華為NIP5500評測 高效防御萬兆吞吐
責編：penggao ｜2013-04-08 11:37:25NIP5500是華為推出的IPS（入侵防御系統）產品，主要應用于企業園區網、IDC、校園網、運營商等，為客戶提供應用和流量安全保障。該設備可實現基本網絡訪問控制，同時具備“網絡濫用的應用識別和控制”、“業務應用漏洞的威脅防護”和“文件傳輸病毒的掃描和查殺”等功能，此外，還能夠對“DoS攻擊”、“DDoS攻擊”進行流量安全防護。
該產品采用報文處理和應用檢測分離的架構，通過多核處理器NPU（Network Process Unit）的多線程處理設計，提供優異的報文處理性能；同時，NIP5500還采用了x86架構的ESP，再加上FPGA加速卡，能夠提供強大的應用檢測及應變能力，這種分離的架構兼顧了靈活性和性能，保障在復雜網絡環境下的高效性能。
入侵防御系統是一部能夠監視網絡或網絡設備的網絡數據傳輸行為的計算機網絡安全設備，能夠實時的中斷、調整或隔離一些不正常或是具有傷害性的網絡數據傳輸行為。東方安全對于華為NIP5500入侵防御系統的評測，
主要從以下幾個方面進行：
1.入侵防護能力，包括協議分析、入侵逃避發現、已知漏洞攻擊阻斷、WEB應用防護、客戶端漏洞防護、端口掃描監控、設備健壯性等；
2.入侵事件審計，主要測試項包括：入侵實時報警及報警方式，事件合并，入侵事件的生成、記錄，報表的生成、查閱和輸出。
3.性能，包括吞吐量、攔截率和誤截率等。
主要包括以下項目：
- 應用層吞吐量
- UDP吞吐量
- 攻擊檢出率
- 誤報率
- 增加應用層背景流量檢出率
- 增加UDP背景流量檢出率
華為NIP5500測試環境與工具
被測設備：
Spirent測試儀：
BPS測試儀：
華為NIP5500應用層吞吐量測試
測試方法：
對于Spirent測試儀，選用HTTP流量，模擬多個Client采用HTTP GET方法，每個Transaction獲取一個100KB的Web頁面；對于BPS測試儀，使用 BPS 官方提供的應用層流量模型IPS-Enterprise Traffic,包括了HTTP, SMTP, SIP, FTP, RTP 等多種流量。
開始測試后，觀察連接發起數、成功數和失敗數，如果連接建立全部成功，記錄此時流量轉發值作為吞吐量，同時調高連接發起數繼續測試。當有連接建立失敗時，需要調低連接發起數再次測試。
DUT配置：
開啟默認策略下測試，簽名開啟率97.7%
使用2對萬兆接口測試。
測試儀配置：
Spirent：server端100KB頁面
BPS：應用層混合流量模型IPS-EnterpriseTraffic
測試結果：
Spirent測試結果（頁面大小100KB）：17Gbps
BPS測試結果（應用層混合流量模型）：13Gbps
Spirent測試過程圖
華為NIP5500 UDP吞吐量測試
測試方法：
Spirent測試儀，選用RFC2544中的Throughput模板進行測試；BPS測試儀，選擇 Routing Robot 組件測試。根據RFC2544″網絡互連設備測試基準”定義，測試NIP5500在零丟包情況下對1518字節幀的最大轉發能力。
DUT配置：
開啟默認策略下測試，簽名開啟率97.7%
使用2對萬兆接口測試。
測試儀配置：
Spirent：Throughput組件、雙向UDP流量、幀大小1518字節
BPS：Routing Robot 組件、雙向UDP流量、幀大小1518字節
測試結果：
Spirent測試結果：31.6Gbps
BPS測試結果：30Gbps
Spirent測試圖
BPS測試圖
華為NIP5500攻擊檢出率測試
測試方法：
Spirent測試儀，采用Spirent自帶樣本庫，樣本庫包含SQL注入、跨站腳本、蠕蟲、僵尸網絡、木馬后門類、緩沖區溢出類等已知漏洞攻擊等，協議覆蓋ARP、IP、TCP、UDP、HTTP、FTP、TFTP、SNMP、DNS、SMTP、POP3等，分別在Web類樣本庫和完整庫中隨機抽取樣本，測試2次，檢測NIP5500對不同類型攻擊的檢測能力；對于BPS測試儀，則選取Security 組件中的Strike_level_1攻擊樣本模型。在無任何背景流量下時，發送攻擊流量查看NIP5500可檢測到的攻擊數。
DUT配置：
開啟默認策略下測試，簽名開啟率97.7%
使用1對接口測試。
測試儀配置：
Spirent：2次抽樣分別在Web樣本庫和完整庫中隨機抽取
BPS：Security 組件中的Strike_level_1攻擊樣本模型
測試結果：
Spirent測試結果：93.26% （取2次抽樣測試結果平均值）
BPS測試結果：91.26%
