Spør eksperten
Vil du be Brad Casey et spørsmål om nettverkssikkerhet? Send inn dine spørsmål nå via e-post. (Alle spørsmål er anonyme.)
Ifølge NSS Labs rapporten, etter enterprise-klasse nivåer av SSL-trafikk ble kastet på åtte ulike neste generasjons brannmurer (NGFWs), en gjennomsnittlig ytelse tap på 81% ble observert . Rapporten slår fast at nyttelast benytter 2048-bits kryptering koder ble belånt under testing, og mens et ekstremt høyt trafikkvolum ble brukt i simuleringen, testere advarte om at organisasjoner bør forvente volumet av bedriften SSL-trafikk for å øke ca 20% årlig på grunn av eksponentiell vekst i smarttelefon og tablet bruk.
Det blir åpenbart videre man leser gjennom rapporten at håndteringen av SSL-kryptert trafikk er en hindring på ytelse i nettverket, og hva blir enda tydeligere er at, i henhold til ulike kilder sitert i rapporten, kun ca 1% av eksisterende malware benytter SSL-kryptering. Så spørsmålet blir da, er å undersøke all SSL-trafikk som kommer inn og går ut av nettverket verdt tap i ytelse
Heldigvis dette trenger ikke å være et enten-eller proposition - i hvert fall ikke helt. Å forsvare seg mot SSL-kryptert malware, kan et foretak implementere avlasting metoden benyttes av Source Inc. og sitert i rapporten. I denne ordningen, er en tradisjonell brannmur utplassert for ikke-SSL-trafikk, og et separat, men korrelere apparatet (sannsynligvis en NGFW) er utplassert for å undersøke alle SSL-trafikk. Per rapporten, denne konfigurasjonen resulterte i minimal ytelse innvirkning for Source 8250 og 8290, de enhetene som gjorde det best ut av alle brannmurer testet.
Alternativt bedrifter kunne ta en vertsbasert tilnærming mot SSL-kryptert malware forsvar. I denne implementeringen er alt SSL-trafikk tillates gjennom brannmuren, og byrden av å undersøke den er plassert på hver enkelt node. Denne tilnærmingen kan fungere godt når visse lommer av et nettverkstilgang mer SSL-trafikk enn andre - for eksempel finansielle avdelinger ved hjelp av kryptering ved kommunikasjon med finansinstitusjoner og vice versa. Utnytte denne tilnærmingen holder ene delen av nettet (de finansielle avdelinger i dette tilfellet) fra kannibalisere nettverksressurser på bekostning av ikke-SSL brukere.
Til slutt, man kunne bare stikke med status quo. Hvis en risikoanalyse er gjort i forbindelse med det som forventet ytelse tap ville være, kan det synes det er mer praktisk å akseptere risikoen malware kryptering kan utgjøre. Anmeldelser