云與可定義網(wǎng)絡(luò)的安全體系建設(shè)

云與可定義網(wǎng)絡(luò)

安全體系建設(shè)目錄公司簡介虛擬化和云云安全存在的挑戰(zhàn)Fortinet云安全解決方案公司簡介平臺優(yōu)勢基于三點主要創(chuàng)新基于云發(fā)布的行業(yè)領(lǐng)先的威脅研究技術(shù)及信息共享網(wǎng)絡(luò)與安全緊密結(jié)合的操作系統(tǒng)自研基于ASIC芯片的分布式硬件架構(gòu)成立于2000年1月,首款產(chǎn)品交付于2002年,IPO于2009年

總部位于:Sunnyvale,加利福尼亞員工數(shù):2500+全球年度營收20032013排名

公司市場占有率(%)1Cisco/SourceFire17.52CheckPoint12.837.14PaloAltoNetworks6.75Juniper6.0

市場規(guī)模$9Bil.FortinetQ22014實現(xiàn)33%的增長現(xiàn)金20032013迅速增長的大規(guī)模安裝量

1.6Million+

銷售設(shè)備200,000+

客戶服務(wù)于全球TOP10計算機服務(wù)公司的7家服務(wù)于全球TOP10航空及國防企業(yè)中的9家服務(wù)于全球TOP10銀行機構(gòu)的7家

服務(wù)于全球TOP10企業(yè)中的9家高端FortiGate-5000&3000FortiMail

FortiWebFortiDBFortiScanFortiSwitchFortiBridgeFortiAuthenticatorFortiClientFortiDDoSAscenlinkFortiDNSFortiCacheFortiVoiceFortiAnalyzerFortiManager

FortiCamera從云到端的整體安全方案中端FortiGate-1000~100桌面式FortiGate/FortiWiFi-90~20FortiAPFortiTokenFortiADCFortiSandboxFortiCloudFortiDirector中國移動天津物流基地私有云防火墻惠州酷友電商云安全項目

中國人保（PICC）南方信息中心云計算平臺

中國電信云計算公司

格力電商云安全項目

中國航空集團公司天安財產(chǎn)保險股份有限公司

攜程旅行網(wǎng)

Fortinet云計算成功案例虛擬化與云9-9-1原則990%的服務(wù)器90%的時間CPU占用率低于10%91XXX傳統(tǒng)PC管理工具和管理流程應(yīng)用程序桌面操作系統(tǒng)配置文件硬件應(yīng)用本地安裝數(shù)據(jù)本地保存安全無法保障–難以實現(xiàn)的備份和加密系統(tǒng)維護困難–沒完沒了的補丁更新硬件成本高昂–平均三年更新?lián)Q代

運維策略加固制作鏡像備份更新硬件購買監(jiān)控規(guī)模部署傳統(tǒng)PC–高復(fù)雜度高風(fēng)險高成本打包運輸分發(fā)給最終用戶虛擬化技術(shù)簡介傳統(tǒng)架構(gòu)硬件層虛擬軟件層

虛擬硬件操作系統(tǒng)應(yīng)用程序

虛擬硬件操作系統(tǒng)應(yīng)用程序

虛擬硬件操作系統(tǒng)應(yīng)用程序虛擬化架構(gòu)硬件層應(yīng)用程序操作系統(tǒng)虛擬化場合服務(wù)器合并

提升管理效率

減小IT初期成本(Capital

Cost)

