防火墙系统性能与安全性测试系统可行性研究报告

1 金庐 可 行 性 研 究 报 告 南昌金庐软件园软件评测培训有限公司 二零零六年四月八日 2 目 录 第一章 总 论 . 3 . 3 称 . 3 办单位 . 3 目法人代表 . 3 办单位概况 . 3 . 4 3项目背景 . 4 4项目概述 . 5 第二章 项目的整体框架和实施计划 . 8 1系统设计思路 . 8 2系统设计原则 . 9 3总体设计 . 9 4. 项目主要研究内容 . 13 . 16 . 17 . 18 实环境模拟技术 . 18 火墙 流量控制测试技术 . 18 火墙包转发性能测试技术 . 18 火墙安全测试技术 . 18 全测试完善技术 . 19 . 19 能分析硬件环境 . 19 件环境 . 19 第三章 综合评价及结论 . 20 3 金庐 可行性研究报告 第一章 总 论 称 金庐 办单位 南昌金庐软件园软件评测培训有限公司 目法人代表 姓名：王利春 南昌金庐软件园软件评测培训有限公司 董事长 办单位概况 公司拥有一支训练有素、经验丰富的测 试工程师队伍，配备种类齐全的硬件设备，搭建了国际水平的软件测试平台，能够对客户 /服务器结构的软件，基于 用软件，嵌入式软件以及其它应用软件，按照国标、 相关标准，进行常规确认测试、验收测试、鉴定测试、性能测试及高级确认测试等。同时，我们还积极与国内外权威测试机构加强合作和交流，不断提高自身的管理水平和技术水平，跟踪国际尖端技术，逐步拓展服务领域。公司秉承 4 金庐软件园服务至上的理念，提倡“社会效益第一，经济效益第二”，为客户提供优质服务。并保证以公正的行为、科学的手段，准确 的结果服务于企业，为优秀的软件产品进入市场、参与国际竞争，贡献我们的力量。 近年来，防火墙产品在许多信息技术应用领域得到了广泛的应用，防火墙技术也得到了较大的发展，怎样正确评价防火墙系统质量，一直是信息化领域非常关心的问题，同样在国内外仍然是一个新的领域。 到目前为止，尚未发现市场上销售国外的将防火墙系统的性能测试与安全性测试集成在一起的系统 (产品 )，安全性测试的国内产品空缺，而仅有性能测试的产品有售，但大多价格不菲而且技术保密，无自主知识产权。本防火墙系统性能与安全测试性测试系统就 是基于这样的一个目的研制并开发实现的。 3项目背景 根据欧洲安全机构统计，现在有 90以上的病毒是通过 件和 页浏览进行传播的。病毒通过常用的网络端口（ 80、 110）可以轻易进入到公司的内部网络，如果接收人没有在客户端安装杀毒软件或杀毒软件没有及时得到升级，病毒就会马上感染主机，并在网络内进行疯狂的传播和破坏，这种情况在近年来己经愈演愈烈了。每当新的网络病毒爆发，企业的网管人员就会疲于奔命。面对这样的网 5 络应用状况，用户非常希望拥有一种可以将病毒拒之于网外的安全网关类产品。而对于这些网关类产 品是否真的能切实保障安全，则需要有专门的对安全产品进行辅助评测和验证的软件。 防火墙技术作为网络安全中的一项重要技术受到广泛重视。目前，国际上较多应用的测试标准和规范主要是 美国 、欧洲、加拿大 的安全评测标准 和 国际通用准则 (我国自 1978 年加入国际标准化组织（ ，尤其是 1989 年实施 “ 标准化法 ”以来，以 国家信息安全测评认证中心 为首的单位 参与制订 了多项有关 信息安全标准化 的国家标准。 在测试手段上，防火墙产品的功能测试项目是针对送检产品的功能而言的，不同供应商提供的产品 (系统 )功能各异。测试人员必须对送 检产品功能详细说明书中所声称的各项功能进行详细的测试和验证。然而，用手工进行防火墙系统的性能及安全性进行检测是不现实的也是不可靠的，为了在测试中获得真实性和一致性，必须借助于防火墙系统的自动检测工具。国内的大多数测评机构对防火墙系统的安全性测试是借助 一些开放软件来进行的。这种开放软件的特点是功能强大，测试也比较全面，不足之处是对有关产品的使用各自为政，难以形成统一的测试规范。产学研合作，与学院共同研发，我公司拥有知识产权的金庐 B/T 18019息技术包过滤防火墙安全技术要求、 18020息技术应用级防火墙安全技术要求而设计开发的，对于国家安全具有极其重大的意义。 