|
1. 需求分析
在當前的 Internet 環境中，每個企業和客戶都必須清楚地認識到惡意軟件、外部攻擊者、內部個別員工、軟件缺陷等所可能導致的危害。這種危害可能造成極大損失或破壞，并且可能動搖客戶對企業網絡完整性的信心，因為只要有機會，黑客就會滲透進網絡的 IP 系統并操縱或破壞它們。為了化解這些層出不窮的風險，企業部署了包括防火墻、虛擬專用網絡（VPN）、入侵檢測系統（IDS）、防病毒系統和 Web 安全工具在內的安全性系統。
然而，盡管這樣的安全性系統可能可以保護網絡的安全，但卻無法避免由于安全性功能造成的限制而導致的性能折衷。因此這方面的挑戰就是，對于任何網絡，都必須能在輕松實現可擴展性并且不必安排停機和影響性能的情況下部署安全性舉措。此外，安全性系統還必須能應付由于資源不可用而導致的故障并且必須保證所有網絡化應用的正常運行。
1.1 單一防火墻面臨的局限性
網絡安全性是許多企業和ISP長期擔心的問題，網絡安全已經成為了人們關注的焦點。網絡安全技術將防火墻作為一種防止對網絡資源進行非授權訪問的常用方法。
盡管目前這代防火墻產品可以較有效地防止網絡入侵。但是，它本身也給企業和ISP網絡帶來了問題。尤其是，目前防火墻技術限制了網絡的性能和可伸縮性，并且由于防火墻經常成為單故障點，因而它降低了整體網絡的可用性。
由于防火墻處于數據路徑上，因此，它們可能會限制網絡的性能和可伸縮性。在內部網絡和外部網絡之間的所有網絡流量都必須經過防火墻。可惜的是，最適于防火墻的處理結構不適于檢查高容量的數據包。由于防火墻必須處理每一個數據包，因而造成了通信速度的下降。擴展防火墻的性能十分困難，因為它一般要直接升級到功能更強大的硬件平臺。
也是由于防火墻安放在數據路徑上，因此，它們形成了降低網絡資源可用性的單故障點。盡管多數防火墻可以使用市面上已有的高可用性軟件以熱備份的配置部署，但是，迄今為止，沒有一種解決方案可以支持一個以上的防火墻同時工作。因此，用戶必須購買和配置第二個防火墻和高可用性軟件，然后無奈地看著它們閑置在一旁，等待故障將它們激活。如何實現多臺防火墻同時工作，是用戶非常關心的問題。
1.2 單一IDS面臨的局限性
今天很多用戶都配置了入侵檢測系統（IDS）以檢測網絡的安全，典型IDS 的應用如下圖示，基本采用HUB或交換機端口鏡像的方式把出入口數據拷貝到IDS，由IDS來判斷進出口數據的安全。
顯然這種網絡結構是不科學的，一旦網絡數據量增大，IDS就會因為性能的缺陷而導致丟包，丟包的直接后果就是引致網絡安全誤報或是漏報，導致IDS形同虛設。有的用戶為了避免IDS丟包，保證IDS可以檢測每個進出網絡的數據，只好把網絡帶寬減低，這相當于犧牲網絡的性能來確保網絡安全，對于今天海量數據傳輸的網絡平臺而言，這種"解決方案"顯然是不可行的。如何實現多臺IDS分擔網絡的流量來同時工作保證安全，是用戶非常關心的問題。
下一頁>>
|
