數據流量加密是否有利于網絡安全?某種程度上來說，的確如此。然而美好的事物往往都是魚和熊掌不可兼得，為提高安全性而犧牲應用性能是我們需要避免的事情。

大多數企業機構的SSL流量平均已占網絡總流量的15%至25%，在垂直細分市場中的此類流量更高。行業規范諸如支付卡行業安全標準以及HIPAA法案均要求各企業在數據傳輸中對敏感數據進行加密(例如：銀行往來數據、商戶或醫療行業相關網站等)。重要企業應用程序如Microsoft Exchange、Salesforce.com、Dropbox也針對LinkedIn、Twitter、Facebook等超人氣網站啟用SSL，以達到隱私保護要求。

[[165378]]

加密有利于保護數據，但它同樣可以保護潛在的攻擊者。復雜的惡意軟件以及難以察覺但有很大危害的潛在攻擊信息往往隱藏在SSL加密流量中。然而數據流的加密使得IT團隊的安全監控、應用監控、安全分析，甚至資源規劃變得更加困難，因為他們不得不通過解密與檢查所有數據尋找異常情況。

暗伏的危機

SSL加密數據中還可能隱藏著什么?企業需要了解兩大風險：有形威脅以及更加微妙的威脅信號。

這種“威脅”通常是指惡意軟件，即經過加密處理偽裝成良性SSL流量的惡意代碼。威脅信號則表明惡意方正在窺探或掃描網絡，試圖尋找攻擊弱點，它們是潛在黑客或網絡入侵的明證。識別和應對這兩類威脅是IT團隊的主要任務之一，然而日益激增的SSL流量使得這些任務耗時更長并且需要特殊的分析工具。

性能是關鍵

當然，企業的下一代防火墻和應用監測工具可應對這些威脅。防火墻能夠解密和掃描SSL數據，并且根據安全策略檢查是否存在惡意軟件或防止入侵企圖。

但是，此類功能也有附加條件。由于IT團隊在防火墻上啟動了更多功能，如：病毒防護、防僵尸、IPS、URL過濾和應用控制，整套安全工具的計算時間也越來越長，存在安全套件成為瓶頸的風險，因而限制網絡發展，或必須對安全套件進行全面升級，以滿足必要的性能需求。

企業戰略集團(Enterprise Strategy Group)2015的研究顯示，24%的企業網絡團隊對可能會破壞關鍵流量或有損業績的技術表示不太了解。然而，除了正常功能，采用安全網關解密SSL流量的固有處理開銷通常會對性能產生顯著影響，當業務和數據量都在增長的情況下尤其如此。網絡安全檢測機構NSS Lab 2013年針對7個下一代防火墻測試的調查發現，在使用基本512B和1024B密碼時，該設備的平均性能損失高達74%。

狀態檢測

那么我們如何才能消除因加密或增加可視性而產生的安全盲點?又是如何在無損整體網絡性能的前提下洞察隱蔽流量中潛伏的危機?首先，企業必須全面且清晰地訪問其物理、虛擬和混合云環境下的所有流量。為此，通常需要使用全狀態SSL解密，拓展安全團隊探察業務和網絡應用程序加密流量的能力，以發現隱藏的異常，如：網絡偵察、入侵或惡意軟件。

全狀態SSL解密可提供完整的會話信息，幫助IT團隊更好地理解處理全進程和可能發動的攻擊，這與單純提供原始數據包的無狀態解密截然不同。

其次，全狀態SSL解密應在專用平臺上完成，如：網絡數據包中轉(network packet broker)，以便卸載來自防火墻、安全網關和應用程序監視工具的額外處理負擔。通過減少工作負載，使其更好地識別并有針對性地應對攻擊，這有助于最大限度地發揮防病毒、沙箱和IPS等工具及其運行應用程序的性能和容量。將網絡數據包代理程序植入精心搭建的架構旁路框架可實現網絡可用性和可靠性最大化。這將充分釋放安全性和網絡架構的潛力，同時為IT和安全團隊提供所有加密和未加密網絡流量的全面可視性。

SSL加密在打擊非法信息竊取和黑客攻擊，保護敏感數據，幫助企業達到合規性要求方面起著至關重要的作用。但它同時也可能隱瞞安全威脅，限制網絡團隊檢查、調整和優化應用性能的能力。企業為客戶的流量保駕護航非常重要，然而消除加密盲點并獲得洞察網絡和關鍵任務應用程序的全面可視性也同樣不容忽視，部署合適架構則是實現一石二鳥的良方。