4项目概述 近年来，防火墙产品在许多信息技术应用领域得到了广泛的应用，防火墙技术也得到了较大的发展，怎样正确评价防火墙系统质量， 6 一直是信息化领域非常关心的问题，同样在国内外仍然是一个新的领域。 “基于性能与安全性测试的防火墙质量评价系统”是主要针对防火墙产品的质量评价软件，主要包括了防火墙性能测试子系统、防火墙安全测试子系统以及自动化报告分析系统等 。在性能测试方面能够根据具体待测防火墙，模拟配置相应测试环境，并且可以把一个客户机模拟成多个客户机，达到模拟真实环境的效果。同时，还可以动态设置网络中服务的分配比例和网络流量分配比例。并且获取多种不同网络环境下得到的性能参数，并进一步进行对比分析得出防火墙的性能报告。 真实环境模拟技术。 以真实的业务为依据，选择有代表性的、关键的业务操作设计测试案例，以评价防火墙系统的当前性能；通过自动负载测试，在一台或几台 上模拟成百或上千的虚拟用户同时执行业务，重复执行和运行测试，可以确认防火墙性能瓶颈并优化和调整 应用，确保启动各项功能的同时防火墙能够达到高性能。 性能测试依据。 通过对网络中的 址、用户、服务、时间、协议等进行流量统计，并可以与管理器界面实现挂接，实时或者以统计报表的形式输出结果，从而分析网络中的运行情况，形成防火墙流量控制性能。另外，性能测试是参照 议，从包转发性能和开发连接数对防火墙的性能进行评测，其中防火墙包转发性能包括吞吐量、延迟、丢失包 7 和背对背包等。 动态加载安全测试软件功能，可以使测试系统在安全测试方面得到不断更新和完善，达到更为全面地对防火墙性能进行测试的目的。 防火墙测试 技术是一项全新的技术，尤其是在性能测试方面，我国尚无成熟产品出现。该防火墙性能测试系统能够在模拟真实环境下对防火墙进行 “ 每秒的处理连接速率 ” 、 “ 最大并发连接总数 ” 、“ 有无防火墙的性能下降百分比 ” 以及 “ 启用和禁用 能后的性能下降百分比 ” 等几种重要的性能参数的测试。 “基于性能与安全性测试的防火墙质量评价系统”所采用的核心技术 “防火墙性能与安全性测试系统”，由国家权威评测机构中国国家信息安全产品测评认证中心华中测评中心测试通过。该系统在防火墙的测试方面，具有实用、先进、稳定等特点，填补了我国防火墙产 品多项质量特性一站式评价的空白，创新我省乃至我国防火墙产品一站式自动测试与评价技术，同时提高了工作效率和工作质量。 科技成果鉴定表明，该系统实现了基于模拟真实环境的防火墙产品的性能和安全性测试与评价，达到了国内领先水平。 8 第二章 项目的整体框架和实施计划 1系统设计思路 随着我国对科技工作的重视，软件产业的发展越来越迅速。 当前我国经济迅速发展，对计算机软件提出了大量要求，从国防、航空航天到财务金融、从工程设计、交通通讯到农业和普通的民用产品都需要开发高质量的软件。特別是一些大型 项 目，以及涉及到 国家安全、公众利益的所谓关键软件，必须保证高可靠性和安全保密性。这些软件的开发必须得到质量管理和质量保证措施的支持。 由于雅虎，微软， 大型网站接二连三遭到黑客入侵，加上各大媒体的宣传，防火墙愈发受到用户认识和青睐，防火墙生产厂商正在大幅度增加市场销售额。而且防火墙在一段时期之内仍会出现销量猛增的局面，其增长的动力主要来源于中小型企业以及家用电脑用户。今后几年这一增长趋势还将继续， 以往防火墙主要针对网上交易频繁且易受黑客攻击的大型企业和保密性强的机构，许多安全 产品厂商只是重视大型网络安全，对个人安全市场比较忽视。但随着黑客攻击事件的不断增加（现在世界上平均每 20 秒就有一起黑客事件发生）和人们对黑客攻击严重性的意识与日俱增，这种情况近期被打破，防火墙厂商开始研发低价位产品。所谓未雨绸缪，许多小型企业和个人用户也开始购买防火墙。 防火墙技术作为网络安全中的一项重要技术受到广泛重视。但是到目前为止，尚未发现市场上销售国外的将防火墙系统的性能测试与 9 安全性测试集成在一起的系统 (产品 )，安全性测试的国内产品空缺，而仅有性能测试的产品有售，但大多价格不菲而且技术保密，无自主知 识产权。