網(wǎng)絡(luò)威脅特點
隨著網(wǎng)絡(luò)中的應(yīng)用越來越複雜，安全問題以出人意料的速度增長，並且在攻擊方法、攻擊目標上亦呈多樣化發(fā)展趨勢。對近兩年來黑客和病毒對網(wǎng)絡(luò)所造成的威脅進行總結(jié)，可以看出三個顯著特點：
第一：攻擊手段多樣化，以網(wǎng)絡(luò)病毒爲例，從震蕩波、沖擊波，還有QQ病毒，可以看出現(xiàn)在的網(wǎng)絡(luò)攻擊手段中，既包括病毒攻擊，也包括隱含通道、拒絕服務(wù)攻擊，還也許包括口令攻擊、路由攻擊、中繼攻擊等多種攻擊模式。
第二：每一次攻擊經(jīng)常是多種手段並用，混合攻擊正在成爲攻擊的主流；旌瞎羰侵冈谕淮喂糁校劝ú《竟、黑客攻擊，也包括隱通道、拒絕服務(wù)攻擊，還也許包括口令攻擊、路由攻擊、中繼攻擊等多種攻擊方法，如伊拉克戰(zhàn)爭期間流行的“愛情後門變種”病毒，集蠕蟲、後門、黑客三者功能于一身，給互聯(lián)網(wǎng)造成了巨大的破壞。
第三：攻擊手段更新速度亙古未有的快，業(yè)界知名的SANS協(xié)會在其2006二十大安全隱患列表中將“零日攻擊”的爆增列爲目前最嚴重的安全威脅。所謂“零時攻擊”是指如果一個漏洞被發(fā)現(xiàn)後，當天或更準確的定義是在24小時內(nèi)，馬上被惡意使用，出現(xiàn)對該漏洞的攻擊方法或攻擊行爲，而同時並未有對應(yīng)的防禦工具被開發(fā)出來，那麼該漏洞被稱爲“零日漏洞”，該攻擊被稱爲“零日攻擊”。
基于以上三方面對攻擊多樣化和調(diào)和特點的總結(jié)，可以明白爲什麼原先各自爲戰(zhàn)的安全國產(chǎn)產(chǎn)品總是處于疲于應(yīng)付的狀態(tài)，無法很好的實現(xiàn)對企業(yè)網(wǎng)絡(luò)安全的保護。企業(yè)中也許會有防病毒、防火牆、入侵檢測等一系列安全國產(chǎn)產(chǎn)品，這些國產(chǎn)產(chǎn)品産生大批不同形式的安全信息，使得整個系統(tǒng)的相互協(xié)作和統(tǒng)一管理成爲安全管理的難點。由此帶來的是，企業(yè)的安全管理體制也變得非常複雜，其系統(tǒng)配置、規(guī)則設(shè)置、反應(yīng)處理、設(shè)備管理、運行管理的複雜性所帶來的管理成本和管理難度直接制約了安全防禦體系的有效性，因而導(dǎo)致了網(wǎng)絡(luò)安全的重大隱患。
可以說複雜的網(wǎng)絡(luò)安全解決方案成爲人們關(guān)注的一個新焦點問題，如何使複雜變成簡單，成爲網(wǎng)絡(luò)管理人員的一個困惑。UTM就是在這種背景下應(yīng)運而生的，它的定義是將多種安全能力(特別是傳統(tǒng)上講的防火牆能力、防病毒能力、攻擊保護能力)調(diào)和在一個國產(chǎn)產(chǎn)品之中，實現(xiàn)防禦一體化，這樣就爲簡化安全解決方案、規(guī)避設(shè)備兼容性問題、簡化安全管理提供了先決條件。因此，全面的立體防禦是UTM存在的理由，更是UTM發(fā)展的方向，那麼UTM所保護的網(wǎng)絡(luò)將面臨哪些威脅，或者說UTM應(yīng)該提供哪些安全能力呢？
網(wǎng)絡(luò)邊界所面臨的威脅
我們需要分析一下網(wǎng)絡(luò)邊界所面臨的威脅，依據(jù)互聯(lián)網(wǎng)協(xié)議的五層結(jié)構(gòu)，我們可以歸結(jié)各類威。
數(shù)據(jù)鏈路層
拒絕服務(wù)：網(wǎng)絡(luò)設(shè)備或者終端均需具有相鄰設(shè)備的硬件地址信息表格。一個典型的網(wǎng)絡(luò)侵入者會向該交換機提供大批的無效 MAC 源地址，直到硬件地址表格被添滿。當這種情況產(chǎn)生的時候，設(shè)備將不能夠獲得準確的硬件地址，而無法進行正常的網(wǎng)絡(luò)通訊。
