加密流量可见性分三层:能看到什么、看不到什么、谁来判断

加密流量可见性是在不解密内容的前提下,看清流量的存在、走向与行为特征。连接层通常可见,内容层通常不可见,处置判断由运维与安全人员负责。

要点速览

• 加密流量可见性指不解密内容,看清流量的存在、走向与行为特征
• 链路与连接层通常可见,内容层加密后通常不可见
• 工具负责呈现与提示,是否异常、如何处置由运维与安全人员判断
• 排查先问:流量去哪、谁发起、是否符合业务预期、异常后谁拍板
• 先补资产归属与连接基线,再评估是否需要专门的可见性工具

加密流量可见性,是指在不解密、不还原内容的前提下,看清加密流量是否存在、从哪里来、到哪里去,以及它有什么行为特征。它要解决的是机房里常见的一种状况:流量一直在跑,但说不清它是什么。可见性可以分三层看。链路与连接层通常看得清。内容层在加密后通常看不到,也不应指望把内容还原出来。从可见信息到处置判断这一层,由运维与安全人员负责,工具只负责呈现和提示。

加密流量可见性是什么意思

过去排查网络问题,很多时候可以直接查看报文内容:请求了什么地址、传了什么参数、返回了什么结果,一眼就能对上业务。现在加密传输越来越普遍,报文内容对中间链路不再透明。这对数据保护是好事,对运维和安全人员来说,原来那套看内容的方法就不太用得上了。

可见性讨论的不是怎么把加密拆开,而是在加密照常存在的前提下,还能掌握哪些信息。这类信息大致有三种:

• 存在:某段时间内,有哪些加密会话在发生,数量和规模大概多少。
• 走向:会话从哪台主机发起,连向哪个地址和端口,经过哪条链路。
• 行为特征:连接持续多久、多久发生一次、流量大小怎么分布、和平时的规律比有没有变化。

这三种信息都不需要读取内容,但放在一起,已经能回答很多排障和安全上的问题。关于加密普及给网络安全带来的变化,可以参考加密越来越普遍,网络安全正在失去“看见流量”的能力。

机房运维为什么会遇到“流量在跑,但不知道是什么”

在数据中心里,这种情况通常有几种表现。

• 带宽占用异常:出口占用在某个时段明显抬高,监控上看到的是一大块加密流量,但说不清是哪个业务、哪台机器、因为什么。这里要先分清带宽和流量是两回事,带宽是链路容量,流量是实际跑过的数据,具体可以看带宽指的是什么:链路容量,与流量、延迟、丢包分开看。
• 来源不明的连接:某台服务器持续连向一个陌生地址,端口是常见的加密端口,看起来和正常访问没什么两样,业务方也说不清这条连接是不是自己的。
• 排障时只看到一串加密会话:用户反馈访问慢或中断,抓包后看到的是大量握手和加密数据,没法像以前那样直接定位到具体请求。

这几种情况有一个共同点:看不到内容,还不是主要难处。真正麻烦的是连能看到的那部分信息也没有整理好。连接记录散落在不同设备上,没有和主机、业务、负责人对应起来,出了问题只能临时拼凑。所以加密流量可见性首先是把能看到的看清楚,而不是去追求看到原本就看不到的东西。

三层对照:能看到什么、看不到什么、谁来判断

下面按层级列出各层通常能看到什么、通常看不到什么、由谁来判断。具体能看到多少,取决于部署位置、采集方式和网络结构,这里只做定性说明。

链路与连接层

• 通常能看到:五元组(源地址、目的地址、源端口、目的端口、协议)、流量大小、连接开始与结束时间、持续时长、连接频次,以及会话在哪条链路、哪个出口上发生。
• 通常看不到:这条连接在业务上是做什么用的。地址和端口只能说明连到了哪里,说明不了为什么要连。
• 谁来判断:网络运维负责确认链路和连接信息是否准确完整,业务方负责说明这些连接是否属于自己的正常业务。

内容层

• 通常能看到:加密会话本身的存在,以及部分握手阶段公开交换的信息。哪些字段可见,要看具体协议版本和配置。
• 通常看不到:传输的具体内容,比如请求了什么数据、提交了什么参数、返回了什么结果。可见性方案一般不承诺还原内容,也不宜把还原内容当成目标。
• 谁来判断:是否需要、能否在特定位置合法地查看内容,属于合规与安全管理问题,要由企业的安全负责人结合业务需要和《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等要求来决定,不是一个工具开关能解决的。

