从美军团结区域清静栈看网络清静能力建设生长
宣布时间 2018-07-06
团结区域清静栈（Joint Region Security Stack，JRSS）是新形势下美军网络清静系统建设的一种新模式，主要是集成使用市场成熟清静产品，以确定的编配模子构建集约化、标准化、全功效的清静防御框架，安排在各营业局和军事基地界线处，对收支特定区域的网络流量举行编排、监测和防御，在降低人力和手艺等总投入本钱的情形下，提高美军网络整体防御效能。
一、建设配景
接纳JRSS模式是美军清静系统建设的一定要求。近年来美军为提高军事网络效能和清静性，鼎力大举推广团结信息情形（Joint Information Environment, JIE）以整合三军信息基础设施，着实质是使用共享的基础设施，提供集约化企业服务，在统一清静架构包管下，告竣战场信息优势。由于接纳了有中心的信息服务架构，其清静系统一定随之顺应而调解为高度集成的清静架构。
接纳JRSS模式是美军清静系统建设的无奈选择。美军古板接纳的网络清静系统，岂论是信息包管（Information Assurance， IA）,照旧盘算机网络防御（Computer Network Defense， CND）,都从顶层较为“完善”地规范了三军清静系统建设，但由于系统能力形成需要依托装备建设，而装备建设一旦型号多、规模大、规模广、经费有限、职员缺乏，又涉及多个职能部分，往往碰面临较大的不确定性，很难取得预期效果，从而导致清静短板效应。JRSS建设模式能够集中有限的人力和手艺资源，面向重点工具开展针对性防御，极大降低系统建设运营的庞洪水平和本钱。
接纳JRSS模式开展网络清静系统建设，能够获得多个方面的收益：
■ 缩小攻击面。从原来1000多个疏散的国防部焦点网接入点缩短为45个，集中防护资源把住要害节点，以提高恶意攻击者本钱。
■ 集中清静治理运营。在每个JRSS设置周全的清静监测、清静治理等手艺手段，团结清静专业实力全时段现场运营，构建网络态势感知和IT服务治理等能力。
■ 清静系统标准化。全球共建设45个JRSS,由20个非密网（NIPRNET）栈和25保密网（SIPRNET）栈组成，具备防御、监测、治理等全量清静功效，以标准化妆备设置和运用模式，无邪快速交付安排。
■ 联条约步防御。多个JRSS之间可实现协同联动，能够在指挥链的统筹下，共享清静情报和知识库，协同执行防御使命，大幅度提升网络协同防御能力。
二、清静栈组成
美军从2014年最先正式建设JRSS,中心历经1.0、1.5和2.0三个版本，预计2019年所有完成。从功效演进上看，JRSS1.0包括MPLS、负载平衡、流量分派、多租户治理、防火墙、IPS、IDS、日志/告警、清静认证、IT服务治理和日志剖析存储等功效；JRSS1.5在1.0的基础上，增添了全包检测、身份治理、备份恢复、性能治理、事务治理、虚拟桌面架构和清静会见网关等功效；JRSS2.0在1.5的基础上，增添了WEB转发署理、SSL流量解密、沙箱、WAN加速、内嵌IPS、日志汇聚剖析等功效。
一个典范的非密网JRSS由20个机架的清静装备组成，执行防火墙，入侵检测和防御，企业治理和虚拟路由转发等功效。
20个机架的装备从整体上看主要由流量处置惩罚A侧（A Side），流量处置惩罚B侧（B Side）和团结治理系统3部分组成。A侧和B侧清静系统组成相同，执行冗余热备功效，据称能在6个故障情形下仍可正常处置惩罚流量。
A侧和B侧装备的主要功效是网络流量编排和清静防护。一方面基于MPLS和VRF（虚拟路由转发）等路由交流功效，实现网络流量的交流引接，确保最后网络流量经由清静栈；另一方面安排SSL解密、网络防火墙,IPS等防护功效，确保网络会见的清静性。
