解密 SSL 流量，發現隱藏威脅

加密傳輸技術進一步得到應用，一方面保護了個人隱私信息，另外一方面也助長了犯罪行為。

隨著加密傳輸技術進一步得到應用，過去的五年中，谷歌、YouTube、推特等大公司使用 SSL 的行為推動了其它網際網路企業使用加密連接的熱情。

加密傳輸也帶來了風險。由於加密信息對第三方不公開，網絡罪犯也可以在不引人注意的情況下從事犯罪活動。他們使用傳輸層安全協議（Transport Layer Security，TLS）和安全套接層協議（Secure Socket Layer，SSL）加密其通信。

來自 Palo Alto Networks 公司威脅情報部門的瑞安·奧爾森（Ryan Olson）表示，安全專家主要的擔心來自於防火牆無法監控加密通信。網絡罪犯對此心知肚明，這迫使很多企業開始研究如何確定要解密的流量，以及其解密方式。

如果企業解密所有流量，用戶會感覺不安。要想在不犧牲隱私的前提下保護網絡環境安全，企業只能引入另一層，從策略層面上確定要解密什麼流量。

對一些機構而言，電子郵件可能是一種威脅向量，因此企業選擇解密郵件流量。但這類答案對於每家企業而言都會有所不同，因為它們還必須從文化的角度來思考這一問題。

如果流量被加密，它對於企業而言就是一堆數據包。安全部門無法檢測流量的內容，因此無法將罪犯使用的惡意流量與正常流量區分開來，也無法確定流量到底是流入還是流出的。所以要化解網絡威脅，安全團隊必須看到加密流量的內容。

SSL 連接發源於瀏覽器，終止於伺服器。經過簽名的證書表示認可，接下來就是密鑰交換，通訊雙方可以加密端對端通信的所有內容。這種加密通信方式通訊雙方的負擔並不大，但給中間方產生了不小的麻煩。

SSL交互認證原理

當然，企業也可以通過引入一份新證書實現解密，但這隻適用於企業環境；對於要處理加密流量的安全廠商而言，則必須在兩點上確定流量的內容。比如，用戶瀏覽器訪問谷歌，防火牆發現了這次會話並將其終止。廠商經過解密、分析、重新加密的過程，再重新連接到谷歌。這樣，企業就仍能保持對信息基礎設施的控制權。

企業可以獲得平衡。將流量再次加密，這樣對隱私的衝擊不會那麼大。這對企業而言也是敏感話題，因為歸根結底，網絡是他們的，數據是他們的，設備也是他們自己的。他們所處的位置能夠讓他們宣稱對這些信息保密並不重要。

通過確定網絡上 SSL 加密流量的比例，企業能夠獲得一定的平衡和可見性。

「每個人都應當問，他們想要網絡上的多少東西被加密。安全人員應當與用戶展開對話，討論 SSL 加密的重要性，以及如何在保護隱私的前提下將其實現。」來自 A10 Networks 公司的宣傳人員卡西·克洛斯（Kasey Corss）在一次在線研討會上表示：你的企業現在就有可能被感染了，而你對此毫不知情。

卡西·克洛斯

一些安全專家認為他們能夠通過在防火牆上解密流量來化解威脅，但克洛斯認為，這樣做必須先考慮到整個生態系統以及這些產品使用 SSL 加密的必要性，也必須提供一種能夠為所有這些產品提供 SSL 可見性的方法。

DDoS 防護、安全和信息事件管理、數據丟失防護工具所代表的整個安全生態系統必須將加密的 SSL 流量納入考慮。所以關鍵在於找到一種能夠高效地提升這種可見性方法。

你不會想要在每個點上解密這類流量，因為它將會導致大量效能損失。

Vectra 公司首席安全官甘特·奧爾曼（Gunter Ollmann）認為，能夠檢查這種流量對於「確定損失」和「在網絡層上大幅度減少威脅」很有幫助。但 SSL 流量帶來的安全威脅與其它類型的主要威脅並沒有什麼區別。

加密通信確實讓檢測和識別威脅變得更加困難，但如果啟用適當的日誌，它將能夠幫助記錄威脅的行為，以及攻擊發生過程中發生的事件。SSL 數據塊是一種元數據，但安全事件發生後的調查工作則更依賴於日誌本身。

「中間人解密」提供了另一層次的可見性。「網絡監控以及診斷」目前正在確定和消除此類威脅方面扮演著重要角色。未來，這種角色會更加重要。

儘管安全人員無法看到通訊和被傳輸的數據，他們仍能獲取信息來源的相關數據，比如時間、頻率、時長。這些信息都可以被用於探測威脅。使用流量加密並不會帶來什麼效能負擔，但卻會帶來很多商業利益。「如果我是機構的首席安全官或 IT 部門首腦，我工作的前提將會是：我傳輸的所有數據都會在某個點上進行加密。」

• 目前，企業有三種解決 SSL 中隱藏威脅的選擇：

1.阻斷所有加密連接

2.使用中間人方式決定應當終止的 SSL 連接

3.企業在計算機設備上安裝一些軟體代理

這些技術可以在通訊內容被加密之前檢查其內容，因此加密對安全人員工作的影響就不再那麼大了。但是問題在於，如果有惡意軟體發起攻擊，它們要做的第一件事就是將此類軟體關閉。

為了解決加密帶來的威脅，一些人強調要保護通訊雙端，但這同樣帶來了一些問題。例如這類軟體代理都會消耗算力，讓設備變得緩慢。隨著自帶設備辦公（BYOD）時代的到來，設備和作業系統數量快速增長，這超出了廠商軟體能夠覆蓋的速度。

這是一場真實的戰鬥，它必定還將持續很久。要建立更好的防禦，就應該審視所處的環境，並清醒的認識到一個事實：我們不再對網絡流量的數據層擁有可見性了。