咨询热线:0371-63697068
解决方案

了解更多内容,请关注新思齐微信公众平台

报名热线:
0371-63697068
您当前位置:首页 >> 解决方案解决方案
监视加密网络流量的3种方法
发布时间:2020-02-07 浏览次数:160次

    普遍的网络流量加密阻碍深度包检测,但仍有方法可以检测并阻止很多攻击。多年来安全专家一直在敦促用户加密所有网络流量。下面河南新思齐公司小编就为大家分析一下监视加密网络流量的3种方法:

    1. 使用网络异常检测工具

    如果不能观测实际包内容,就得监视流量找出网络异常。那么,异常网络行为有哪些特征呢?想知道这一点,你得弄清楚正常行为的构成。比如说,通常不互联的主机之间出现的连接,无论是内部主机互联,还是内部主机与未知外部系统相连,都是值得怀疑的。

    TCP/UDP端口的非正常使用也是值得监视的一种行为。可在Dave端口列表上查看知名端口和不那么知名的端口。不仅仅是非正常端口的使用,还要看正常端口是否被非正常应用使用,比如为传输层安全(TLS)保留的443端口有没有用于传输明文流量。

    这些任务太过琐碎,不适合人工处理,有很多安全产品都尝试检测网络行为异常,包括IBM的QRadar、Juniper Sky Advanced Threat Protection,甚至还有开源的Snort IPS。最高级的产品,比如思科的 Encrypted Traffic Analytics,将监视与情报服务集成,跟踪全球系统中的异常行为。

    需要挖掘流量审查细节的时候,可以借助网络分析工具。Wireshark是最基本的,但Fiddler更适用于HTTP/HTTPS流量分析。Fiddler作者 Eric Lawrence 写的一篇文章阐述了怎样通过元数据及其他办法检查TLS流量。

    另一个有趣的工具集是来自Salesforce的JA3和JA3S。该工具集可捕获TLS连接特征,暴露出此类通信及连接使用方TLS实现的更多细节。

    2. 使用SSL/TLS代理服务器

    使用安全套接字层(SSL)/TLS代理服务器能很大程度上令加密流量可审查。包括加密通信在内的所有通信都要经过代理服务器,代理服务器在一端接受加密连接,解密流量,执行某些操作,然后重新加密并发送流量到目的地址。代理服务器执行的操作中就可以包含安全操作,比如恶意软件扫描和阻止禁用站点。很多第三方安全产品都可以用作SSL/TLS代理。

    此类代理服务器给已经很复杂的网络配置又添了一层复杂度。虽然可以通过缓存加速流量,但也存在拖慢流量的可能性。2017年,美国国土安全部(DHS)计算机应急响应小组(CERT)协调中心曾发出一条警报,称很多此类产品未进行恰当的证书验证,或者转发错误情况。很多安全专家,比如卡耐基梅隆大型的 Will Dormann,辩称SSL检查反而会引入更多风险。

    3. 准备应对非TLS加密

    网络包层级上的流量合法加密通常由SSL/TLS实现。但你可能遇到其他加密协议。有些是合法的,有些则不应该出现在你的网络上。

    其中最为模棱两可的协议就是Secure Shell (SSH)。很多管理和开发工作都通过SSH完成。问题在于,坏人也会用SSH。你不可能全面禁用SSH,总得为特定网络段和特定用户放行SSH。所以,不符合合法规程的SSH流量必须要在审查范围内。

    如果使用Windows终端,那网络上就会出现很多Windows终端服务器用的远程桌面协议(RDP)和Citrix服务器用的独立计算架构(ICA)。这些都是加密协议,通常使用TLS,但也可能在不同的TCP端口上,展现其他的差异。公司应设专人控制这些终端,具备审查其行为的能力。

    更隐蔽的是基于用户数据报协议(UDP)的快速UDP互联网连接(QUIC),这是TLS的低延迟版替代品。HTTP/3标准纳入了QUIC,但其基于UDP的特性限制了其应用。举个例子,防火墙通常全面阻止UDP入站。这仍是相当前沿的问题,你可能根本看不到。

    至于暗网所用的Tor,因为采用多层嵌套加密,除非有额外的隐私需求,普通用户完全有理由封禁。

    TLS的好处在于身份验证、加密和消息完整性,这是无可否认的。所有这些加密使一些合法的安全实践变得更加困难,但这点困难并不足以让你的流量保持不加密状态裸奔。无论是通过元数据,还是在终端检查,依然有很多工具可以保护你的用户和网络。


下一篇:大数据的三大障碍

上一篇:没有了

友情链接:   教育部产学合作协同育人项目平台   |   ATAC官网   |   新华三集团   |   红帽中国   |   全国职业院校技能大赛   |   红狐企业网   |   百度

报名咨询热线:
15037198095

Copyright © 郑州新思齐科技有限公司 www.xinsiqi.com
地址:郑州市郑东新区博学路277号正商学府广场B座503室   24小时手机:15037198095  
豫ICP备07000976号

  • ︵官方微信︶

点击这里给我发消息