从美军结合区域安全栈看网络安全能力建设发展
颁布功夫 2018-07-06
结合区域安全栈（Joint Region Security Stack，JRSS）是新局势下美军网络安整个系建设的一种新模式，重要是集成利用市场成熟安全产品，以确定的编配模型构建集约化、尺度化、全职能的安全防御框架，部署在各业务局和军事基地天堑处，对进出特定区域的网络流量进行编排、监测和防御，在降低人力和技术等总投入成本的情况下，提高美军网络整体防御效力。
一、建设布景
选取JRSS模式是美军安整个系建设的必然要求。近年来美军为提高军事网络效力和安全性，大力推广结合信息环境（Joint Information Environment, JIE）以整合全军信息基础设施，其内容是利用共享的基础设施，提供集约化企业服务，在统一安全架构保险下，达成战场信息优势。由于选取了有中心的信息服务架构，其安整个系必然随之适应而调整为高度集成的安全架构。
选取JRSS模式是美军安整个系建设的无奈选择。美军传统选取的网络安整个系，不论是信息保险（Information Assurance， IA）,还是推算机网络防御（Computer Network Defense， CND）,都从顶层较为“美满”地规范了全军安整系统建设，但由于系统能力形成必要依附设备建设，而设备建设一旦型号多、规模大、领域广、经费有限、人员不及，又涉及多个职能部门，往往会晤对较大的不确定性，很难获得预期了局，从而导致安全短板效应。JRSS建设模式可能集中有限的人力和技术资源，面向沉点对象发展针对性防御，极大降低系统建设运营的复杂水平和成本。
选取JRSS模式发展网络安整个系建设，可能获得多个方面的收益：
■ 缩幼攻击面。从原来1000多个分散的国防部主题网接入点收缩为45个，集中防护资源把住关键节点，以提高恶意攻击者成本。
■ 集中安全治理运营。在每个JRSS配置全面的安全监测、安全治理等技术伎俩，结合安全专业力量全时段现场运营，构建网络态势感知和IT服务治理等能力。
■ 安整个系尺度化。全球共建设45个JRSS,由20个非密网（NIPRNET）栈和25保密网（SIPRNET）栈组成，具备防御、监测、治理等全量安全职能，以尺度化设备配置和使用模式，矫捷急剧交付部署。
■ 结合同步防御。多个JRSS之间可实现协同联动，可能在指挥链的两全下，共享安全谍报和知识库，协同执行防御工作，大幅度提升网络协同防御能力。
二、安全栈组成
美军从2014年起头正式建设JRSS,中央历经1.0、1.5和2.0三个版本，预计2019年全数实现。从职能演进上看，JRSS1.0蕴含MPLS、负载平衡、流量分配、多租户治理、防火墙、IPS、IDS、日志/告警、安全认证、IT服务治理和日志分析存储等职能；JRSS1.5在1.0的基础上，增长了全包检测、身份治理、备份复原、机能治理、事务治理、虚构桌面架构和安全接见网关等职能；JRSS2.0在1.5的基础上，增长了WEB转发代理、SSL流量解密、沙箱、WAN加快、内嵌IPS、日志汇聚分析等职能。
一个典型的非密网JRSS由20个机架的安全设备组成，执行防火墙，入侵检测和防御，企业治理和虚构路由转发等职能。
20个机架的设备从整体上看重要由流量处置A侧（A Side），流量处置B侧（B Side）和结合治理系统3部门组成。A侧和B侧安整系统组成一样，执行冗余热备职能，据称能在6个故障情况下仍可正常处置流量。
A侧和B侧设备的重要职能是网络流量编排和安全防护。一方面基于MPLS和VRF（虚构路由转发）等路由互换职能，实现网络流量的互换引接，确保结尾网络流量经过安全栈；另一方面部署SSL解密、网络防火墙,IPS等防护职能，确保网络接见的安全性。
