NGFW изнутри. Вся правда от ведущего эксперта. Часть 3

SecLab

6 Jun 202412:32

Summary

TLDRДенис Баранков, руководитель направления безопасности в POS Technologies, делится своими 30-летними знаниями о влиянии трафика на производительность межсетевых экранов нового поколения. Он объясняет важность анализа транзакций на уровне L7, а не только фреймов или пакетов, и как различные размеры транзакций влияют на производительность устройств. Также обсуждается значение одновременных сессий и предоставляются рекомендации по выбору межсетевого экрана, основываясь на реальных требованиях сети и миксах протоколов.

Takeaways

😀 Дениc Баранков, руководитель направления безопасности в POS Technologies, делится своими знаниями об информационной безопасности.
🔒 Обсуждается, как трафик влияет на производительность межсетевых экранов нового поколения, с акцентом на различии между уровнями L3 и L4 амортизаторов и L7.
📈 Уровни L3 и L4 имеют определенные параметры, такие как Frame per Second или Packet per Second, но они не всегда отражают реальную скорость работы устройств.
🚀 Уровень L7 анализирует транзакции, что более точно отражает, как приложения взаимодействуют друг с другом, например, через HTTP-запросы.
📊 Различные производители могут измерять производительность на разных размерах транзакций, что может привести к значительным различиям в показателях.
📚 Примеры с дата-шитами (dat sheet) различных компаний, таких как Fortinet, Palo Alto Networks и Cisco, демонстрируют различия в измерениях производительности.
🧐 Важно учитывать, что производительность устройств может варьироваться в зависимости от микса протоколов и размера транзакций, использованных в тестах.
📝 NSS Labs ежегодно проводит тесты производительности устройств безопасности, меняя размер транзакций для точного измерения.
🔎 Рекомендуется использовать HTTP 64 КБ как основу для оценки трафика в сети, так как это наиболее точно отражает типичный трафик.
🔗 Количество одновременных сессий (concurrent connections) является ключевым параметром при выборе межсетевого экрана нового поколения.
🔑 Для оценки количества одновременных сессий предполагается, что каждый хост генерирует в среднем 100 одновременных сессий.

Q & A

Что означает аббревиатура L3 и L4 в контексте безопасности сети?
-L3 и L4 относятся к уровням инспекции трафика в межсетевых экранах. Уровень L3 (Network Layer) анализирует данные на третьем уровне модели OSI, включая IP-адреса и порты TCP/UDP. Уровень L4 (Transport Layer) анализирует дополнительно протоколы транспортного уровня, такие как TCP и UDP.
Какой параметр определяет производительность межсетевого экрана на уровне L7?
-На уровне L7 производительность определяется параметром 'транзакций в секунду' (transaction per second), который измеряет количество транзакций, обрабатываемых в секунду, включая размеры транзакций и протоколы приложений.
Почему значения производительности на уровне L7 могут отличаться от значений на уровнях L3 и L4?
-Значения производительности на уровне L7 могут отличаться, потому что L7 включает в себя анализ приложений и транзакций, что требует больше ресурсов для обработки, в отличие от L3 и L4, где анализ ограничен только сетевыми и транспортными уровнями.
Что такое 'даташит' и как он используется для измерения производительности?
-Даташит (datasheet) - это техническая документация, предоставляемая производителем, которая содержит информацию о характеристиках и возможностях продукта. В контексте безопасности, даташиты используются для измерения и сравнения производительности устройств, таких как межсетевые экраны.
Какое значение имеет размер транзакции при измерении производительности HTTP протокола?
-Размер транзакции определяет количество данных, обрабатываемых в ходе одной HTTP-транзакции, включая заголовки и тело запроса/ответа. Он влияет на производительность, так как большие транзакции требуют большего объема обработки и анализа.
Какое соответствие между размером транзакции и производительностью устройств Cisco?
-В примере из скрипта упоминалось, что Cisco измеряет производительность на размере транзакции 250 КБ, что приводит к тому, что производительность устройства может показаться в четыре раза выше, чем на самом деле, если сравнивать с другими методами измерения.
Что такое NSS Labs и как они связаны с тестированием производительности?
-NSS Labs - это независимая компания, специализирующаяся на тестировании и анализе продуктов безопасности. Они проводят ежегодные тесты производительности устройств, включая межсетевые экраны, и измеряют их способность обработки трафика с различными характеристиками.
Какое значение имеет микс протоколов при измерении производительности межсетевого экрана?
-Микс протоколов влияет на производительность, так как каждый протокол может требовать разных ресурсов для анализа и обработки. Устройства могут показывать различную производительность в зависимости от того, какие протоколы включены в их тестовом наборе.
Что такое одновременные сессии (concurrent connections) и почему они важны при выборе межсетевого экрана?
-Одновременные сессии - это количество активных соединений, которые может обработать межсетевой экран в одно и то же время. Это важный параметр при выборе устройства, так как он определяет его способность обслуживать запросы пользователей и обеспечивать стабильную работу сети.
Какое количество одновременных сессий генерирует в среднем каждый хост в сети?
-Согласно скрипту, можно предположить, что в среднем каждый хост генерирует около 100 одновременных сессий, что должно быть учтено при выборе межсетевого экрана.
Что такое SSL и как он влияет на количество одновременных сессий?
-SSL (Secure Sockets Layer) - это протокол для защиты передачи данных в сети, который использует шифрование. Он может уменьшить количество одновременных сессий, так как требует дополнительных ресурсов для обеспечения безопасности.

