华为刘立柱：庞大的网络体系靠什么保证安全？

近年来互联网安全形势严峻，针对终端的木马、病毒等越来越智能化，针对服务器和网络的恶意DDoS攻击也越来越频繁。与此同时，随着网络带宽的提升和移动互联网的发展，2020年前后全球将达到1000亿连接，如此庞大的网络体系，究竟靠什么来保证安全？

华为认为，借助先进的大数据分析工具和高度智能化的检测技术发现、控制威胁，同时全球网络运营商、IDC等机构加强合作，可共同应对网络安全问题。

“未来连接会越来越密集，因此安全问题也将无处不在，我们需要让网络更加稳定，预警更灵敏，安全威胁的消除更彻底。”华为交换机与企业通信产品线副总裁、安全网关领域总经理刘立柱说。

多种手段应对APT

APT即高级持续性威胁，是指利用先进的攻击手段进行长期的、持续性的网络攻击。这种攻击在发动之前往往会潜伏下来收集、分析目标的信息，发现漏洞并利用漏洞进行攻击。对于大型企业或机构的网络、IT系统和应用来说，APT是一个亟待解决的难题。

针对APT安全问题，华为提出的对策是通过深度的机器学习来发现各种APT攻击造成的网络流量上的变化特征，根据这些特征进行相关的联动分析。“遭遇APT攻击时，攻击方会尝试获得更高的控制权限，最终窃取核心系统的信息或者使正常业务中断。”刘立柱说，“这与正常的流量有差异，华为的APT大数据安全方案就是基于这样的设计理念发展起来的。”

华为近年来发展了先进的FireHunter系列安全沙箱、CIS网络安全智能系统和USG6000V系列软件防火墙等重量级的产品，帮助业界构筑面向APT和深度高级恶意威胁的安全防护体系。其中FireHunter安全沙箱使用了信誉系统和多层检测技术，拥有业界最快的文件检测速度，每天能检测超过18万个文件，是业界同类产品的1.5倍。FireHunter安全沙箱还支持Web页面0day漏洞检测，这是国内同类产品中唯一能做到这一点的。这些技术使FireHunter发现未知威胁的效率大大增加。据刘立柱介绍，在一家金融业客户部署华为FireHunter安全沙箱后短短两个月，就检测出了230多种未知APT威胁，其中72个是首次被发现的。

由于APT攻击隐蔽性很强，华为专门推出了CIS网络安全智能系统，用于预警和清除对企业网络的APT攻击。CIS以大数据平台为基础，对关键流量、日志、上下文以及外部信息进行大数据关联性分析，及时发现可疑行为、预警被感染对象，继而实施阻断、溯源和清理。目前华为CIS可以检测出350多种可疑行为，远超业界一般水平。

为了强化全网设备的安全防护能力，华为还推出了可在敏捷交换机、敏捷路由器上弹性部署的USG6000V系列软件防火墙。该防火墙方案中采用了Intel最新的“DPDK+SR-IOV”技术及Hyperscan软件模式匹配引擎，通过性能是业界平均水平的5倍多，最高可达40Gbps。

刘立柱介绍说，今后华为还将不断加大样本采集范围，提高运算效率，积累可疑行为模式，帮助业界有效应对APT威胁。

云清联盟对抗DDoS攻击

随着宽带网络、移动互联网的发展，云计算、物联网大行其道，同时DDoS攻击的增长速度也越来越快，规模越来越大，传统的防御手段渐渐力不能及。

“随着云计算的发展，大量公有云成了僵尸主机的资源池，这使得DDoS攻击的成本越来越低，危害性却越来越大。”刘立柱说，“与此同时，DDoS攻击还会造成大量垃圾流量挤占网络带宽。”

自扫门前雪已经不能解决问题了，业界需要联合起来共同防范、消除DDoS攻击。因此华为倡议成立了云清联盟，希望通过调度全球网络和IT资源，实现快速定位和近源清洗。这样不仅可以节省各个受攻击企业的开支，也可以大大提升防护效果。