電費、冷卻等運營支出（Operational

Cost)企業(yè)桌面環(huán)境管理

客戶端的桌面操作系統(tǒng)指導(dǎo)服務(wù)器上的虛擬機

桌面用戶通過聯(lián)機軟件（RDP，ICA等）連接到自身的虛擬機

減少硬件升級預(yù)算

桌面操作系統(tǒng)集中管理

簡化IT管理成本虛擬化是IT基礎(chǔ)架構(gòu)的發(fā)展熱點整合資源降低能耗鞏固后臺自動恢復(fù)節(jié)省成本快速應(yīng)變數(shù)據(jù)中心虛擬化是指采用虛擬化技術(shù)構(gòu)建基礎(chǔ)設(shè)施池,主要包括計算、存儲、網(wǎng)絡(luò)三種資源虛擬化后的數(shù)據(jù)中心不再象傳統(tǒng)數(shù)據(jù)中心那樣割裂的看待某臺設(shè)備或某條鏈路而是將整個數(shù)據(jù)中心的計算、存儲、網(wǎng)絡(luò)等基礎(chǔ)設(shè)施當(dāng)作可按需分割的資源集中調(diào)配虛擬化安全上圖方案中承載業(yè)務(wù)的WEB、APP、DB主機劃分為同個VLAN(即VLAN1)內(nèi)。針對VLAN部署安全策略,忽略交換機端口差異性,WEB、APP、DB之間互訪不受限制。承載WEB、APP、DB的主機可以在VLAN1內(nèi)被靈活調(diào)配。該方案極大的滿足了虛擬化數(shù)據(jù)中心主機調(diào)配的靈活性,但完全忽視了網(wǎng)絡(luò)安全控制,因此適合封閉的內(nèi)部數(shù)據(jù)中心并且追求性能與高效業(yè)務(wù)部署,如互聯(lián)網(wǎng)企業(yè)的大型虛擬化數(shù)據(jù)中心。上圖為得到普遍應(yīng)用的虛擬化數(shù)據(jù)中心網(wǎng)絡(luò)安全方案。承載業(yè)務(wù)的WEB、APP、DB主機劃分為三個VLAN內(nèi),屬于相同VLAN內(nèi)的主機可在對應(yīng)的二層網(wǎng)絡(luò)內(nèi)靈活調(diào)配。以下重點討論主機網(wǎng)關(guān)設(shè)在不同位置時如何實現(xiàn)WEB、APP、DB之間互訪控制。虛擬化應(yīng)用部署模式云計算平臺網(wǎng)絡(luò)示意圖云計算安全特點集中化專業(yè)化復(fù)雜化健壯性虛擬化可視化云計算安全特點基礎(chǔ)架構(gòu)在加速進化帶寬邊界云BYODSDN數(shù)據(jù)中心每18個月帶寬需求就增加一倍隔離正成為核心的最佳實踐1TB&隔離SaaS&IaaS在企業(yè)中使用的愈發(fā)普遍為了更好的靈活性，數(shù)據(jù)中心正在進行重架構(gòu)云&SDN由網(wǎng)絡(luò)互聯(lián)的設(shè)備數(shù)量正在急速增長太多的終端缺乏安全保護機制

BYOD&識別計算任務(wù)和數(shù)據(jù)存儲集中在云端對終端的攻擊越來越難惡意攻擊者更多的將注意力集中

到了海量數(shù)據(jù)的云端

云計算安全特點-數(shù)據(jù)集中化云計算中心遭遇的攻擊強度大

傳統(tǒng)計算時代,資源是分散的---廣種薄收而在云計算環(huán)境下,惡意攻擊者有著明確而集中的攻擊目標云計算中心遭遇的攻擊專業(yè)性極強云計算數(shù)據(jù)中心存儲著海量有價值的信息

攻擊帶有極強的商業(yè)甚至政治、軍事目的

APT高級持續(xù)性威脅

云計算安全特點-攻擊專業(yè)化危害程度在增加安全挑戰(zhàn)–

組織當(dāng)今的高級威脅應(yīng)用控制Web過濾反垃圾郵件反惡意軟件VPNIPS防火墻高級威脅防御黑客Layer1-2內(nèi)容&應(yīng)用(Layer3-7)入侵蠕蟲病毒間諜軟件僵尸網(wǎng)絡(luò)垃圾郵件惡意的URLs惡意的App高級可持續(xù)性威脅20052007現(xiàn)在威脅