Outlines

00:00

😀 Информационная безопасность и производительность сетевых экранов

Денис Баранков, руководитель направления безопасности компании POS Technologies, делится своими знаниями о влиянии трафика на производительность сетевых экранов нового поколения. Он объясняет разницу между уровнями L3 и L4 амортизаторов, а также важность анализа транзакций на уровне L7. Денис подчёркивает, что нереальные скорости, указанные в даташитах, могут существенно отличаться от реальных, что подтверждается тестами компании NSS Labs, где производительность сетевых экранов с разным размером транзакций оказывается сильно разной.

05:00

😉 ИмпортANCE транзакций и микса протоколов в сетевых экранах

Второй параграф подчёркивает, что размер транзакции и микс протоколов играют ключевую роль в производительности сетевых экранов. Денис Баранков уточняет, что HTTP-трафик, который наиболее часто встречается в сетях, отражает только часть всей картины. Он также указывает на то, что разные поставщики могут использовать разные миксы протоколов для тестирования своих устройств, что влияет на их производительность. Примеры с даташитами Check Point и Fortinet демонстрируют, как изменение набора приложений в миксе может существенно изменить производительность сетевого экрана.

10:00

😌 Выбор сетевого экрана: важные параметры и их оценка

В заключительном параграфе Денис Баранков рассматривает три ключевых параметра при выборе нового поколения сетевых экранов: число новых соединений, количество одновременных соединений (concurrent connections) и пропускная способность (сру). Он подчёркивает важность понимания этих параметров и их корректной оценки, отметив, что разница в производительности между разными уровнями амортизаторов может быть существенной. Денис также дает рекомендации по определению числа одновременных соединений для выбора подходящего сетевого экрана и делится своими взглядами на возможные подвохи в даташитах.

Mindmap

Keywords

💡Информационная безопасность

Информационная безопасность - это область, связанная с защитой данных и информационных систем от несанкционированного доступа, потери, изменения или уничтожения. В контексте видео это основная тема, так как Денис Баранков, руководитель направления по безопасности, делится своими знаниями в этой сфере.

💡Производительность

Производительность в видео описывается как важный параметр для оценки эффективности межсетевых экранов нового поколения. Денис Баранков обсуждает, как трафик и транзакции влияют на производительность и как это может быть измерено.

💡Трафик

Трафик в видео связан с объемом данных, передаваемых через сеть. Автор говорит о том, что уровень трафика и его тип, такие как UDP или TCP, могут влиять на производительность межсетевых экранов.

💡Транзакции

Транзакции в контексте видео представляют собой обмен данными между приложениями, например, запросы и ответы между браузером и веб-сервером. Размер транзакции является ключевым параметром при измерении производительности на уровне L7.

💡L3 и L4

Уровни L3 и L4 относятся к стекам протоколов OSI, где L3 - это сетевой уровень, а L4 - транспортный. В видео упоминается, что для этих уровней существуют нормальные параметры амортизаторов, связанные с производительностью.

💡L7

Уровень L7 относится к приложенному уровню протокола OSI, где происходит анализ транзакций на основе приложений. В видео Денис Баранков обсуждает важность анализа транзакций на уровне L7 для точной оценки производительности.

💡Дат-шиты

Дат-шиты (datasheets) - это технические документы, содержащие информацию о продукте, его характеристиках и возможностях. В видео упоминается, что дат-шиты могут содержать разные параметры для измерения производительности, влияющие на выбор межсетевого экрана.

💡Пропускная способность

Пропускная способность - это способность устройства передавать данные в сеть. В видео это один из ключевых параметров, которые Денис Баранков рекомендует рассматривать при выборе межсетевого экрана.

💡Одновременные сессии

Одновременные сессии описывают количество активных соединений, которые может обработать устройство в определенный момент времени. В видео это параметр, который помогает определить, насколько эффективен будет межсетевой экран для предполагаемой нагрузки.

💡Тесты производительности

Тесты производительности - это процессы, используемые для измерения эффективности работы оборудования, в данном случае межсетевых экранов. В видео упоминается о компании NSS Labs, которая проводит такие тесты и определяет, насколько производительность соответствует заявленным характеристикам.

Highlights

Денис Баранков, руководитель направления безопасности в POS Technologies, обсуждает влияние трафика на производительность межсетевых экранов нового поколения.

Обсуждение L3 и L4 уровней амортизаторов и их нормальных параметров, указанных в даташитах.

Уровень L7 требует анализа транзакций для понимания эффективности работы межсетевого экрана.

Различие в измерении производительности на основе размера транзакции HTTP в разных даташитах.

Влияние выбора размера транзакции на производительность устройств от различных производителей.

Тесты компании NSS Labs, демонстрирующие разницу в производительности при изменении размера транзакции.

Рекомендация для выбора межсетевого экрана с учетом размера транзакции HTTP 64 КБ для более точного отражения сетевого трафика.

Важность учета микса протоколов при выборе межсетевого экрана и анализе производительности.

Различие в производительности устройств с одинаковой скоростью измерения из-за различий в размере транзакций.

Влияние набора приложений (Application Mix) на производительность межсетевого экрана и его тестирование.

Изменение скорости межсетевого экрана Checkpoint в зависимости от набора приложений и транзакций.

Примеры тестирования производительности Palo Alto Networks и Fortinet с различными Application Mix.

Важность измерения производительности на основе размера транзакции для точного определения эффективности межсетевого экрана.

Параметр одновременных сессий (concurrent connections) как ключевой фактор при выборе межсетевого экрана.

Различие в количестве одновременных сессий для L4 и L7 уровней безопасности в даташитах.

Влияние анализа приложений и безопасности на количество одновременных сессий, отмеченное в даташитах.

Использование примера устройства cisco ACE для иллюстрации разницы в одновременных сессиях для TCP, HTTP и SSL.

Подводя итог, Баранков подчёркивает значимость размера транзакции, одновременных сессий и пропускной способности при выборе межсетевого экрана.