我们都了解SSL，它是一项保护在线通信的重要加密技术，可保护所用Web浏览器与托管此类网站的服务器之间的通信。通过挂锁图标或地址中的HTTPS，即可识别安全网站。
总体而言，SSL是一项有益的技术。银行业务或网上购物等涉及财务信息的交易都会使用SSL来保护信息隐私。但最近，人们开始推动使用SSL保护所有互联网流量，而不再局限于包含用户名和密码组合或财务数据的流量。爱德华·斯诺登披露的全球大规模监控等引发广泛关注的新闻，促使更多用户要求对在线通信进行加密，而服务提供商也乐于满足这一需求。
因此，SSL的使用日益普及。Google、Amazon和Facebook等全球广受欢迎的网站现在默认对所有流量启用HTTPS，以提供SSL加密。据估计，到2015年年底，全球超过一半的互联网流量将被加密。（这主要是因为Netflix占互联网流量的很大比例，并且正在转向HTTPS。）
不过，尽管加密互联网流量无疑能保护更多敏感数据，但也确实会增加企业面临的风险。这是因为许多企业安全设备无法查看加密流量中的内容，恶意软件因而可能避开检测。
防火墙、Web网关、入侵防御系统等安全设备可能难以检测通过加密流量传入的恶意软件。如果网络犯罪分子能够将恶意软件隐藏在看似安全的事务中，企业可能会面临严峻挑战。这种风险是双向的：恶意软件不仅可能在未被检测到的情况下传入，还可能通过加密事务将敏感信息回传给其控制端，而大多数安全工具都无法发现。
其中一个例子是Dyre银行恶意软件。据报道，该恶意软件能够在加密启动前窃取信息，并将其伪装成合法的加密流量发送回命令与控制服务器。关键在于，虽然显示了挂锁图标，使会话看似安全，但敏感数据实际上正在后台被大量窃取。
事实上，任何可疑网站都可能传播路过式下载恶意软件。如果会话已加密，安全工具便无法确定流量的实际内容或去向。代理服务器或URL过滤网关等设备对此完全无法识别。
这是企业面临的一个切实问题。Gartner的数据显示，在使用防火墙、IPS或UTM的组织中，解密SSL流量的比例不到20%，这意味着隐藏在SSL流量中的恶意软件会绕过这些安全平台。Gartner还称，到2017年，超过50%针对企业的网络攻击将利用SSL绕过安全防护。
企业如何确保不会因隐藏在加密流量中的恶意软件而遭受攻击？简单来说，可以解密这些流量，但问题是如何在不侵犯隐私、也不让敏感数据暴露于攻击风险的情况下实现解密。
因此，关键在于确定哪些流量应当解密。如果企业要向外部用户提供内容，就需要使用某种设备从服务器卸载SSL流量，然后在流量中加入安全防护。这会终止SSL连接，但应以智能方式进行；银行业务会话不应解密，而Facebook会话则可以解密。
安全解决方案需要具备智能判断能力，了解流量的去向，并据此决定是解密流量还是保持原样。也就是说，要以安全、智能的方式解密SSL流量。
关于作者
相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。