BIGIPV9Security_White_Paper Chinese FINAL

本《白皮书》旨在说明BIG-IP系统是如何为企业提供全面及完整的网络及应用安全解决方案，防止潜在的应用及网络层威胁与攻击，增强企业网络的全面安全。
应用挑战
现在，应用系统已经成为企业商业活动的核心。鉴于其对企业收入的直接影响性，除防止一些低级网络攻击外，保护企业应用系统漏洞及关键信息免受恶意攻击是至关重要的。目前，企业若想获得真正的网络及应用安全，面临着众多的挑战，这是因为：
SYN CHECK™
SYN flood是拒绝服务攻击中的一种，此类型的攻击旨在耗尽系统资源，使其无法建立合法连接。BIG-IP系统的SYN CHECK的特性就是代表服务器发送cookies至请求客户机、不记录连接的状态信息使其无法完成初期的TCP交握，以此来减缓SYN floods攻击的影响。此独特的性能确保服务器仅处理合法连接，且不消耗BIG-IP的SYN队列，如此，即可继续正常的TCP通讯了。SYN CHECK的特性是BIG-IP系统Dynamic Reaping特性的补充，在Dynamic Reaping处理已经建立的连接的泛滥时，SYN CHECK处理新建连接的泛滥，以防止SYN队列被耗尽。SYN CHECK与高性能的syn-cache一起使用，企业用户即可在不损失TCP选项的情况下使用syncookies。
应用与内容过滤
BIG-IP系统，利用其强大的通用检查引擎及可自定义的基于策略的iRules引擎，为企业用户提供一种功能强大的执行安全策略的方法。BIG-IP解决方案中提供的应用与内容过滤功能使企业用户可通过定义穿梭于其服务器的流量，执行积极的安全模块。利用此独特的功能，对应用有效载荷内部的数据包及会话流进行深层检查，因此，BIG-IP系统可在保护企业重要资产的同时，不仅可阻止对记录/目录、受限命令的非法访问，还可阻止对应用服务器中敏感文件的非法访问。同时，BIG-IP系统还可根据受限或黑名单中的网站列表对内容进行过滤，并协助企业用户执行安全策略。
DoS与Dynamic Reaping
BIG-IP软件中有两个全局设置，提供了在特定情况下清除相应连接的功能。为防止拒绝服务（DoS）攻击，企业用户可以指定一个低临界值与一个高临界值。一旦到达低临界值，系统开始清除接近超时时间的连接。到达高临界值，系统不在接受新建连接请求，只允许已经建立的连接通过BIG-IP系统。这个临界值为内存的利用率，一旦内存利用率达到此临界值，就不再接受连接请求了，直到内存利用率降到低临界值以下。
白皮书
保护企业网络周边安全——部署F5的BIG-IP系统，确保为企业提供广泛的应用及网络安全
综述
如今，随着互联网的复杂性日益增加，企业的漏洞也面临越来越多的恶意攻击。企业组织也不得不寻找各种方法保护他们的基础架构与应用层免受攻击。每年，由于网络安全漏洞使公司遭受上百万的美元的收入、生产力及声誉损失。
ห้องสมุดไป่ตู้日益增强的网络及基础架构安全
BIG-IP系统为企业用户提供强大的网络层安全，进一步提高其安全性，保护其免受最严重的网络攻击。BIG-IP设备拥有独特的UIE及可编程的iRules语言，为企业用户提供针对网络有效载荷的完整可视性，以便使用户更为简便的管理及执行其安全策略。除对普通网络攻击、DoS、DDoS攻击、及协议篡改攻击的防御外，再加上BIG-IP系统的数据包过滤功能，为企业用户提供无与伦比的安全性，从而在促进企业生产力与收入提高的同时，又降低了拥有成本。BIG-IP系统依靠下列特性提高了网络及基础架构的安全性：
在递交客户证书时，BIG-IP系统可在接收证书并将数据转向一个目标服务器前，利用证书撤消清单(CRL)或在线证书验证状态协议(OCSP)，对该证书的撤消状态进行评估。BIG-IP设备还可担当凭证管理中心(CA)的角色。通过其密钥管理系统（KMS），BIG-IP可为企业用户提供一个集中且简单的方法来生成管理与执行客户机/服务器的密钥与证书。在网络层巩固与执行认证可降低应用与服务器的负荷，并可使企业无需再逐个为成百上千的应用部署认证系统，且省时省力。
审计与日志
BIG-IP系统强大的日志功能可记录由于意外环境或无效参数（如：陆地攻击（Land attack）、Smurf攻击、bad checksums、未经处理的IP协议数或版本等）而导致的数据丢弃的相关事件。BIG-IP设备的安全报告中可识别出任何服务或端口所收到的未授权访问企图的源IP地址、所使用的端口以及频次。该信息有助于识别网络安全的漏洞，并确定攻击来源。除为通用内容转换设计的新规则功能及变量外，还进一步拓展了规则的语法，包括两个新的规则语句：log和accumulate。通过利用这些功能，企业用户可利用iRules调用日志记录或系统日志信息，使网络管理员对攻击保持实时警惕。
企业用户可利用BIG-IP系统来设置与执行普通的应用层安全策略。利用BIG-IP的新型及增强的通用检查引擎（UIE）与TCL规则（iRules）能力，企业用户可过滤及阻止应用层攻击与威胁。新型通用检查引擎使BIG-IP系统在连续应用流的基础上对全部应用有效载荷进行检查，为决策（如：交换、持续或拒绝）提供更多的灵活性。企业用户可以使用标准编程接口，如TCL语言，来建立iRules，创建与企业安全方针一致的安全策略，从中体验它的灵活性和强大的功能。设定安全策略后，就可以把它分配给某一个简档(一个图形用户界面（GUI）的新功能，可以简化部署并且能够重复利用)。二者共同使用即可为企业的应用流量提供无可比拟的控制与保护。