刘立柱举例说，如果一家企业网络受到了来自美国、欧洲的DDoS攻击，云清联盟就可以通过在美国、欧洲的合作伙伴清洗掉这些攻击，从根本上解决问题。对于这家企业来说，无需自行购买防御DDoS攻击的设备，从而节省成本；对于加入云清联盟的合作伙伴来说，则意味着获得了很多商业机会。

“所以说，云清联盟是具有内生的商业驱动机制的安全联盟，能够为所有相关者都带来效益，同时让各行各业的互联网业务更加顺畅、安全。”刘立柱说。

物联网安全问题多多

未来全球互联网会越来越发达，人们的生活、工作也会变得越来越方便，但安全影响和危害也会越来越大。在刘立柱看来，目前发展迅猛的物联网就存在很多安全防护问题。

如今从国家到市场，都对物联网有非常高的期望，国内外有大量厂商在开发物联网设备和应用系统。刘立柱粗略估计，有70%以上的物联网终端都有漏洞。华为自身为了确保设备没有漏洞，专门建立了一个很庞大的安全管理规范，每个产品出厂时都要通过安全漏洞检查。

“无论是操作系统还是芯片，或者应用产品，都要从设计之初就充分考虑可能存在的漏洞，因为这些漏洞都有可能成为攻击的入口。”刘立柱说。不过涉足物联网的企业很多，很难制定统一的标准，因此刘立柱建议各个厂商在设备上使用LiteOS。LiteOS是华为推出的开源的超轻量级物联网操作系统，该系统考虑了很多安全方面的问题，有助于改善物联网设备的安全性能。

此外，物联网设备都要通过管道连到云端才能起作用，从管道到云端，华为都可以提供优势的安全解决方案。据刘立柱介绍，物联网传递的数据信息比较固定，虽然数量很多、流量很大，但检测起来并不麻烦，华为的下一代防火墙就可以承担这些任务。

业务发展趋势向好

2014年以来，华为在安全领域取得了非常好的成绩，2014年销售收入增幅在30%以上，达到了1.7亿美元。刘立柱预计，2015年华为安全业务收入将提升到2亿美元以上。

在金融行业，工商银行的互联网网银大量采用了华为的DDoS防护和防护墙；在政府领域，华为的高端防火墙被广东省电子政务云用于做政务外网的防护；在教育行业，国内有很多高校将华为高端防火墙应用于校园网出口及安全、NAT网关、链路负载均衡、NAT日志溯源等。

在中小企业客户市场，华为一直持开放的态度。刘立柱表示，安全领域的企业各有各的优势，华为的传统优势在IP领域，将来会主攻网络安全市场，在此基础上愿意与国内外合作伙伴共同开拓市场。“随着合作伙伴业务的发展，华为在中小企业安全业务市场也取得了很大的收获。”刘立柱说，“中国区差不多一半以上的销售业务来自于合作伙伴。”

云清联盟是另一个合作共赢的模式。电信运营商有带宽，对于流量攻击有天然的防护优势；专业安全服务提供商有很好的运营能力，有精细化的调度和良好的客户化服务能力；华为则在网络技术、DDoS攻击防御等领域有突出的优势。“云清联盟把这一切汇聚在一起，可以为市场提供更好、更及时的服务。”刘立柱说。

据刘立柱介绍，云清联盟在发展海外合作伙伴方面已经取得了进展，一些国际领先运营商和安全服务提供商已经同意加入联盟。华为计划与合作伙伴一起，在全球四大洲建立超过10个清洗中心，接入云清联盟中顶级的安全管理平台(SOC)，从而实现全球的安全防护资源调度和近源清洗。目前云清联盟将致力于争取网络带宽需求较大且对网络攻击比较敏感的客户，随后向大型企业市场发展。