時間線201120032000需要更好的性能APT案例—極光攻擊APT案例—極光攻擊Fortinet云安全解決方案25虛擬化業(yè)務(wù)服務(wù)器集群虛擬業(yè)務(wù)服務(wù)區(qū)一防火墻虛擬策略工作模式安全配置:AV安全配置:AS安全配置:WCF安全配置;IPS路由業(yè)務(wù)安全策略組安全配置:TS安全審計策略組方案一、獨立硬件的虛擬化核心交換機安全網(wǎng)關(guān)安全網(wǎng)關(guān)核心交換機InternetIntranet使用虛擬域(VDOM)來滿足多租戶場景全局系統(tǒng)VDOM_1VDOM_N…核心HAFortiGuard全局系統(tǒng)端口或VLAN虛擬域在實體設(shè)備和VM上都支持全局設(shè)置，或按VDOM設(shè)置VDOM管理員資源分配VDOMLicenseVDOM日志防火墻防火墻IPSVPN邊界虛擬化IDC數(shù)據(jù)中心主要需求訪問控制——防火墻虛擬化服務(wù)---虛擬化服務(wù)器安全DNS攻擊防御----海量DNS限流系統(tǒng)級攻擊防御——IPS（入侵防御系統(tǒng)）網(wǎng)絡(luò)層IP自動感——防火墻+IPS高可靠性系統(tǒng)保障當(dāng)前狀態(tài)五個FortiGate-VM型號，可滿足不同用戶的需求全功能的下一代防火墻和UTM功能支持虛擬機間和安全域見的安全支持多個虛擬機平臺:VMwarevSphere4.0/4.1/5.0CitrixXenServer5.6sp2/6.0OpenSourceXen3.4.3/4.1KVMMicrosoftHyper-VFortiGate-VM為云網(wǎng)絡(luò)和虛擬系統(tǒng)提供關(guān)鍵的安全防護，防止業(yè)務(wù)出現(xiàn)安全盲點方案二、基于虛擬機的FortiGate29FortiGate-VM以虛擬設(shè)備的方式部署虛擬環(huán)境采用傳統(tǒng)網(wǎng)絡(luò)架構(gòu)二層或三層架構(gòu)把虛擬交換當(dāng)成物理網(wǎng)絡(luò)看待支持各種虛擬平臺VMwarevSphere4.0/4.1/5.0/5.1/5.5CitrixXenServer5.6sp2/6.0orlaterOpenSourceXenMicrosoftHyper-V2008R2/2012/2012R2KVMAWS(AmazonWebServices)每個主機可以部署多個虛擬設(shè)備部署和使用方式與硬件設(shè)備相同，但是性能比硬件設(shè)備差得很多，比如吞吐和延遲，主要是因為沒有ASIC這些硬件加速芯片F(xiàn)ortiGate-VM的HA解決方案30究竟是選擇Vmware的高可用性，還是Fortinet的高可用性與用戶需求和網(wǎng)絡(luò)實際情況有關(guān)對比VMwareHAFortinetHA在虛擬機層進行配置在FortiOS/應(yīng)用層進行配置Vmware管理員進行啟用FortiGate-VM管理員啟用不能同步會話會話同步在切換的時候會宕機無宕機時間不支持主主模式支持主主模式HypervisorInternetPhysicalNetworkHypervisorExternalvSwitchInternalvSwitchExternalvSwitchInternalvSwitch基于VMware的HA(非vMotion)CentralStorage在備機的VM上啟用HAHypervisorInternetPhysicalNetworkHypervisorExternalvSwitchInternalvSwitchSynchvSwitchExternalvSwitchSynchvSwitchInternalvSwitchFortiGate-VMHA同步會話表在備機的VM上啟用HA傳統(tǒng)模式的問題如何選擇高可用方案HypervisorHA或FortinetHA?在線遷移(vMotion/DRS)需要在整個虛擬環(huán)境上同步會話虛擬交換是否要同步配置?防火墻策略如何處理?虛擬交換的內(nèi)部或者一個廣播域內(nèi)不能部署安全不能與vCenter對象庫進行整合手工創(chuàng)建和編輯安全策略的對象改變拓撲或者創(chuàng)建新的虛擬機時，需要調(diào)整策略添加新的虛擬服務(wù)時需要手工或者通過腳本的方式來部署部署新的ESXi和集群，需要手工調(diào)整改變網(wǎng)絡(luò)和安全配置需要比較多的操作，影響虛擬系統(tǒng)的部署方案三、與SDN融合的解決方案SaaSIaaSSDN虛擬化云安全平臺需要支持多廠商的云計算和SDN環(huán)境vSphereNSXXenServerHyper-VFortiGate-VMX組件FortiGateServiceManager(SVM)用于管理，沒有策略和安全功能采用配置同步的方式復(fù)制策略到FortiGate