团结治理系统（Joint Management System, JMS）执行清静监测和治理功效，在清静监测上，包括流检测、报文检测、文件检测、应用检测、异常检测、数据检测、沙箱等全栈功效，全方位感知已知和未知网络攻击；在清静治理上，包括性能治理、事务治理、变换治理、设置治理、建模剖析等功效，用于规范JRSS运营治理，剖析发明有价值的清静信息和情报。
凭证果真质料，JRSS的供应商来自美国排名靠前的网络清静厂商，例如思科网络交流装备，F5、A10负载平衡装备,Juniper、Palo Alto、思科防火墙装备，Argus、Bivio、Bro流量收罗装备，Micro Focus （Arcsight）,Splunk的SIEM装备，Red Seal大数据清静建模剖析装备，Symantec，Trend Micro，OPSWAT恶意代码防护装备，Veritas、Veeam备份恢复装备，Fidelis数据清静装备，InfoVista、Riverbed应用性能治理和加速装备，Gigamon、Stealthwatch加密流量监测剖析装备，以及惠普、戴尔、EMC、微软、红帽子、VMWare、Citrix等盘算存储设施等。
三、建设启示
总体上看，JRSS是美军针对其清静需求和大规模网络清静建设配景，在多种清静系统建设探索历程中，逐步探索出来的一种基本可行的建设模式。
JRSS实质上与民用开放式互联网服务平台清静模式类似，并没有接纳高、精、深的手艺，而是通过清静职员与系统的有机团结，将现有在市场上经由磨炼的成熟商用清静手艺施展到极致。其中可借鉴的启示主要有以下几点：
● 集约化防御。接纳扁平化服务模式，将主要焦点营业系统安排在少量几个数据中心，通过缩短营业服务系统的袒露面，同时将有限的清静防护资源（人和系统）举行缩短，集中实力在要害节点提高网络防御效能，同时可降低防护本钱。
● 标准化防御。借鉴民用领域通用成熟清静手艺，统一网络清静防护的手段、机制和标准，整合成为自力的清静功效机架，封装为服务的方法提供清静能力，可简化清静系统建设，有利于快速、无邪、高质量安排，节约职员培训和治理等方面本钱。
● 全功效防御。在焦点要害防御位置，聚合清静资源，面向TCP/IP的七层协议栈，针对每一个层面都投入资源举行清静监测和防护，使清静能力意会网络、应用、数据和营业逻辑等差别领域，构玉胜利效防御系统，提防泛起网络清静短板效应。
● 注重清静运营。网络清静实质上是人之间的对抗博弈，专业性要求很是高，绝对不是清静产品的简朴堆砌。JRSS高度重视“人在回路”中的运营事情，安排了大宗以大数据为支持的监测和治理等手艺手段，另外由于美国军方专业清静实力很是薄弱，他们接纳外包方法，不吝花重金从专业公司挖专业人才专门从事7*24小时清静包管事情，确保网络性能优化、误差治理、清静建模剖析等事情做到极致。
四、我们的计划
凭证最新新闻，虽然JRSS已经形成能力标准，但多厂商网络清静装备集成建设使命较重，一个JRSS站点需要20个机柜的差别厂商装备，以是美军在未来也在思量使用虚拟化、软件界说等新手艺模式，通过构建清静资源能力池的方法，优化现有JRSS建设架构。
尊龙凯时的类似手艺解决计划，使用软件界说清静、大数据清静智能剖析等手艺，设计集约化、标准化的清静资源能力池，将防御能力、检测能力、治理能力、清静数据剖析研判能力等举行最优化集成，形乐成能完整、要素齐全、按需扩展、迅速无邪的统一清静防护框架，示意如下图所示：
在焦点营业系统的承载数据中心，或者网络汇聚接入点等要害位置，建设安排清静资源能力池，统一对用户的会见流量举行防护、检测和响应。同时设置具有一定专业能力的清静职员，针对清静资源能力池开展运营事情，使用系统提供的清静手段，开展清静治理、剖析研判等事情，不但能对清静装备报出的清静事务实时报警，还能够使用大数据清静剖析等手艺发明夹带在正常流量中的异常行为，实现未知攻击行为的早期预警。
京公网安备11010802024551号