网络路径分析工具 助力防火墙管理和故障修复

　　虽然像路由跟踪这样的网络路径分析工具在检查各个网络设备对网络数据包传输的影响是很有效的，但是它们无法帮助工程师了解网络安全设备的作用。

　　Athena Security公司新的PathFinder网络路径分析产品提供了这样的安全基础架构可见性。网络工程师可以将防火墙、交换机和路由器的配置数据上传到工具中，这样就可以生成一个离线的虚拟网络模型。然后它们就可以在这个网络模型中模拟数据包传输，并且PathFinder还可以预测到设备配置和防火墙规则将如何影响数据包流。

　　便利连锁商店Kwik Trip在划分网络的DMZ之后，局域网和广域网管理员Chuck Serauskas发现某些类型的流量在网络片段中会被挂断。因此，他使用PathFinder来修复这个问题。

　　“在有了PathFinder之后，我们一直都使用它来修复故障……路径是如何通过我们的ASA [Cisco Adaptive Security Appliance]的呢，”他说道。“对于PCI，我们最近将我们的DMZ分割成了4个不同的DMZ。当我们第一次创建时，我们的路由并不是刚好通过它，而且我们的VMware工作人员在使用我们DMZ中的某些服务器时也遇到了一些问题。”

　　通过PathFinder的离线网络路径分析功能，Serauskas可以使用他的设备配置来创建一个网络模型，并通过DMZ发送模拟数据包。他发现ASA会拦截某些通过的数据包。他检查了ASA的规则，发现某些规则是通过一个在划分之前已经弃用的老路径来发送数据包。

　　“我们只需要修改DMZ上的路径——在防火墙上进行恰当的修改——同时一旦我们修改了配置，我们就可以在PathFinder上运行一个新的测试。”他说。“一旦我们知道了VMware管理员正在尝试获得的IP地址已经可以正确传输数据，那么我们就可以将修改应用到生产环境中。”

　　网络路径分析工具几乎不考虑安全性

　　网络工程师有很多可以执行网络流量分析的工具，其中就有一些像路由跟踪这样的简单工具，也有具备网络路径分析功能的大型系统管理产品，如Opnet和Compuware。但是，这些工具中的大多数都是面向网络设备和主机的——而非网络安全设备。

　　“防火墙规则变更而最终导致应用程序出现性能问题的情况是屡见不鲜的。在查找性能问题时，通常不会检查这个地方，但它还是会产生重大影响的，”Enterprise Management Associates的网络管理研究主管Jim Frey说道。

　　在一些IT组织中，使用网络流量分析工具和网络路径分析工具的管理员并不太熟悉防火墙的规则和设置，因此一个可以提供防火墙对网络路径影响的可视化模型的工具是非常有用的。

　　“防火墙规则是很冗长的，因此能够提供一些关于防火墙工作方式的可视化表现，这对那些并不是非常熟悉防火墙代码的人员而言是非常有好处的，”银行技术供应商FIS Global的Healthcare Government Billings Solution Group的资深信息安全分析师Richard Barretto说道。

　　Barretto最近购买了Athena的防火墙管理产品PathFinder 和FirePAC。他购买这些工具是为了改进他组织的防火墙审计过程，但是他同时发现PathFinder也可以作为网络流量分析和故障修复工具。

　　“实际上您可以修复某些从一个源传输到一个目标的流量，同时根据规则设置确定可能出现流量中断或者可能出现问题的地方，”他说道。

　　使用网络路径分析查找错误

　　PathFinder在发现网络安全性问题方面也是很有用的，如数据包被传输到了它们不应该到达的地方。

　　“当我们检查一个客户网络时，我们总是假设可能存在某些方面的网络安全问题，而图谋不轨的人如果不断地进行尝试，他们就可能进入网络。”信息安全服务公司Jacadis的安全分析师Larry Rosen说道。“通过使用一个像PathFinder的工具，我们就可以看到和知道，当某个身份的人进入网络后，他还能去往哪里?我们使用它来尝试分析一些给网络上带来特定漏洞的威胁。我们的客户可以根据需要强化他们的规则。

　　“很多公司都没有配备全职的防火墙管理员，而且在网络上测试一个新的应用程序时，通常非专业技术人员会在防火墙上添加一些专用的规则，”Rosen说道。“然而在测试完成之后，他们会忘记删除该规则。这样的规则变更可能会产生一个危险的漏洞。一个具备良好可视化功能的网络流量分析工具可以快速定位网络上存在的此类问题。”

　　另外的两个防火墙生命周期管理供应商是Skybox Security和RedSeal Systems，虽然它们都拥有类似于Athena PathFinder的网络路径分析功能，但它们是大型产品套件的组成部分，而PathFinder是一个独立的产品，不能直接控制防火墙基础架构的网络工程师可以用它来修复故障，Rosen说道。

　　“事实上，网络工程师可以将PathFinder引入到整个变更管理过程中，”Jacadis资深安全分析师Jerod Brennen说道。“如果您拥有一个可以表示变化之后情况的路由器配置文件或者防火墙配置文件，那么您可以通过查询某些重要的路径服务来评估该流量是否将进行传输。”