採用網路、資安與管理統合的安全新架構，
輕易做好資安事件即時分析與防護
統合網路、資安與管理之資安聯合防禦 解決方案
在組織花費龐大的經費建置網路基礎架構、資料中心、各種軟體系統之後，如何維持網路與所有系統正常運作是IT人員追尋的目標。真正讓IT人員頭疼不已的狀況是時好時壞的效能；短暫性與間歇性的網路癱瘓；以及服務系統無法回應使用者請求的狀況。究其根源，主要是導因於組織對IT系統出現異常問題前的預防措施與出現異常問題後的即時除錯能力尚未臻完善。有沒有方法可以即時找到造成異常問題的根源，快速且精準的處置？ HP 身為全球最大的IT供應商，為客戶所提供的不僅是從網路到資料中心全系列的優質基礎建設，更重視協助客戶在IT建設完成之後做好維運工作，讓網路運作、資安防護、管理維運 不再拼拼湊湊，龐大的IT建置經費能夠真正發揮該有的效益。期能透過網路、資安與管理之一舉到位與完美整合的解決方案，為客戶找到真正有效且好操作的維運方式。
資安聯合防禦的重要性
過去在閘道端架設防火牆即能解決所有資安問題的時代經過去，新的攻擊途徑、新的攻擊類型層出不窮，資訊安全的防護角度，也不得不必須從過去的分層各自負責，改變為進行聯合防禦。這樣的聯合防禦在面對未知來源、未知方法的惡意攻擊時，更顯重要。新型態的攻擊時間短暫、具備多重來源，但造成的影響巨大，缺乏一個高效能的資安聯合防禦解決方案，將無法辨認與及時阻止此類攻擊。
我們面對的資安工作
(圖一) 資安拼圖
這些資安工作與必須解決的問題包括：
• 阻擋IM/P2P/Facebook
- 侵權問題
- 占用頻寬,導致重要的服務緩慢
- 防火牆負荷不了
- 員工上網行為控管
• 漏洞入侵與零時差攻擊
- 微軟、Adobe漏洞ㄧ大堆
- 零時差攻擊滿天飛
- 電腦全成別人的禁臠
- 安裝木馬,後門與間諜程式
• Botnet與暴力密碼破解
- 電腦遭入侵成殭屍
- 被利用來為非作歹
- 暴力破解伺服器密碼
- IRC
• Web Application與資料庫保護
- SQL Injection
- PHP exploit
- XSS
我們提供的解決方案 –
HP 統合網路、資安與管理統合之資安聯合防禦 解決方案
現今許多網路運作異常；伺服器服務無法存取的問題都是起因於資安事件。欲發揮IT系統的效益，就必須掌握並控制網路裡的每一個惡意行為，而優良且判斷準確的資安技術正是可以協助網路維運的關鍵角色。 HP所提供的統合網路、資安與管理之資安聯合防禦解決方案，由省能之星HP Networking Switch設備擔任基礎架構；全球最佳的入侵防禦系統HP TippingPoint負責資安工作；搭配方便易用的 Reporter事件分析及中文報表系統，將可涵蓋組織以下的主要需求：效能優異的網路；異常事件的立即反映與處置；員工上網行為規範；資安防護與重要資料保護；準確而有效的端點管理；因應個資法的Syslog儲存備查要求；操作容易、報表清晰的中文介面操作系統；以及最重要的超高投資報酬率。
(圖二) 此解決方案 聯合防禦運作示意圖
解決方案 之特色
• 組織的上網行為控管
不當的上網行為除了影響組織生產力之外，P2P與IM軟體傳檔功能濫用的結果往往造成網路效能的沉重負荷、智慧財產侵權甚至組織重要資料的外洩。而WEB 2.0的互動功能早已成為駭客向組織內人員散播惡意程式的方便管道，就在人們觀賞微網誌、部落格或是社群網站的同時，惡意程式已經悄悄植入使用者的電腦，進行個資的竊取或是當成攻擊他人的跳板。
全球首屈一指的入侵防禦系統HP TippingPoint內建AppDV＜應用程式數位疫苗＞能辦識數百種網路服務包括P2P、IM、串流影音、社群網站、線上遊戲、VPN Tunnel/Proxy/遠端連線軟體、Web Mail等等，並可依據組織的管理政策實行阻擋、監控或是限頻動作。採用新一代XLR網路晶片作為運算核心的HP TippingPoint IPS擁有優越的處理效能，能夠讓IT人員彈性的設定多個檢查與管理政策在同一部HP TippingPoint設備上卻沒有效能問題。
• 零時差與漏洞入侵的防護