VMX與vCenter和vCNS集成

FortiGateNetXVirtualServiceMachine(VMX)每個ESXi物理機一個實例從NetXkernelagents接收數(shù)據(jù)初始化部署檢測所有數(shù)據(jù)包(vCNS)，無策略和無數(shù)據(jù)包轉(zhuǎn)發(fā)未來支持基于流的轉(zhuǎn)發(fā)(NSXnative)FortinetServiceManagerFortiGate-VMXFortinetServiceMachineFortiGate-SVM

FortinetServiceManagerintegrateswithvCNSManagerandvCenterServiceManagerregisterssolutionwithVMwareenvironmentServiceManagerisupdatedwithallvCenterdatabaseobjectsServiceManagerdeploysFortiGate-VMXsecurityserviceVMsServiceManagerpushespoliciestoFortiGate-VMXsecurityserviceVMsFortinetvCNSIntegration–CurrentVMXSolutionVMwarevSphereFortiGate-VMXFortiGate-VMXFortiGate-VMXVMwarevSphereVMwarevSpherevDistributedSwitchVMwarevCenterServerVMwarevCNSManagerFortinetServiceManager4.FortiGate-VMXconnectswithFortiGate-VMXServiceManagerFortiGate-VMX集成和交互過程vCenterServervCloudNetworking&SecurityManagerFortiGate-VMXServiceManager1.InitiatecommunicationwithvCenterServer2.RegisterFortinetassecurityservicewithvCNSManagervDistributedSwitch3.Auto-deployFortiGate-VMXtoallhostsinsecuritycluster5.LicenseverificationandconfigurationsynchronizationwithFortiGate-VMX6.Kernelagentcreationanddefaultre-directionrulesforeachhostincluster7.Real-timeupdatesofobjectdatabase8.PushpolicysynchronizationtoallFortiGate-VMXdeployedinclusterFGT-VMXFGT-VMXVMwareKernelvDistributedSwitchFGT-VMX與VMwareKernelAgent交互KernelAgentKernelAgentKernelAgentKernelAgentKernelAgentKernelAgentKernelAgentKernelAgentFortiGate-VMXServiceManager1DefineNGFWPolicies2SyncconfigonFGT-VMXFGT-VMXappliesfilteronVmwareKernelAgentbeforethevSwitch3FGT-VMX與SDN結(jié)合的優(yōu)勢

四個主要維度

按需、實用至上的安全即服務(wù)在Hypervisor和云方面Scale-out的彈性擴展能力

敏捷的業(yè)務(wù)流程平臺與自動化部署

可以跨越公有云和私有云的單一管理平臺與SDN結(jié)合的優(yōu)勢

四個主要維度

按需、實用至上的安全即服務(wù)在Hypervisor和云方面Scale-out的彈性擴展能力

敏捷的業(yè)務(wù)流程平臺與自動化部署

可以跨越公有云和私有云的單一管理平臺Scale-Up和Scale-Out性能

虛擬化設(shè)備為云提供Scale-Out的彈性Scale-UpScale-Out性能邊界*CiscoGlobalCloudIndex,2013Hypervisor和云的Scale-Out性能防火墻吞吐量彈性化VM內(nèi)流量可視化對于物理和虛擬化設(shè)備策略的統(tǒng)一化在VM內(nèi)封裝防火墻和其他網(wǎng)絡(luò)安全功能可以處理東西向和南北向的流量互聯(lián)多個虛擬交換機可以在公有云上部署

按需、實用至上的安全即服務(wù)在Hypervisor和云方面Scale-out的彈性擴展能力

敏捷的業(yè)務(wù)流程平臺與自動化部署

可以跨越公有云和私有云的單一管理平臺與SDN結(jié)合的優(yōu)勢

四個主要維度敏捷的業(yè)務(wù)流程平臺與自動化

與VMwareSDDC相整合控制平面FortinetVM在軟件定于環(huán)境中的可視化與控制自動部署與插入服務(wù)SDN/網(wǎng)絡(luò)虛擬化(對網(wǎng)絡(luò)流,overlay/Underlay流量進行動態(tài)控制)網(wǎng)絡(luò)策略抽象(邏輯端口,IP,MAC)集成特性網(wǎng)絡(luò)可視化彈性部署分布式基于對象的策略VMwareSDDC集成框架vSphereFG-VMXNetXDataAPIvShieldManagervCenter紅色=控制通道黑色=數(shù)據(jù)通道RESTAPI(控制)FortinetVM分布式虛擬交換機(虛擬網(wǎng)絡(luò))

