捉加密流量里的“恶棍”

思科全球副总裁、大中华区首席技术官 曹图强

据Gartner调查，到2019年，超过80%的企业流量将被加密，这意味着加密是一把双刃剑，保护隐私的同时，也会隐藏恶意软件，对网络安全带来隐患。通常处理加密流量的手段是解密流量，并使用防火墙等设备查看流量。但这种方法存在弊端，例如耗时较长，需要在网络中添加额外设备。思科发布了新一代的网络，其中最大的亮点是Catalyst 9000交换机组合，内置了加密流量分析技术，可以在不用解密流量或破坏数据隐私的情况下，发现加密流量中的威胁。

曹图强谈道，业界都认为加密流量分析是不可实现的，因为在加密流量中你看不到任何数据。在看不到数据的情况下，你如何进行分析？这也是近50%勒索软件的流量都是加密的原因，目的就是不让你知道它是一个勒索软件。所以为了研发加密流量分析技术，思科确实进行了很大投资。

思科Talos团队研究了数百万不同流量上的恶意流量和良性流量在使用TLS、DNS和HTTP方面的差异，运用大数据分析提炼出恶意软件的特征，最终取得了这项技术成果，这在安全领域是颠覆性的成功。这项技术可从加密数据包的3个特征发现异常。第一是初始数据包，第二是数据包长度和时间的顺序，第三是数据包的有效载荷上的字节分布。

曹图强表示，目前思科的技术能够实现对加密流量进行准确性高达99%的威胁检测，同时实现低于0.01%的误报率，这在安全领域里是一个颠覆性的突破。

Catalyst 9000交换机组合除了加密流量分析技术外，在硬件和软件层也进行了革新。思科把交换机将作为一个新的IT平台，这个新IT平台可以支持物联网、云计算，支持智能的网络。

曹图强具体谈到了Catalyst 9000交换机组合的优势：第一，可编程的ASIC能够适应未来创新的要求，这是芯片技术的重大创新；第二，可以帮助网络发现并阻断最复杂的网络攻击；第三，能够将物联网设备与其他流量隔离；第四，能够托管无线控制器，并支持诸如802.11ax等全新无线标准；第五，能够在内置的x86计算综合设施上托管第三方应用，使客户能在容器或虚拟机中运行其应用。