當一個系統的漏洞被發現之後，該系統的研發原廠應立即修改程式，並發佈Patch讓使用者進行更新的工作以免遭駭。倘若研發原廠對漏洞修補動作回應時間太冗長導致遲遲無法提供Patch補丁給用戶，而在這段空窗期間駭客已經製作完成惡意程式並且開始進行入侵行為，這就形成了＜零時差攻擊＞，組織裡的電腦系統將面臨極高的入侵風險。
HP TippingPoint多年以來致力於全球各種重要系統的漏洞研究上，其中ZDI＜Zero Day Initiative
http://www.zerodayinitiative.com/＞計畫結合了來自各國千名以上的資安專家共同為漏洞入侵提出防禦方案。以微軟系統為例，從2006年到2010年為止，HP TippingPoint的DVLabs小組總共替微軟找到73個漏洞(佔總數359的20%)，提供給微軟作為修補漏洞的參考依據，微軟在官網的Bulletin中更提及HP TippingPoint達109次，這個研究成果遠優於其他競爭友商，所有建置HP TippingPoint IPS的客戶能夠最早最即時擁有防護能力，無須擔心＜零時差攻擊＞的危害，讓IT人員有充足的時間慢慢研究 Patch 程式之軟體相容性，也無需擔心定期維護時間未到無法執行 Patch安裝重開系統的問題。
(圖三) TippingPoint 的研究成果發現微軟系統最多的漏洞
• 暴力密碼猜測攻擊的阻止
常遇見的帳號密碼取得技倆，包括運用社交工程詐騙類型的釣魚郵件(Phishing)以及發起巨量暴力猜測手段等。社交工程(Social Engineering)的防範之道在技術做法上可佈建HP TippingPoint IPS，其內建的反釣魚(Anti-phishing)過濾器可保護組織裡的人員不會誤連釣魚網站。但當組織內有幾部電腦設備遭植入惡意的暴力密碼猜測程式，假借員工身份對AD系統發送大量認證請求，而導致諸多員工帳號被AD鎖死而無法登入網域使用網路資源，嚴重影響到組織的生產力時，要如何偵測到暴力猜密碼的行為並予以立即阻絕是IT人員頭痛的課題。
(圖四) 暴力密碼猜測攻擊影響組織內部員工無法登入網域
HP TippingPoint IPS可以持續監控網路中AD登入失敗的行為，再透過自動學習機制了解組織過去的AD登入失敗行為曲線，用來比對每一分鐘的AD登入失敗次數是否合理，只要一發現異常突增情況，將立即通知IT管理者，並呈現出攻擊來源IP、名稱、猜測次數以及在哪部網路交換機底下(如果該IP位於內網中)等資訊。
(圖五、圖六) 解決方案提供自動學習分析機制，能了解組織過去AD登入異常的行為曲線，並快速找到攻擊來源
除了即時分析功能，HP TippingPoint IPS亦提供方便好用的處置作為幫助IT管理者將這樣的攻擊瞬間排除掉，恢復組織正常營運。如果攻擊來自外部，IT管理者可以下達阻擋指令到建置於Internet入口處的HP TippingPoint IPS上封阻後續的猜測行為；如果攻擊是來自內部，則阻擋指令能夠深入到HPN L2 Switch上，封鎖該IP，避免惡意程式持續散播感染造成災害的擴大，等同於作到端點防護的效果。此外，IT管理者也可以預設封阻時間的長短，系統將自動解除阻擋作為，大大減輕維運負擔。
• 資料庫重要資訊的防竊
資料庫的竊取技術對很多懂資料庫語法與架構概念的駭客來說進入門檻並不高，而且一但入侵成功其獲利又會非常豐碩，因此讓許多駭客爭相投入這個領域， SQL Injection等型態的攻擊佔所有攻擊事件的比例逐年遽增中，也就表示，IT部門迫切需要建立相對應的防護能力來防止來自駭客的資料庫竊取行為。
HP TippingPoint IPS針對SQL Injection攻擊提供相當完整而有效的保護，建議組織可將HP TippingPoint IPS佈署在前端Web Portal與存取服務的Client之間。
• DDoS與服務癱瘓攻擊的防禦