应用系统漏洞日益增多：——现今的安全系统与防火墙已不能够检测出、也无法抵挡各种新型应用层攻击了。这些安全设备都忽视了应用层安全，而仅仅实现对某一地址、端口或资源的锁定或解锁。他们无法对数据包进行深层检查，且无法保持会话状态信息以检测并保护应用系统免受攻击。应用层攻击通常表现为注入及执行受限命令、cookie篡改、或非法获取敏感文件或用户信息。这些攻击将导致企业收入及生产力的巨大损失，给企业的声誉带来极大的负面影响。
虚拟服务器上的连接限制
BIG-IP系统允许网络管理员限制虚拟服务器上最大并发连接数。这样另一防御层即可抵御诸如拒绝服务（DoS）等攻击。
协议无害处理
此功能使企业用户得以保护他们的网络免受利用IP协议篡改发起的攻击，以防止服务器资源耗尽及网站瘫痪。BIG-IP系统作为安全防御的第一线，可阻止包括无序包泛滥、MSS tiny packet floods、TCP窗口尺寸干预等攻击，切断客户机与服务器间的TCP连接。BIG-IP设备可过滤客户机与服务器间的通讯，查找入侵攻击样式及异常，并对服务器与应用的流量进行过滤。
SSL加速与加密
繁重的SSL流量会导致处理瓶颈，即使是功能最强大的设备也会因此而瘫痪，从而导致服务或应用的整个安全性能遭受巨大的影响。另外，若无法保护应用在SSL协议中的私人密钥，就会导致将用户与服务安全置于危险境地。
BIG-IP系统中使用的集成的SSL加速模块，不仅可增强SSL计算资源，还可集中密钥管理。BIG-IP设备拥有市场上最快最安全的加密运算法则。BIG-IP系统向企业用户提供高级加密标准（AES）及一种128、192或256位（可选的）区块加密的对称加密法，以此来进一步提高企业网络安全保护级别，并使其获得符合企业需要的真正的安全性。通过AES及SSL处理，BIG-IP系统在无需额外增加成本的基础上，为用户提供目前市场上最安全的SSL加密运算法则。
强大的应用安全
BIG-IP解决方案可对整个应用系统的有效载荷进行深层数据包检查，从而大大增强了企业应用层的安全性。利用其灵活性与无可比拟的能力，为网络管理员提供管理与控制应用流量的强大工具。全面认证、授权、审计及有效载荷的解析功能，使企业在允许某个会话前，在其网络边缘处执行安全策略。性能如下：
通用检查引擎与iRules™
缺省的拒绝访问
BIG-IP系统是一种缺省的拒绝访问设备，如非管理员指定类型的流量，BIG-IP系统将拒绝其通过。如此可极大的增加网络的安全性，而只有符合管理员指定类型的流量可通过BIG-IP系统。
自动防御
BIG-IP的软件拥有无数的内置程序，可保护企业网络免受普通攻击。它可忽视直接子网广播，且不响应常用于Smurf及Fraggle攻击的广播ICMP请求。BIG-IP设备的连接表与现有连接保持一致，如此，诸如LAN攻击等中的虚假连接就无法传递给服务器。BIG-IP系统可查验帧定位的正确性，以防止普通片段储存攻击（Teardrop, Boink, Bonk及Nestea）。此外，通过端口的缺省封锁即可阻止其它攻击（WinNuke, Sub7,与Back Orifice usage）。由于BIG-IP可重新组合TCP重叠片段及IP碎片，企业网络可阻止日趋普遍的新型未知攻击。
认证与授权
BIG-IP系统可利用网络边缘的认证功能，将网络周边的安全提高一个级别，从而增强了企业应用的安全性。高级客户机认证(ACA)模块为各种类型的IP流量提供一个认证代理，起到网站岗哨的作用。
与（可提供认证机制库的）可插入认证模块(PAM)引擎联合使用，ACA模块可卸载服务器的关键认证处理，以降低消耗服务器资源的认证管理。ACA模块兼容各种授权机制，如LDAP, RADIUS及TACACS+。
内部安全漏洞与信息漏洞——目前，企业面临的最大威胁之一就是来自企业内部的安全攻击。由于内部用户是受信任域的一部分，因此很难被检测并防止此类攻击。现在的安全系统都无法为企业提供灵活的安全策略部署，在允许其它无需加密的非关键流量通过的同时，对企业内部的某些商业关键流量进行加密。因此，企业用户一直在寻找一种有效又统一的安全策略，可利用现有的解决方案，使企业网络的安全性达到诸如：Sarbanes-Oxley, HIPAA and FIPS等国际安全标准。
数据包过滤
BIG-IP系统的增强数据包过滤引擎可对数据包进行深层检查，并在高级数据包过滤器规则基础上，使网络管理员可以接入、丢弃或拒绝（将“管理员禁止”的各种代码退还给发送源）流量。数据包过滤器规则可执行第四层过滤，根据安全策略允许受信任流量通过，及处理其它特定的流量类型。现在，企业用户可使用兼容IPV4或IPV6的数据包过滤器，不仅能提供基本的防火墙功能，还进一步提高周边安全。根据数据包的源或目的IP地址、源或目的端口号（支持端口的协议）、及数据包类型（UDP、TCP或ICMP）对数据包进行过滤。数据包过滤可保护企业网络免受IP欺骗（IP Spoofing）、伪造TCP标记攻击等入侵攻击。