安全服務(wù)VM(FortiGate-VMX)通過使用NetXRESTAPI實現(xiàn)自動部署

設(shè)定規(guī)則來決定什么樣的數(shù)據(jù)包被接受，拒絕，發(fā)送或為了檢查而鏡像

基于IP,MAC地址,端口號的邏輯規(guī)則

在被保護VM的vNIC與虛擬交換機之間插入過濾器(i.e.基于hypervisor的安全)Fortinet服務(wù)管理器與vCNS(vShield)Manager整合

服務(wù)管理器可以在VMware環(huán)境中添加Fortinet安全解決方案

服務(wù)管理器可以被所有vCenterdbase對象更新

服務(wù)管理器可以部署FortiGate-VMX安全服務(wù)VMs

服務(wù)管理器可以推送策略到FortiGate-VMX安全服務(wù)VMsFortiGate-VMX管理集成和業(yè)務(wù)流程VMwarevSphereFortiGate-VMXFortiGate-VMXFortiGate-VMXVMwarevSphereVMwarevSpherevDistributedSwitchVMwarevCenter服務(wù)器VMwarevCNSManagerFortinet服務(wù)管理器JSONFortiManager-VM(未來)VMwareSDDC的敏捷業(yè)務(wù)流程平臺與自動化

與vSphere,vCloudandNSX的交互控制平面FortinetVM對所有網(wǎng)絡(luò)流量提供可視化能力自動部署新的負載與VMwareSDDC平臺協(xié)作分布式基于對象的策略FortiGate-VMX

按需、實用至上的安全即服務(wù)在Hypervisor和云方面Scale-out的彈性擴展能力

敏捷的業(yè)務(wù)流程平臺與自動化部署

可以跨越公有云和私有云的單一管理平臺與SDN結(jié)合的優(yōu)勢

四個主要維度為云服務(wù)提供商推出的安全即服務(wù)

按需部署為云服務(wù)提供商推出的安全即服務(wù)按需保護，節(jié)省成本按使用情況付費與云基礎(chǔ)架構(gòu)無縫整合集成特性網(wǎng)絡(luò)可視化分布式自助部署即買即得AWS的整合架構(gòu)Fortinet集中管理可以跨越公有云和私有云內(nèi)部數(shù)據(jù)中心邊界內(nèi)部FortiGate設(shè)備InternetRed=controlpathBlack=datapathFortiWeb-VM在AWSMarketplace付費方式按小時/按年

(每個實例)五種性能的VM含訂閱服務(wù)的Bundle按使用量付費授權(quán)部署計量付費部署和服務(wù)方式即部署即使用在虛擬化網(wǎng)絡(luò)中接入安全服務(wù)

按需、實用至上的安全即服務(wù)在Hypervisor和云方面Scale-out的彈性擴展能力

敏捷的業(yè)務(wù)流程平臺與自動化部署

可以跨越公有云和私有云的單一管理平臺與SDN結(jié)合的優(yōu)勢

四個主要維度跨越公有云和私有云的單平臺管理

連續(xù)的策略跨越公有云和私有云實體設(shè)備集中管理&策略虛擬化公有云管理&策略日志記錄&分析基于SaaS的Portal現(xiàn)在能做到虛擬化平臺支持:VMwarevSphere4.0/4.1/5.0/5.1/5.5MicrosoftHyper-V2008R2/2012AmazonAWSLicense信息:可堆疊的，非常靈活的授權(quán)FortiManager–基于設(shè)備/ADOMs/WebPortal(1:1對應(yīng))FortiAnalyzer–基于每日的日志數(shù)據(jù)&總存儲限制沒有vCPU或vRAM限制部署場景單平臺管理物理設(shè)備和虛擬設(shè)備在數(shù)據(jù)中心分層記錄一個分析器支持多個收集器在一個通用的集中管理平臺提供Fortinet實體和虛擬設(shè)備強大的管理功能,日志整合，以及全網(wǎng)可視化云端的集中安全管理&分析–FortiManager-VM&FortiAnalyzer-VMQ.硬件還是虛擬化?