DDoS可概分成兩類：一是每個攻擊端發送巨量封包，主要用意是侵蝕頻寬與造成網路設備如防火牆、線路負載平衡設備與路由器等的效能負擔；另一種則是集結眾多攻擊者一起發動服務請求，但是每一個攻擊者僅送小量的方式，訴求的目的通常是為了猜測帳號與資料竊取，也可用來讓伺服器的CPU飆高導致服務停擺。針對第一類的攻擊型態，HP TippingPoint IPS透過Threshold的設定來制定每一個來源IP的可連線門檻，過濾超過合理值的巨量封包，達到保護的效果。至於第二種DDoS攻擊類型則需要啟動異常行為自動學習機制作為監控的法則。組織可能會面臨到不同嚴重程度、不同型態的DDoS攻擊，使用HP解決方案將可以有效抵擋DDoS，確保網路運作與系統服務的平順。
DDoS攻擊常見的內容與手法是駭客運用網軍技術指揮多部電腦同時對組織的DNS發動不存在網址查詢，造成服務回應緩慢，影響上網品質。過程中每部電腦僅發送少量請求，因此能夠輕易規避流量分析系統的監控不被找到。HP TippingPoint IPS屬於第七層的資安設備，能夠深入分析各種DNS查詢行為對DNS伺服器所造成的影響。
HP解決方案防禦這樣的 DDOS攻擊的處理流程是：HP TippingPoint IPS持續在網路中監控NXDOMAIN查詢行為，分析系統根據過去的歷史紀錄比對後發現異常突增，即時發送訊息給組織的網路管理者，並顯示出攻擊來源IP、國別以及查詢次數等資訊，管理人員確認無誤可以下達阻擋指令到HP TippingPoint IPS上，將所有攻擊來源IP封阻在Internet入口處，DNS效能即回復正常，組織內上網瀏覽也即回復正常。整個過程從發生攻擊那刻起到確定攻擊手法與來源IP群，下達阻擋指令恢復網路運作僅耗時不需10分鐘。
(圖七、圖八) 解決方案提供自動學習分析機制，能了解組織 DNS Query異常的行為曲線，並快速找到攻擊來源
• 內網端點防護
組織內網電腦管理一向是IT人員的頭疼工作，有太多行動電腦可以進出組織、USB行動碟管控不易、無線網路與3G服務的普及等因素讓組織內網電腦常常曝露在遭受入侵或是感染惡意程式的風險之中。許多IT人員會考慮使用NAC來加強管控，這個作法對於身分識別與連網設備的管控雖有其優勢，但是IT人員卻必須面對相當複雜的建置過程、人員教育、政策制定以及不斷的調整，工作負擔不減反增的情況比比皆是，而更嚴重的問題是：如果電腦遭植入惡意程式而操作這部電腦的使用者又通過了NAC認證取得網路存取權限，後續發送的惡意行為對NAC系統來說是非常難以察覺的。
駭客攻擊常見的內容與手法是發出巨量ICMP Fragmented Packets，同一時間對少數幾個目標發動癱瘓攻擊，導致目標組織之頻寬消耗殆盡。 針對這樣的攻擊，HP Networking端點防護整合方案提供更好的方式來檢查與管理內網的惡意行為。於HP TippingPoint IPS所提供的事件報表上，我們可以發現巨量ICMP Fragmented Packets來自於於哪些電腦，對哪些目標發動癱瘓攻擊。透過報表行為分析系統，我們可以看見異常突增事件的出現。當發現這樣的事件，IT 人員可立即執行以下二個階段的處置作為：首先，在HP TippingPoint IPS上將ICMP Fragmented Packets行為從監控模式改成攔阻，在這些封包進入前先行濾掉，避免頻寬資源遭佔據；如有必要，下個動作可針對這些發動攻擊的內部電腦進行端點阻擋，透過報表系統下達IP Base的阻擋條件到HPN L2 Switch上。
(圖九、圖十) 解決方案提供自動學習分析機制，能了解組織 ICMP Fragment 異常的行為曲線，並快速找到攻擊來源
• 大量連線穿越造成防火牆導致效能不足的防禦
防火牆必須建立Connection Table資訊作為執行NAT轉換以及阻擋或是放行動作的依據。網路中過多的連線數很容易就可以注滿整張Table而讓防火牆出現效能障礙。
HP TippingPoint IPS並不建立Connection Table，所以不會成為網路的瓶頸。它的運作像是一部濾水器，將網路中的有害攻擊過濾後，不論這些攻擊是來自外網或是內網，僅放行乾淨無害的流量。建議組織可將HP TippingPoint IPS用包夾防火牆的作法佈署於網路架構中，如此就可為防火牆過濾掉許多不必要處理的惡意連線行為。此外，組織透過HP TippingPoint IPS執行人員上網行為控管，例如禁止P2P傳輸，亦可幫助防火牆省去不少NAT轉換的負擔。
(圖十一) 此解決方案可為防火牆過濾掉許多不必要處理的惡意連線行為