Spirent測試圖（Web類攻擊樣本檢出率98.66%）
Spirent測試圖（多類型攻擊樣本檢出率87.86%）
BPS測試圖（樣本檢出率91.26%）
華為NIP5500誤報率測試
測試方法：
誤報率測試需要覆蓋兩種測試場景：將合法業務流量誤報成攻擊流量，或者將一種攻擊誤報成另外一種攻擊。是否對不同的真實網絡流量產生誤報。設備采用和之前漏洞攻擊檢測一樣的防御能力。在應用層背景流量穩定的情況下重新執行檢出率測試的攻擊樣本。確認檢測結果和之前測試一致，日志無明顯矛盾；每種應用層模型運行結束后檢查日志記錄，確認沒有產生誤報。
DUT配置：
開啟默認策略下測試，簽名開啟率97.7%
使用2對萬兆接口測試。
測試儀配置：
BPS：攻擊流量選取Security 組件中的Strike_level_1攻擊樣本模型，應用層背景流量選取IPS-EnterpriseTraffic流量模型。
測試結果：
誤報率 0，合法業務流量正常，NIP5500告警日志正確。
正常業務流量未阻斷
華為NIP5500增加應用層背景流量檢出率
測試方法：
在不同壓力下背景流下，發送攻擊流量，檢測的漏洞攻擊檢測能力。逐漸增加應用層流量，至設備的應用層吞吐量性能值，記錄每次測試發出的攻擊數，被阻斷的攻擊數，以及當時的背景流量大小。用2對萬兆接口模擬背景流量，1對千兆接口模擬攻擊。
對于Spirent，采用單純HTTP背景流量測試，HTTP GET方法，每個Transaction獲取一個100KB的Web頁面，與測試應用層吞吐量方式一致；攻擊樣本選用與無背景流檢出率測試的樣本完全一致，選用Web類攻擊樣本。對于BPS，選用BPS自帶應用層混合流量模型IPS-Enterprise Traffic作為背景流，與測試應用層吞吐量方式一致，攻擊樣本選用 Security 組件中的攻擊樣本模型Strike_level_1。
DUT配置：
開啟默認策略下測試，簽名開啟率97.7%
使用2對萬兆接口和1對千兆接口測試。
測試儀配置：
Spirent：HTTP背景流、Web類攻擊樣本
BPS：選擇應用層混合流量模型IPS-EnterpriseTraffic、Security 組件中的攻擊樣本模型Strike_level_1
測試結果：
Spirent：增加13Gbps HTTP背景流： 檢出率由98.66%變為98.59%，下降比例約0.07%
BPS：增加13Gbps 應用層混合流量，檢出率由91.26%變為90.71%，下降比例約0.55%
（BPS Security 組件中的攻擊樣本模型所發的攻擊是動態變化的，BPS的測試結果只作參考）
Spirent圖（無背景流攻擊樣本檢出率98.66%）
Spirent圖（13Gbps HTTP背景流下攻擊樣本檢出率98.59%）
BPS圖（無背景流攻擊樣本檢出率91.26%：）
BPS圖（3Gbps 應用層混合背景流下攻擊樣本檢出率90.71%）
華為NIP5500增加UDP背景流量檢出率
測試方法：
在不同壓力下背景流下，發送攻擊流量，檢測的漏洞攻擊檢測能力。逐漸增加應用層流量，至設備的應用層吞吐量性能值，記錄每次測試發出的攻擊數，被阻斷的攻擊數，以及當時的背景流量大小。用2對萬兆接口模擬背景流量，1對千兆接口模擬攻擊。
使用BPS測試儀進行測試，采用1518字節UDP流作為背景流量，與測試UDP吞吐量方式一致；攻擊樣本選用Security 組件中的樣本模型Strike_level_1。
DUT配置：
開啟默認策略下測試，簽名開啟率97.7%
使用2對萬兆接口和1對千兆接口測試。
測試儀配置：
BPS：雙向1518字節UDP、Security 組件攻擊樣本模型Strike_level_1
測試結果：
BPS：增加30Gbps UDP流量，檢出率不變，仍為91.26%。
30Gbps UDP 背景流量
增加30Gbps UDP背景流量檢出率仍為91.26%
華為NIP5500測試總結
NIP5500設備是一款功能全面，性能優良的IPS網絡安全產品。功能方面，具備強大的攻擊防護能力，有比較全面的網絡層和應用層DDOS防護能力，可識別1200+ 的應用種類，能夠對各種應用流量進行精細管控，并能全面對office、PDF文檔中的威脅腳本進行檢測；性能方面，應用層吞吐量13Gbps以上，UDP吞吐量30Gbps以上，對網絡攻擊的檢出率達到90%以上，尤其是在大背景流量情況下，對攻擊檢出率影響極?。慌渲霉芾矸矫妫僮骱唵?，易用性強；統計方面，以圖形化方式實時多維度展現網絡流量及安全事件信息，并默認提供年/月/周/日等多時段綜合報表。
上一篇：該文章已是最新的一篇
下一篇：該文章已是最后的一篇