结合治理系统（Joint Management System, JMS）执行安全监测和治理职能，在安全监测上，蕴含流检测、报文检测、文件检测、利用检测、异常检测、数据检测、沙箱等全栈职能，全方位感知已知和未知网络攻击；在安全治理上，蕴含机能治理、事务治理、调换治理、配置治理、建模分析等职能，用于规范JRSS运营治理，分析发现有价值的安全信息和谍报。
凭据公开资料，JRSS的供给商来自美国排名靠前的网络安全厂商，例如思科网络互换设备，F5、A10负载平衡设备,Juniper、Palo Alto、思科防火墙设备，Argus、Bivio、Bro流量采集设备，Micro Focus （Arcsight）,Splunk的SIEM设备，Red Seal大数据安全建模分析设备，Symantec，Trend Micro，OPSWAT恶意代码防护设备，Veritas、Veeam备份复原设备，Fidelis数据安全设备，InfoVista、Riverbed利用机能治理和加快设备，Gigamon、Stealthwatch加密流量监测分析设备，以及惠普、戴尔、EMC、微软、红帽子、VMWare、Citrix等推算存储设施等。
三、建设启迪
总体上看，JRSS是美军针对其安全需要和大规模网络安全建设布景，在多种安整个系建设摸索过程中，逐步索求出来的一种根基可行的建设模式。
JRSS性质上与民用盛开式互联网服务平台安全模式类似，并没有选取高、精、深的技术，而是通过安全人员与系统的有机结合，将现有在市场上经过磨炼的成熟商用安全技术阐扬到极致。其中可借鉴的启迪重要有以下几点：
● 集约化防御。选取扁平化服务模式，将沉要主题业务系统部署在少量几个数据中心，通过收缩业务服务系统的露出面，同时将有限的安全防护资源（人和系统）进行收缩，集中力量在关键节点提高网络防御效力，同时可降低防护成本。
● 尺度化防御。借鉴民用领域通用成熟安全技术，统一网络安全防护的伎俩、机造和尺度，整合成为独立的安全职能机架，封装为服务的方式提供安全能力，可简化安整系统建设，有利于急剧、矫捷、高质量部署，节约人员培训和治理等方面成本。
● 全职能防御。在主题关键防御地位，聚合安全资源，面向TCP/IP的七层和谈栈，针对每一个层面都投入资源进行安全监测和防护，使安全能力贯通网络、利用、数据和业务逻辑等分歧领域，构玉成职能防御系统，防备出现网络安全短板效应。
● 注沉安全运营。网络安全性质上是人之间的匹敌博弈，专业性要求极度高，绝对不是安全产品的单一堆砌。JRSS高度器沉“人在回路”中的运营工作，部署了大量以大数据为支持的监测和治理等技术伎俩，另表由于美国军方专业安全力量极度幽微，他们选取表包方式，不惜花沉金从专业公司挖专业人才专门从事7*24幼时安全保险工作，确保网络机能优化、缝隙治理、安全建模分析等工作做到极致。
四、GA黄金甲规划
凭据最新新闻，固然JRSS已经形成能力尺度，但多厂商网络安全设备集成建设工作较沉，一个JRSS站点必要20个机柜的分歧厂商设备，所以美军在将来也在思考使用虚构化、软件界说等新技术模式，通过构建安全资源能力池的方式，优化现有JRSS建设架构。
GA黄金甲的类似技术解决规划，利用软件界说安全、大数据安全智能分析等技术，设计集约化、尺度化的安全资源能力池，将防御能力、检测能力、治理能力、安全数据分析研拍钴力等进行最优化集成，形成功能完整、身分齐全、按需扩大、火快矫捷的统一安全防护框架，示意如下图所示：
在主题业务系统的承载数据中心，或者网络汇聚接入点等关键地位，建设部署安全资源能力池，统一对用户的接见流量进行防护、检测和响应。同时配置拥有肯定专业能力的安全人员，针对安全资源能力池发展运营工作，使用系统提供的安全伎俩，发展安全治理、分析研判等工作，不仅能对安全设备报出的安全事求实时报警，还可能利用大数据安全分析等技术发现夹带在正常流量中的异常行为，实现未知攻击行为的早期预警。
京公网安备11010802024551号