A.都要硬件@邊界虛擬化@區(qū)PublicZoneServerServers/DMZDesktops/PrivateVirtualizedDataCenterDMZ/PrivateZoneHardwareAppliancesVirtual

Appliances域變得很重要管理域的機密性和完整性安全考量風(fēng)險可視控制合規(guī)Fortinet虛擬化設(shè)備

FortiGate-VM

統(tǒng)一威脅管理

FortiManager-VM

集中管理

FortiAnalyzer-VM日志與報告

FortiWeb-VMWeb應(yīng)用安全

Fortimail-VM郵件安全

FortiADC-VM應(yīng)用交付

FortiScan-VM漏洞管理

FortiCache-VM緩存加速FortiAuthenticator-VM

用戶認證管理FortiADC-VMFortinet虛擬化平臺支持情況VMwareCitrixOpenSourceAmazonMicrosoft虛擬化設(shè)備vSpherev4.0vSpherev4.1vSpherev5.0vSpherev5.1XenServerv5.6SP2XenServerv6.0+XenKVMAWSHyper-V2008R2Hyper-V2012FortiGate-VM???????????FortiManager-VM????

???FortiAnalyzer-VM????

???FortiWeb-VM????

??

?

FortiMail-VM????

FortiScan-VM???????

FortiAuthenticator-VM????

FortiADC-VM

??

FortiCache-VM????

FortiVoice-VM??FortiRecorder-VM??Internet簡便性優(yōu)勢-

FortiOS提供網(wǎng)絡(luò)和安全的整合能力單一管理平臺

整合的網(wǎng)絡(luò)和安全快速威脅響應(yīng)整合的安全策略防火墻VPN應(yīng)用控制IPSWeb過濾反惡意軟件廣域網(wǎng)加速數(shù)據(jù)防泄漏WiFi控制器高級威脅防御SaaS網(wǎng)關(guān)FortiGate數(shù)據(jù)中心防火墻下一代防火墻統(tǒng)一威脅管理管理描述FortinetCheckPointCiscoPaloAltoNetworksJuniperFireEyeNSS–下一代防火墻推薦推薦推薦推薦警告xNSS–數(shù)據(jù)中心防火墻推薦xxxxxNSS–違規(guī)檢測推薦x推薦xx警告NSS–數(shù)據(jù)中心IPS??xx警告xNSS–企業(yè)IPS?x推薦x警告xICSA防火墻??x??xICSAIPS??xxxxICSA反病毒?xxxxxICSAWAF?xxxxxVB100?警告xxxxAVComparative?xxxxx最多的第三方獨立機構(gòu)測試認證包含最新公布的NSS實驗室結(jié)果報告，截至2014年7月31日X=未參加，沒有認證Zone1:ServersZone2:DesktopsVirtualized

DataCenterFortiGateFortiGateVM數(shù)據(jù)中心虛擬化架構(gòu)#1-Frost&Sullivan產(chǎn)品線策略獎FortiGuardServicesFortiManagerVMFortiAnalyzerVMFortiMailVMFortiAuthenticatorVMFortiADCVMFortiWebVM文件提交1?高級威脅防御使用代碼仿真器，殺毒引擎，云查詢和虛擬操作系統(tǒng)沙盒的多層過濾處理多種文件類型，包括被加密或混淆的文件從各種協(xié)議中檢查文件，包括那些使用SSL加密的靈活的部署模式可以通過與FortiGate/FortiMail集成，使用嗅探器模式和手動上傳文件三種方式接收文件樣本通過部署的FortiGate可以在遠程地點捕獲文件監(jiān)控和報告詳細的分析報告和實時監(jiān)控與報警FortiSandbox介紹防御APT&未知威脅高級威脅防護解決方案，旨在幫助客戶識別并阻止極具針對性的定制攻擊，以及那些日益復(fù)雜的，且能夠繞過傳統(tǒng)防御的攻擊手段，并且發(fā)現(xiàn)那些潛伏在用戶網(wǎng)絡(luò)中的威脅?？梢尚苑治鲚敵?最新AV簽名更新42集中文件分析Fortinet的優(yōu)勢–安全&性能多層次的文件處理優(yōu)化資源的使用，提高了安全性，功能和性能獨立于操作系統(tǒng)，輕量免疫VM逃避技術(shù)