从可见信息到处置判断

• 通常能看到:工具能做的是把连接层信息整理成可读的视图,标出和平时规律不一致的地方,比如新出现的目的地址、突增的流量、非常规时段的持续连接,并给出提示。
• 通常看不到:一条异常是不是真的有问题。偏离规律,也可能只是业务调整、版本发布或临时任务。
• 谁来判断:运维与安全人员。是否封禁、是否限速、是否通知业务方、是否升级为安全事件,都要由人来拍板,并留下记录。

这三层分开来看,能避免两种常见误解:一种是以为加密之后就什么都看不到了,另一种是以为上了工具就能自动判断好坏。前者低估了连接层信息的价值,后者把判断责任交给了工具。

排查时先问的四个问题

遇到一段说不清的加密流量,不必一上来就想着看内容。先把下面四个问题问清楚,多数情况能缩小到可处理的范围。

1. 流量去哪:目的地址和端口是什么,是内部系统、合作方接口、公共服务,还是从没见过的地址。同一个目的地址过去有没有出现过。
2. 谁发起:源头是哪台主机、哪个业务、哪个负责人。如果一台机器说不清归属,问题往往出在资产记录上,而不是流量本身。
3. 是否符合业务预期:这条连接的时段、频率和大小,和业务方描述的使用方式对得上吗。比如备份任务一般在固定时段、流量较大,如果在白天持续出现,就值得问一句。
4. 异常后谁来拍板:发现不对劲之后,由谁决定下一步。运维能不能直接限速,封禁前要不要通知业务方,升级到安全事件时找谁。这一条要在出问题之前定好。

这四个问题里,前三个靠可见性回答,第四个靠流程回答。很多机房排障慢,并不是因为看不到,而是看到了之后没人能及时决定怎么办。如果企业在推进等保 2.0 相关工作,把这套判断与记录的分工写进日常运维制度,会比临时处理稳妥。

什么时候需要专门的可见性工具

不是所有机房都需要单独上一套可见性工具。规模小、业务简单、连接关系固定的环境,用现有的流量监控加上清晰的资产台账,通常就能应付。出现下面这些情况时,可以考虑专门的工具:

• 加密流量占比高,现有监控只能看到总量,说不清结构。
• 来源不明的连接反复出现,每次都要临时拼凑多处记录才能定位。
• 排障时间大量花在“这是谁的流量”这一步上。
• 安全团队希望按主机或用户的行为规律来看问题,而不是只盯单个告警。这一思路可以参考从一个异常IP到一个用户画像,网络安全正在从“事件”转向“行为”。

评估工具时,建议重点看三件事:它在不解密内容的前提下能呈现哪些信息;提示是否讲得清楚,能不能让人看懂为什么被标记;处置是否保留在人手里,有没有留痕。

润迅的洞流 Refract 定位于数据中心加密流量可见性,思路和上面的三层划分一致:工具负责把加密流量的存在、走向和行为特征呈现出来,对偏离规律的地方给出提示;是否异常、怎么处置,由运维与安全人员判断和确认。它不以还原加密内容为目标,也不替人做处置决定。

行动建议:先把能看见的整理好,再决定要不要加工具

如果你正在为机房里说不清的加密流量发愁,可以按下面的顺序推进:

1. 补齐资产归属:每台主机对应哪个业务、哪个负责人,先把这张表做准。连接信息有了归属,才谈得上判断。
2. 建立连接基线:挑几条关键业务,记录它们平时连向哪里、什么时段、多大流量,作为后续对比的参照。
3. 定好判断与处置分工:写清楚谁能限速、谁能封禁、什么情况要通知业务方、什么情况升级为安全事件,并要求每次处置留下记录。
4. 再评估工具:当人工整理的成本明显上升、排障反复卡在定位这一步时,再引入专门的可见性工具,并用上面四个问题去检验它是否真能帮上忙。

如果你的服务器托管在数据中心,或正在规划托管方案,希望同时把机房环境、网络带宽和加密流量可见性一起考虑,可以查看润迅的互联网数据中心解决方案,或拨打业务热线 400-854-5566,和我们聊聊你的机房现状与排查需求。

→ 联系润迅,聊聊你的场景,获取适合的方案