F5 Networks SSL Orchestrator 4.0版的发布，解决了过去5年中最棘手的安全问题之一：加密用户流量的可见性。企业已在安全方面投入数十亿美元，用于部署功能强大的安全控制措施，包括沙箱、深度数据包检测和人工智能，但这些措施面对加密流量时却无能为力。形势十分严峻，因为据F5 Labs的《2017年TLS遥测报告》显示，自2014年以来，加密用户流量的占比已增长一倍以上，超过80%。因此，如今已有SSL可见性解决方案提供解密服务，让这些安全控制措施能够了解流量中的具体内容。
但仅有可见性还不够。安全团队和网络运维人员发现，设置解密区域并不容易，甚至非常困难。安全团队往往不得不采用手动串联或繁琐的配置，来管理整个安全堆栈中的解密和加密，随后还会发现各种例外情况层出不穷。总之，这一直是件让人头疼的事。
F5 SSL Orchestrator 4.0版由此登场。它不仅提供可见性，更凭借编排功能脱颖而出。编排功能可根据风险和动态网络状况，为服务链提供基于策略的流量引导。
凭借对SSL/TLS和HTTP均采用全代理架构的优势，以及SSL Orchestrator能够智能决策，将入站和出站流量引导至安全技术栈中的服务链。这是其他解决方案所不具备的能力。
如果您不打算继续阅读，至少请记住这一点：无论入站和出站加密要求多么复杂，SSL Orchestrator都能让价值数百万美元的检测硬件重新获得流量可见性。
更动态的服务链
F5在早期版本的SSL Orchestrator中引入了安全服务链这一概念。不同类型的网络流量应接受不同类型的检查，对吧？例如，管理员工作站的出站流量应接受最严格的检查，并以未加密形式通过所有现有安全控制。但业务部门承包商的VDI会话在出站时可以跳过沙箱和IPS。
4.0版对安全控制插入链、负载均衡和监控方法进行了显著改进，具体包括以下方面。
可见性更加直观！
如果觉得这听起来复杂或令人困惑，请先别担心，因为SSL Orchestrator可让服务链配置变得简单。借助SSL Orchestrator的Visual Policy Editor（VPE），可以将服务链拖放到架构中，从而直观地了解如何实现流量可见性。
可见性：不再仅限于HTTPS
当然，大部分流量都是HTTPS，但如果贵组织规模较大，设备中传输着各种协议的流量，可能还需要处理一些FTP(S)、IMAP、POP3和ICAP流量。此外，随着近期对机会加密的关注，许多应用开始为这些服务使用STARTTLS。您可能会想：“这对F5来说也太复杂了。”其实不然，Kenny，因为SSL Orchestrator现在可以检测并正确解密FTP、IMAP、POP3和ICAP中的STARTTLS等机会加密流量。
优化ICAP
我们集成的大多数ICAP服务都是防病毒（AV）服务。AV显然会显著增加延迟，因此SSL Orchestrator进行了一些调整。现在，您可以创建策略，仅通过ICAP发送特定类型的请求和响应。一种常见做法是仅扫描POST请求，并绕过其余有效负载。我们并不是说这是推荐做法，但用户有此需求，因此我们提供了这项功能。
不止如此，还有更多
如果想进一步了解SSL Orchestrator 4.0版本中丰富而实用的功能，请查看以下要点（下方还提供了更多信息的链接）。
版本4.0中的新增功能
- 更新了设置实用程序，新增资源配置功能
- 检查所有流量中的恶意软件和数据外泄行为
- 灵活的部署模式，可与整个安全基础设施集成
- 分析和增强型日志记录的设置与类别
- 特定流量（IMAP、SMTPS、POP3、FTP、HTTP）的L7应用设置
- 通过出色的负载均衡、运行状况监控和SSL卸载功能实现高可用性
最后，请记住：需要扫描入站和出站流量，以应对未来的威胁。SSL Orchestrator可帮助安全控制措施保护组织声誉，避免因安全事件成为新闻焦点，并降低遭受GDPR罚款的风险。
其他资源
关于作者
相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。