地址欺騙：在進行 MAC 欺騙襲擊的過程中，已知某主機的 MAC 地址會被用來使目標交換機向襲擊者轉(zhuǎn)發(fā)以該主機為目的地址的數(shù)據(jù)幀。通過發(fā)送帶有該主機以太網(wǎng)源地址的單個數(shù)據(jù)幀的辦法，網(wǎng)絡(luò)襲擊者改寫了目標設(shè)備硬件地址表格中的條目，使得交換機將以該主機為目的地址的數(shù)據(jù)包轉(zhuǎn)發(fā)給該網(wǎng)絡(luò)襲擊者。通過這種方法，黑客們可以偽造 MAC 或 IP 地址，以便實施如下的兩種襲擊：服務(wù)拒絕和中間人襲擊。
網(wǎng)絡(luò)層
拒絕服務(wù)：網(wǎng)絡(luò)層的拒絕服務(wù)襲擊以網(wǎng)絡(luò)資源消耗為目的，它通過制造海量網(wǎng)絡(luò)數(shù)據(jù)報文或者使用網(wǎng)絡(luò)漏洞使系統(tǒng)自身循環(huán)產(chǎn)生大批報文將用戶網(wǎng)絡(luò)帶寬完全消耗，使合法用戶得不到應(yīng)有的資源。典型的如Ping flood 和Smurf襲擊，一旦襲擊成功實施，網(wǎng)絡(luò)出口帶寬甚至是整個局域網(wǎng)中將充滿這些非法報文，網(wǎng)絡(luò)中的設(shè)備將無法進行正常通訊。
地址欺騙：同鏈路層的地址欺騙目的是一樣的，IP地址欺騙同樣是爲了獲得目標設(shè)備的信任，它使用僞造的IP發(fā)送地址産生虛假的數(shù)據(jù)分組，喬裝成來自內(nèi)部主機，使網(wǎng)絡(luò)設(shè)備或者安全設(shè)備誤以爲是可信報文而允許其通過。
非授權(quán)訪問：是指沒有預(yù)先經(jīng)過同意，就使用網(wǎng)絡(luò)或計算機資源被看作非授權(quán)訪問，對于一個脆弱的信息系統(tǒng)，這種威脅是最常見的。
傳輸層：
拒絕服務(wù)：傳輸層的拒絕服務(wù)襲擊以服務(wù)器資源耗盡為目的，它通過制造海量的TCP/UDP連接，耗盡服務(wù)器的系統(tǒng)連接資源或者內(nèi)存資源。這種情況下，合法用戶發(fā)出連接請求卻因服務(wù)器資源耗盡而得不到應(yīng)答。典型的如TCP Flood和UDP Flood襲擊，目前在互聯(lián)網(wǎng)上這類襲擊工具隨處可見，因其技術(shù)門檻低而被大批使用，是互聯(lián)網(wǎng)的幾大公害之一。某些情況下，襲擊者甚至將襲擊提升到應(yīng)用層，既不只是發(fā)出連接，同時發(fā)出應(yīng)用數(shù)據(jù)，如此的襲擊因不易與合法請求區(qū)分而更加難以控制。
端口掃描：端口掃描襲擊是一種探測技術(shù)，襲擊者可將它用于尋找他們能夠成功襲擊的服務(wù)。連接在網(wǎng)絡(luò)中的所有計算機都會運行許多使用 TCP 或 UDP 端口的服務(wù)，而所提供的已界說端口達6000個以上。通常，端口掃描不也許造成直接的損失。然而，端口掃描可讓襲擊者找到可用于鼓動各種襲擊的端口。為了使襲擊行為不被發(fā)現(xiàn)，襲擊者通常使用緩慢掃描、跳躍掃描等技術(shù)來躲避檢測。
應(yīng)用層：
信息竊聽與改篡：互聯(lián)網(wǎng)協(xié)議是極其脆弱的，標準的IP協(xié)議並未提供信息隱秘性保證服務(wù)，因此衆(zhòng)多應(yīng)用協(xié)議也以明文進行傳輸，如Telnet、FTP、HTTP等最常用的協(xié)議，甚至連用戶口令基本上明文傳輸。這爲攻擊者打開了攻擊之門，他們可以在網(wǎng)絡(luò)的必經(jīng)之路搭線竊聽所關(guān)心的數(shù)據(jù)，盜取企業(yè)的關(guān)鍵業(yè)務(wù)信息；嚴重的甚至直接對網(wǎng)絡(luò)數(shù)據(jù)進行修改並重放，達到更大的破壞目的。