• 新版個資法的Log儲存與中文報表
除了資安事件即時分析功能，HP統合之資安聯合防禦解決方案中亦提供Log儲存與中文報表系統，具備以下多項優異功能：
Ø 自動偵測與接收多個來源的Syslog Data，接收能力達4,000/Sec
Ø 可輸入多筆查詢條件進行邏輯運算(or與not)，條件內容包括事件關鍵字、IP、各項參數等，輸入條件數無限制
Ø 可儲存高達六億筆Syslog Data
Ø 統計一千萬筆Syslog Data的 TOP 1000報表僅需48秒
Ø 支援報表Drill Down查詢事件
Ø 動態呈現3D/2D多種圖型式樣
Ø 離線報表設定自動寄送功能
Ø 支援資料庫備份與回復功能
Ø 即時Dashboard呈現與全球IP的事件關聯性
• 效能優越與節能環保兼具的網路設備
HP在 “綠色” 的思維中，要讓網路更加“GREEN”，因此一方面採用更環保的材料、更嚴格的檢測標準和設備、更精確和人性化的設計、更環保的製造工藝，以及更大力度的電子垃圾回收舉措，通過節能、減排和回收再利用提升產品的綠色屬性。另一方面，在綠色IT建設上，超越產品層面，將綠色理念提升到更高層次，簡化傳統網路基礎架構，初步實現網路資源的虛擬化，提高資源的利用率，從整體上降低TCO的同時，也讓設備、能源等資源的消耗更少。HP網路設備都有通過Miercom綠能驗證，耗電量比業界平均還少，節省至少20%。
HP網路解決方案，包含Advance、Essential、Valuable以及Security四大產品系列，全方位提昇網路的安全、管理、部署與延展，將永久性改變網路生態，為這個領域定義新法則。HP提供高安全性且易於部署的網路環境；提高效益與靈活度以及為客戶大幅降低網路成本。HP網路服務是從網路邊緣至核心的完整服務方案組合，協助客戶建立一個整合、易於管理且安全的全新網路系統。而HP「客戶導向」的網路改革進化方式，能為客戶建置輕鬆進階成長，高靈敏且適應性更高的網路環境。全新標準化網路架構，則為客戶節省成本同時增進創新的能力。」
業界最佳解決方案
HP所提供的統合網路、資安與管理之資安聯合防禦解決方案，由省能之星HP Networking Switch設備擔任基礎架構；全球最佳的入侵防禦系統HP TippingPoint負責資安工作；搭配方便易用的事件分析及中文報表系統，提供業界最佳的網路、資安與管理統合的新安全架構，輕易做好資安事件即時分析與防護。
HP TippingPoint 入侵防禦系統
(圖十二) HP TippingPoint 提供三大入侵防禦功能
Gartner公司的報告指出，從研究IPS公司技術遠景與執行力的角度，HP TippingPoint是兼具遠見與執行能力的入侵防禦系統(IPS)領導廠商。
(圖十三) TippingPoint IPS是業界入侵防禦最佳解決方案
(圖十四) TippingPoint IPS 系統以上各項功能表現優異優於其他廠牌
HP Networking網路系統
Gartner公司推出關於企業網路的魔術象限，它針對公司對於執行力與網路技術投資與遠景方面進行評估。而Gartner在2010年最新的魔術象限將HP Networking評比為領導者廠商，與Cisco Systems一樣。再次證明HP網路的優異與創新性，為企業網路最佳品牌之一。此外融合伺服器與儲存設備達到融合式基礎架構(Converge Infrastructure)，HP網路則為業界IT 考慮的唯一品牌。
(圖十五) HP 網路系統是業界網路設備最佳品牌之一
Reporter日誌事件分析及中文報表系統
Reporter日誌事件分析及中文報表系統不僅能提供中文資安日誌的蒐集與分析功能，還能提供防火牆 Traffic Log與網路設備 Netflow/sFlow的蒐集與分析功能，最特別的是能與 HP TippingPoint IPS 及 HP Networking Switch協同運作，提供資安聯合防禦功能，能滿足客戶不同的網路及資安應用需求。
(圖十六) Reporter系統能滿足客戶不同的網路及資安應用需求
(圖十七、圖十八、圖十九) Reporter 系統功能應用之運作示意圖
