新聞中心
安博通看RSA2018：流量可視化如何做到1+1+1＞3（上篇）
安博通預(yù)測流量可視化2018三大發(fā)展態(tài)勢，全方位解析國內(nèi)外流量可視化廠商核心技術(shù)&產(chǎn)品方案
RSA會議所在的場館Moscone Center分為南館和北館兩個區(qū)域，兩館的連接大廳是參展人員、展商、媒體們的聚集地，也是人氣最旺的地方。2018年的會場上，大廳的大屏上以可視化的方式展示了Cisco針對整體RSA會議定制的安全保障方案，其中關(guān)于流量方面的展現(xiàn)十分突出，吸引了不少眼球。
圖：Cisco在RSA會議上進(jìn)行大屏可視化呈現(xiàn)
上述Cisco的呈現(xiàn)方案正是目前可視化潮流的縮影：如果說策略可視化這個概念還稍顯小眾的話，那么流量可視化的概念已經(jīng)非常普及和流行了，相關(guān)的參展廠商也為數(shù)眾多，展位上各種流量可視化的頁面呈現(xiàn)讓人看得眼花繚亂。在這樣發(fā)展變革的趨勢下，安博通產(chǎn)品經(jīng)理調(diào)研流量可視化產(chǎn)品時，重新找到了一個分類進(jìn)行切入。
NPBs產(chǎn)品引入
在國內(nèi)，傳統(tǒng)上我們比較偏向?qū)⒘髁靠梢暬瘹w類為APM產(chǎn)品，主要關(guān)注網(wǎng)絡(luò)性能方向。但隨著解決方案的發(fā)展，流量分析這一核心能力所能解決的問題，或者說技術(shù)的需求方已經(jīng)不只局限于網(wǎng)絡(luò)性能（Network Performance），所以安博通產(chǎn)品經(jīng)理在本次會議上著重調(diào)研了Gartner的另一個技術(shù)面覆蓋更廣的分類：NPBs。
圖：NPBs產(chǎn)品架構(gòu)示意圖
NPBs，即（Network Packet Brokers），Gartner對其定義為：Devices that receive network traffic as input from multiple SPAN ports, then manipulate the traffic by breaking it down into chunks of related data and transmitting the data chunks to their respective monitoring and security tools.從定義上看，NPBs產(chǎn)品執(zhí)行流量收取，并將報文拆開分塊進(jìn)行分析，并提供結(jié)果給可視化和安全工具進(jìn)行下一步業(yè)務(wù)處理。安博通產(chǎn)品經(jīng)理認(rèn)為NPBs的定義包含更多的業(yè)務(wù)涵義，所以更適合匹配市場上的流量可視化產(chǎn)品。
通過調(diào)研，安博通產(chǎn)品經(jīng)理認(rèn)為NPBs產(chǎn)品的組成模式是1+1+1，即：分流負(fù)載＋提取分析＋數(shù)據(jù)應(yīng)用，其中分流負(fù)載部分執(zhí)行物理層和鏈路層的流量分發(fā)（如分光）以及流量負(fù)載均衡（按特定規(guī)則進(jìn)行報文分類處理）、提取分析部分執(zhí)行報文內(nèi)容還原（如SSL卸載和標(biāo)簽剝離）和關(guān)鍵信息提?。ㄈ鐟?yīng)用層審計、文件重組）、數(shù)據(jù)應(yīng)用部分執(zhí)行信息耦合（API接口）和調(diào)用（可視化呈現(xiàn)/威脅分析/性能管理等）。這三個部分的邏輯從獲取到加工再到應(yīng)用層層遞進(jìn)，可包括多數(shù)主流的流量可視化產(chǎn)品的設(shè)計思路。
圖：NPBs產(chǎn)品組成模式示意圖
2018三大發(fā)展趨勢
針對參加2018年RSA大會的流量可視化廠商，安博通產(chǎn)品經(jīng)理進(jìn)行了現(xiàn)場交流和方案整理，總結(jié)出以下三個主要發(fā)展趨勢：
在RSA會議上，安博通產(chǎn)品經(jīng)理發(fā)現(xiàn)基于流量分析能力而衍生出來的解決方案越來越多，例如基于流量匹配信息來梳理安全策略、通過分析應(yīng)用層內(nèi)容進(jìn)行用戶畫像、通過分析空口傳輸參數(shù)進(jìn)行RAN（continuous radio access）網(wǎng)絡(luò)優(yōu)化等。隨著更多應(yīng)用需要流量深層內(nèi)容作為信息輸入，流量分析和可視化能力已經(jīng)成為一種標(biāo)準(zhǔn)的中間件，正在被定義得越來越標(biāo)準(zhǔn)：從最基本的五元組信息、用戶、時間信息，到七層應(yīng)用內(nèi)容、SSL加密信息、傳輸質(zhì)量參數(shù)，再到實時分析、歷史查詢、可視化呈現(xiàn)，所有層面上的需求都在通用化。
