因時而變，因勢而變，網絡安全測試亦須如此。隨著云計算、大數據、移動互聯網的快速發展，“應用”、“移動化”等在成為網絡安全的新關鍵詞。我們正在進入新網絡安全時代，那么諸如下一代防火墻這類應對下一代惡意威脅的安全產品是否真的能夠發揮出其預期的效果？面對下一代網絡安全，需要提供與之適應的安全測試方法。思博倫通信亞太區業務發展經理曲博認為，隨著移動互聯網的快速發展，應用的極大豐富以及快速更新，對網絡安全測試提出了新的需求。

下一代網絡安全提出測試新要求

下一代網絡安全的特點主要表現在兩個方面：應用的爆炸增長使得應用感知成為下一代網絡安全的特點之一；另一方面，攻擊在變得更加復雜，而且基于應用的攻擊快速增加。不同的應用會使用不同的應用協議，而同一應用也會具有不同的版本和行為，所以如何對各類應用進行精準模擬就極為重要，因為只有這樣才能為用戶提供最接近真實的測試環境。下一代網絡安全會面臨更多來自于0 Day漏洞的未知攻擊、惡意軟件這類基于應用的攻擊，以及利用協議的攻擊等等，這就需要在測試時能夠提供盡可能全面的攻擊庫。另外我們需要注意到，分布式、大流量這兩大特征使得針對DDoS攻擊的安全測試具有一定難度。而且現在的DDoS攻擊正在呈現出更加智能化的特性，比如，會通過重定向的方法繞過安全防線，那么如何模擬真實的攻擊場景就十分重要了。在真實的網絡環境中，攻擊流量都是混雜在正常的網絡流量里，好的安全產品應該是在能夠準確攔截攻擊的同時，不會降低其自身性能。所以在進行測試時需要將真實流量和混合流量混合在一起。

下一代網絡安全測試要真實全面更具人性化

總結上面的下一代網絡安全測試新要求可以看到，下一代網絡安全測試解決方案要能夠提供真實網絡環境下的真實應用流量模擬，海量應用仿真以及真實網絡環境下的攻擊仿真測試。在提供標準應用庫、攻擊庫的同時，要使得用戶能夠根據自己的需求，擴展定制其測試能力。專業的網絡安全測試往往意味著復雜的操作，這使得并不專業的用戶們都大為頭疼。所以下一代的安全測試需要更加人性化，提供更好的用戶體驗。而思博倫所提出的測試方法學則能夠幫助用戶更好的實施安全測試。

1、真實的應用流量模擬

移動互聯網刺激了應用的空前繁榮，各種流行應用極大豐富了人們的生活，在實際的應用流量里不僅有各種類型的應用、不同版本的應用，而且應用之間也會互相產生影響，許多攻擊更是附著在應用之上。所以在模擬應用流量上就需要注意到前述這些要素。據曲博介紹，針對此，思博倫提供及時、周期性更新的應用庫。而相應的編輯工具，能夠幫助用戶按照需要生成最新應用，并以此建立應用庫——SAPEE(PCAP導入)。這使得構造復雜的應用場景性能測試變得輕松簡單。

2、真實的攻擊仿真測試

下一代的惡意攻擊非常復雜，不僅有病毒、蠕蟲、木馬、宏病毒、垃圾郵件、間諜軟件、廣告軟件、Rootkit等傳統方法，APT、DDoS攻擊、網絡釣魚、零日攻擊、社交攻擊等新型攻擊手段更在不斷挑戰用戶的安全防線。思博倫的下一代網絡安全測試方案不僅提供大流量DDoS仿真測試，還能進行DDoS攻擊和正常流量相混合情況下的測試、內嵌攻擊安全測試等。目前，思博倫支持8000多種已知攻擊/漏洞測試方法，其攻擊庫每月更新，攻擊模型包含了多種軟件平臺和攻擊場景，混合攻擊流量和業務背景流量使用同一個端口發送，還可以同時測試惡意攻擊識別能力和系統的正常業務處理能力。

3、建立真實的網絡測試環境

一些安全設備在單純的攻擊流量環境中，可以阻斷所有攻擊，但是當環境中同時混合了攻擊流量和正常流量的時候，這些設備就會漏報部分攻擊。而在真實的網絡中，并沒有單純的攻擊流量，所有的攻擊都是和其它流量混合在一起的。攻擊流量與正常流量混合的測試方法可以檢查安全設備在檢測和阻斷攻擊流量的同時，不影響其對正常流量的轉發，即無性能上的損耗。

另外，新網絡安全時代的安全測試對正常流量部分的模擬也有了更高的要求：需要根據不同應用場景建立不同流量模型，然后測試攻擊流量在不同流量模型下對安全設備或者網絡處理應用性能的影響。

思博倫的下一代網絡安全測試方案Avalanche NEXT包含數千種攻擊屬性和向量，使用戶能夠對攻擊和應用的任意組合執行測試。Avalanche NEXT可生成包含可靠負載的應用流量，對實際使用中的真實安全性、負載和功能進行測試。Avalanche NEXT是世界上連接速率性能最高的HTTP測試議，為用戶提供了將設備和網絡推向極限的強大能力。Avalanche NEXT中包含的Spirent TestCloud使得用戶能夠訪問數以千計最新的性能和安全性測試。

測試要有標準，但標準不是唯一的，標準是測試的立足之本，在標準之上會進行擴張，使得測試更符合用戶需求。因此，需求測試儀表只是一個工具，重要的是測試方法。曲博認為“好的測試方法可以指導用戶更有效的測試”，測試方法學將實際的測試需求與測試儀器的操作融合在一體。思博倫一直很重視測試方法學的研究，多年來將測試經驗、測試專業整理成測試方法學，提供給客戶。

面對下一代網絡安全，測試方法已經準備好了，那么下一代安全產品們是否也已經Ready？