非法信息傳播：由于無法阻止非法分子進入網(wǎng)絡(luò)世界，互聯(lián)網(wǎng)上充滿著反動、色情、強力、封建迷信等信息。非法分子通過電子郵件、WEB甚至是IM協(xié)議不斷的發(fā)送各種非法信息到世界各地的網(wǎng)絡(luò)終端上去。這些行爲極大的破壞了社會的安定與和諧，對整個社會來講，危害極大。
資源濫用：IDC的統(tǒng)計曾顯示，有30%~40%的Internet訪問是與工作無關(guān)的，同時這些訪問消耗了相當大的帶寬，一個不受控的網(wǎng)絡(luò)中90%帶寬被P2P下載所占用。這對于網(wǎng)絡(luò)建設(shè)者來講完全是災(zāi)難，它意味著投資使用率低于10%。
漏洞使用：網(wǎng)絡(luò)協(xié)議、操作系統(tǒng)以及應(yīng)用軟件自身存在大批的漏洞，通過這些漏洞，黑客能夠獲取系統(tǒng)最高權(quán)限，讀取或者更改數(shù)據(jù)，典型的如SQL注入、緩沖區(qū)溢出、強力猜解口令等。在衆(zhòng)多威脅中，使用系統(tǒng)漏洞進行攻擊所造成的危害是最全面的，一旦攻擊行爲成功，黑客就可以爲所欲爲。
病毒：病毒是最傳統(tǒng)的信息系統(tǒng)破壞者，隨著互聯(lián)網(wǎng)的普及和廣泛應(yīng)用，計算機病毒的傳播形式有了全然的改變，網(wǎng)絡(luò)已經(jīng)成爲病毒的要緊傳播途徑，用戶感化計算機病毒的幾率大大增加。同時病毒正在加速與黑客工具、木馬軟件的調(diào)和，可以說病毒的破壞力達到了亙古未有的程度。
木馬：特洛伊木馬是一種惡意順序，它們靜靜地在宿主機器上運行，就在用戶毫無察覺的情況下，讓攻擊者獲得了遠程訪問和控制系統(tǒng)的權(quán)限。攻擊者經(jīng)常把特洛伊木馬隱藏在一些遊戲或小軟件之中，誘使馬虎的用戶在自己的機器上運行。最常見的情況是，上當?shù)挠脩粢N從不正規(guī)的網(wǎng)站下載和運行了帶惡意代碼的軟件，要麼不警惕點擊了帶惡意代碼的郵件附件。
UTM基礎(chǔ)應(yīng)用不可忽視
作爲安全的多面手，UTM設(shè)備必須有一個整合功能的基礎(chǔ)平臺，目前在技術(shù)上，要緊分爲兩大分支。
一類是以高性能防火牆爲基礎(chǔ)的UTM設(shè)備。這是目前多數(shù)UTM廠家的做法。對這種設(shè)備來說，一般都集成了全功能的防火牆，並在此基礎(chǔ)上進入VPN、IDS、防病毒等功能。有業(yè)內(nèi)人士甚至表達，這種設(shè)備主假如爲了取代防火牆。
另一類是以高端IPS爲基礎(chǔ)，不斷演化出UTM設(shè)備。這種做法比較新，包括防火牆、VPN、帶寬管理、網(wǎng)頁內(nèi)容過濾等安全模塊都會被安頓到IPS的平臺之上。這種做法對于IPS的性能、誤報率、可靠性的要求都相當高，但是帶來的好處也是顯而易見，由于IPS的優(yōu)勢，可以對日益增多的系統(tǒng)滲透與複合攻擊進行阻斷與控制。
不過要強調(diào)的是，對于以IPS爲基礎(chǔ)的UTM國產(chǎn)產(chǎn)品，所集成的防火牆必須是全功能國產(chǎn)產(chǎn)品。特別是像NAT、動態(tài)端口等功能都要支持。因爲如果僅僅集成了精簡版的防火牆，對于有意延伸到高端應(yīng)用的UTM顯然不符適。另外，這類國產(chǎn)產(chǎn)品的吞吐量與誤報率也不能忽視，畢竟這將對用戶的網(wǎng)絡(luò)運行帶來影響。
總之，無論采用哪種方法，UTM在一定時期內(nèi)，都會重點強調(diào)某一方面的功能強大，而這也正是UTM的“特色”不管是防火牆，還是IPS，甚至是防病毒，附加的功能基本上一個強有力的補充，是業(yè)余選手或半職業(yè)選手。但即使這樣，對于一般用戶也是足夠了。