在中間件趨勢下，競品廠商之間也會通過方案合作的方式互相補(bǔ)充流量分析能力。例如，同樣作為領(lǐng)先的NPBs廠商，Gigamon與Flowmon各自擅長安全方案和性能管理方案，這兩家廠商也聯(lián)合推出了安全＋性能解決方案：Gigamon將流量進(jìn)行解析后通過API接口按照需要的格式提供給Flowmon平臺以實現(xiàn)雙重分析，過程中Gigamon的流量分析能力就完全作為中間件出現(xiàn)，這樣的合作案例在美國非常普遍。
圖：Gigamon和Flowmon推出聯(lián)合解決方案
說到國內(nèi)比較火熱的安全態(tài)勢感知，美國國家安全系統(tǒng)委員會對其的定義是：“在一定的時間和空間范圍內(nèi)，企業(yè)的安全態(tài)勢及其威脅環(huán)境的感知。理解這兩者的含義以及意味的風(fēng)險，并對他們未來的狀態(tài)進(jìn)行預(yù)測。”在態(tài)勢感知的最初始階段，就是由探針+Sensor組件來進(jìn)行基于原始流量的信息采集感知工作，再進(jìn)行安全大數(shù)據(jù)分析，從而實現(xiàn)預(yù)測和響應(yīng)。這里的提到的探針和Sensor組件，其實就對應(yīng)了NPBs產(chǎn)品的中間件概念，所以說NPBs是態(tài)勢感知方案的重要組件和數(shù)據(jù)來源。
一次拆包的概念在UTM切換到NGFW的時代被普遍提及，相對不同功能模塊多次拆包進(jìn)行流量解析的方式，NGFW產(chǎn)品強(qiáng)調(diào)使用統(tǒng)一流量識別引擎只進(jìn)行一次拆包，獲得更高性能和更強(qiáng)的架構(gòu)擴(kuò)展性。如今，當(dāng)安全防護(hù)已經(jīng)進(jìn)階到APT、0day、未知威脅的階段時，我們的網(wǎng)絡(luò)中經(jīng)常存在“多次解析”的問題。例如，當(dāng)我們在核心交換機(jī)上旁路部署了APM、APT防御、WAF等產(chǎn)品時，就會存在一份流量進(jìn)行多次旁路的情況，此時資源消耗型的任務(wù)就會帶來重復(fù)開銷：每個旁路系統(tǒng)都會進(jìn)行一次SSL解密、文件還原、內(nèi)容解析...更大的問題在于擴(kuò)展性，當(dāng)網(wǎng)絡(luò)帶寬從5G升級到10G時，旁路的流量也翻倍，此時所有的旁路系統(tǒng)也要進(jìn)行性能升級，這帶來了運(yùn)維和投資的雙重負(fù)擔(dān)。
所以在NPBs產(chǎn)品上，廠商正在實現(xiàn)一次解析的方案。例如Gigamon的實現(xiàn)方案如下圖所示：由交換機(jī)將流量執(zhí)行一次旁路到Gigamon設(shè)備后（分流負(fù)載），執(zhí)行一次全解析過程（提取分析），再利用合作開發(fā)的API接口將文件MD5、指紋信息、流量統(tǒng)計值等關(guān)鍵信息分發(fā)給多個旁路系統(tǒng)（數(shù)據(jù)應(yīng)用），最終完成業(yè)務(wù)流程閉環(huán)。
圖：Gigamon的一次解析方案示意圖
值得一提的是，安博通產(chǎn)品經(jīng)理在調(diào)研中發(fā)現(xiàn)，大多數(shù)平臺產(chǎn)品不需要執(zhí)行元數(shù)據(jù)（即Metadata，指原始報文文件）全存儲，而是可選只存儲Header等關(guān)鍵信息的模式，這種模式介于元數(shù)據(jù)存儲和日志記錄之間，平衡了存儲空間和信息顆粒度之間的沖突。
觀察網(wǎng)絡(luò)邊界的安全部署方案，從最早的“穿糖葫蘆”到“多次拆包”，再到“多次解析”，再到現(xiàn)在的 “一次解析”，一直保持著進(jìn)步更新的趨勢?？傮w來說，NPBs產(chǎn)品方案的出現(xiàn)，讓邊界安全的部署加簡潔高效，讓安全方案發(fā)揮得更加充分。
圖：一次解析＋多次復(fù)用的流程示意圖
分析2018年RSA會議中出現(xiàn)的NPBs廠商，一般會基于流量分析的基礎(chǔ)能力之上以研發(fā)或方案合作的方式推出幾個方向的產(chǎn)品，羅列如下供參考：
l 安全方向：云抗D、APT防御、未知威脅分析、威脅情報等產(chǎn)品。
l APM方向：網(wǎng)絡(luò)/應(yīng)用質(zhì)量管理和分析、流量統(tǒng)計分析與可視化呈現(xiàn)等產(chǎn)品。
l 特定應(yīng)用方向：社交輿情監(jiān)控、離職風(fēng)險分析、WLAN/LTE網(wǎng)絡(luò)質(zhì)量分析、視頻會議質(zhì)量分析、云應(yīng)用SLA管理等產(chǎn)品。
l 虛擬化和云方向：公有云、虛擬部署、數(shù)據(jù)中心東西向等場景的流量分析呈現(xiàn)等產(chǎn)品。
