序，而不能准确识别特定的应用程序。同时，提取数据流的统计特征需要很长时间(甚至直到数据流结束)，因此不适合在线流量识别。

应用识别技术经历了几代人的发展，每一代识别技术都呈现出英雄无用武之地的尴尬。在这种情况下，企业迫切需要一种全新的交通识别技术来挑战应用爆炸式增长带来的安全防护问题，并为企业消除和解决社交应用和移动应用带来的多种心脏病。面对众多身份识别技术的应用，我们一直期待着什么样的本质可以用来铸造安全保护的黄金基础。随着新一代网络和新一代数据时代的到来，我们找到了答案:全新的应用识别技术将集成精确动态识别技术、全方位精确识别技术和细粒度管控技术，以应对日益严峻的安全挑战。

NGFW铸造应用层安全的“黄金地基”

一个新的黄金基金会诞生了

精确动态识别技术

随着社会化、移动化和云计算虚拟化等新应用技术的广泛发展，随着各种新应用技术的普及和新应用服务的发展，企业需要一种高精度的应用流量动态识别技术，能够部署基于动态识别技术的安全策略，实现对企业应用网络的细粒度管理和控制。

目前，高精度动态识别技术需要集成多种识别技术，如统计识别、单包特征识别、统计特征识别、多包特征识别、算法插件识别、深度分析识别等动态识别技术，以实现基于每种识别技术的不同应用领域对应用网络的细粒度识别和控制。例如，单包特征识别技术主要用于识别以明文通信的应用程序；多包特征识别技术不仅可用于识别以明文通信的应用，还可用于识别简单的加密应用流量；算法插件识别技术和统计识别技术通常用于识别具有复杂协议加密算法的通信应用，并准确识别具有强加密服务的应用。通过各种识别技术的有效集成，最大限度地解决了当前移动应用和社交应用的多样性、快速更新和应用嵌套带来的安全问题。

NGFW铸造应用层安全的“黄金地基”

全方位精确识别技术

互联网已经影响了我们的生活和工作。全世界有24亿互联网用户，占总人口的三分之一。每秒钟，他们发送280万封电子邮件，在谷歌上进行11000次搜索，从应用商店下载iphone软件216次。我们的生活与各种社交和移动应用密切相关，因此我们需要时刻面对这些应用带来的各种安全问题。如何保证应用保护建筑的稳定发展，如何解决社会和移动应用给企业带来的安全问题，有必要对当前的应用进行全方位的识别。

NGFW铸造应用层安全的“黄金地基”

这种全方位的识别可以包括识别常见的互联网边界行为的应用，如p2p、即时消息、视频等。；有效识别当前流行的移动互联网应用，如微信、微博、移动qq等。；与此同时，对bt加密、雷霆加密、网络视频加密或skype加密等强加密服务的识别也不可超越。通过加密流量识别模型和独特的解密检测技术，加密服务可以高精度地动态识别和控制；此外，它还可以处理各种丰富的内部网应用程序，如lotusnotes、rtx、oracle ebs和Kingdee eas，并满足内部网数据中心的要求。

NGFW铸造应用层安全的“黄金地基”

细粒度控制技术

随着对应用流量的全方位、高精度、快速匹配和低误识别的认识，为了更好地解决企业面临的各种问题，有必要将应用管理和控制技术进行整合，从而提供一个双管齐下的解决方案。结合应用流量的高精度识别技术，实现了应用流量的可视化控制，流量控制精度为1kbps。同时，通过丰富的报表统计显示各种应用控制数据，包括每个应用协议/协议组的网卡流量、日图表、周图表和月图表，以及连接统计、节点统计、协议统计和pps统计。通过高精度识别、细粒度控制和丰富的可视化，可以实现对应用流量的统一控制。

NGFW铸造应用层安全的“黄金地基”

天荣信安全防护的黄金基础

天荣鑫的第六代猎豹应用识别引擎topsniper

Topsniper是天荣信的第六代猎豹应用识别引擎，基于天荣信ngtos的安全操作系统平台。topsniper应用识别引擎以安全引擎模式运行在ngtos中，通过协议分析、模式识别和扩展协议特征识别等综合技术，实现全方位、高精度、快速匹配和低误识别流量识别。Topsniper应用识别引擎采用组件化、模块化、多实例化、易配置的设计思想，体现了高聚合、低耦合的原则，具有高效、可靠、易扩展的特点。同时，应用识别引擎支持多实例化，每个引擎实例都绑定到不同的cpu内核。同时，输入流量可以通过硬件平台的分配机制(例如，rss)直接分配给不同的cpu内核(例如，网卡支持流控制器)。每个引擎实例实现独立调度和并行执行，通过增加引擎实例的数量可以线性提高整体匹配性能，具有很强的性能扩展能力。

NGFW铸造应用层安全的“黄金地基”

Topsniper应用识别引擎采用五个核心模块的热插拔模块化架构，通过统一的引擎配置界面和命令行界面配置核心模块。在五个核心模块中，除了单包特征匹配核心模块外，其他核心模块包括统计特征匹配、多包特征匹配、算法插件匹配、深度分析匹配都可以根据配置动态加载/卸载，从而开启或关闭相应模块的识别功能，满足各种识别功能模块的组合和定制需求。通过热插拔模块化设计，确保用户能够满足其业务需求，同时识别高吞吐量、高精度和快速匹配的业务。

NGFW铸造应用层安全的“黄金地基”

高识别率和实时升级

天荣鑫第六代猎豹应用识别引擎topsniper基于专利动态采样统计识别模型和强大的特征规则描述，综合运用单包特征识别、统计特征识别、多包特征识别、算法插件识别、深度分析识别、强关联识别等多种识别方法。用于细粒度和深层的应用程序和协议识别。因此，该识别约束具有极高的应用协议识别率和准确率，保证了主流应用流量的识别率高于99%，加密流量的识别率高于99.5%，远远高于行业内50%-60%的识别率。

NGFW铸造应用层安全的“黄金地基”

为了保证高精度识别率，topsniper应用识别引擎支持规则库的在线升级和手动升级，并保证每天一次的升级频率，远远高于行业中每月一次的升级频率。另外，支持规则库的无缝切换，在保证业务连续性的情况下，实现规则库的实时升级。规则库的无缝切换技术主要是通过在线添加、注册和即时生效的动态库识别算法插件支持复杂的应用和协议，而无需改变、重新编译或重启引擎。它具有高度灵活的应用程序支持升级功能，从而在更新引擎功能的同时确保业务连续性。

NGFW铸造应用层安全的“黄金地基”

自动互联网应用和内容分析平台

天荣信的第六代猎豹应用识别引擎Topsniper提供了一个专业的自动化互联网应用和内容分析平台，用于测试和评估规则库的可用性和有效性。目前，该平台有能力从不同系统的固定网络个人电脑和无线网络移动终端应用程序获取消息，并有能力获取网络内部和网络之间的消息。

自动互联网应用和内容分析平台包括一个巨大的人工分类和正确标记的捕获应用消息库和基于应用识别引擎的消息回放验证工具，支持命令行模式下引擎参数的配置、管理和调试，规则库的加载和更新，单消息回放和批量消息回放，以及生成html格式、excel格式和文本格式的识别率和误报率报告。它提供所有消息和单个消息的流、字节和数据包三个级别的识别率和误报率的统计数据，以及已识别的应用协议类型列表。它还提供了每一条消息流的五元组、识别状态、识别结果、识别方法和识别包位置的详细统计数据，可作为应用协议分析和规则库维护人员评估规则库质量的基准。

NGFW铸造应用层安全的“黄金地基”