本防火墙系统性能与安全测试性测试系统就是基于这样的一个目的研制并开发实现的。 2系统设计原则 操作方便原则； 先进性原则； 响应快速原则； 可扩充性原则； 功能封装原则； 3总体设计 防火墙是目前网络安全领域广泛使用的设备，其主要目的就是保证对合法流量的保护和对非法流量的抵御。为了适应网络攻击技术的变化和防火墙技术的迅猛发展态势，在网络带宽不断提速升级的趋势下，处于网络末端的防火墙的性能对最终用户所能得到的实际带宽具有决定性的影响。因此，防火墙的性能测试要求在模拟真 实环境测试，以便在测试时考察其在真实环境中的表现，这样测试出来的数据才有实际意义。研究并开发的“基于性能与安全性测试的防火墙质量评价系统”是基于市场用户的应用需求，并结合具体的分组过滤防火墙及应用代理防火墙的产品特点，能达到公正、全面地评价此类安全产品 10 的目的。 系统的实现主要分三个子系统进行，即性能测试子系统、安全测试子系统和自动化报告分析系统。分别用来对防火墙系统的性能和安全性作测试及自动化报告文件和个性化模版。 防火墙性能测试系统采用客户 /服务器的应用模式。我们将系统的组织结构从功能角度分为三个组成部分 ，管理器（ 客户应用程序（ 及通信线程应用程序（ 管理器用来生成任务表、发送任务表、接收测试数据、分析测试数据和显示、打印报告；客户应用程序的主要功能是接收任务表、填写协议参数、记录测试数据、发送测试数据和显示测试进度；通信线程程序的主要功能是完成创建测试线程、连接登录服务器、发送测试数据、数据格式和接收测试数据。系统结构及功能如下表所示： 组件 功能 安装位置 管理器（ 生成任务表、发送任务表、接收测试数据、分析测试数据和显示打印报告 模拟测试 环境中内网(一台服务器上。（参考图 备环境，下同） 客户应用程序（ 接收任务表、填写协议参数、记录测试数据、发送测试数据和显示测试进度 模拟测试环境中内网(非军事区(外网 (的客户机上。 通信线程程序（ 创建测试线程、连接登录服务器、发送测试数据、数据格式转换和接收测试数据 与客户应用程序安装位置相同，并被其调用。 管理器的功能复杂，在完成各种参数设置，对防火墙系统进行性 11 能测试，对相应的测试结果进行统计分 析并且生成性能测试报告输出，主要功能模块可用图 1 表示： 图 1：管理器系统性能测试功能 本评价系统的安全测试子系统大体上分为是对防火墙系统进行安全扫描和对其进行安全攻击，安全扫描和安全攻击同时又包括了当前主要的几种针对网络安全测试的多种工具，从而达到对测试对象的安全性的测试，其主要功能模块可用图 2 表示： 图 2：管理器系统安全性测试功能 12 同时本评测系统为了达到对防火墙安全性更全面的测试与评价，以适应当前的高速防火墙安全测试技术和网络安全测试技术，提供能够加载各种更新的测试软件的功能，使本系统的安全测 试功能不断增强。 系统性能测试流程： 根据具体的测试环境对服务器进行设置； 服务器根据具体设计生产任务表； 服务器发送任务表到客户端； 客户端程序根据任务表进行相应服务器访问 客户端把接访问结果生产文件发送至服务器 服务器发送测试或结束测试命令； 服务器对接收到的数据统计并分析生成测试报表； 以单一或汇总方式显示测试报表 13 4. 项目主要研究内容 项目研究内容及涉及的关键技术及技术指标描述 防火墙系统性能与安全性测试系统主要包括以下子系统 ： (1)防火墙性能测试子系统 (2)防火墙安全性能测试子系统。 防火墙性能测试子系统的测试平台控制流程图如图 5 所示： 发送 设置客户机 任务表 生成 客户机群 测试数据 测试状态码 发送 显示、打印测试报告 检测测 试状态 测试命令码 客户机测试数据文件 打包 接收 分析 测试结果报告数据文件 任务表 文件 14 图 5：防火墙性能测试子系统的测试平台控制流程图 安全测试子系统的测试平台控制流程图如图 6 所示： 图 6：安全测试子系统的测试平台控制流程图 （ 1）防火墙性能测试子系统 防火墙性能测试子系统能够根据具体待测防火墙，模拟配置相应测试环境，并且可以把一个客户机模拟成多个客户机，达到模拟真实环境的效果。同时，还可以动态设置网络中服务的分配 比例和网络流量分配比例。并且获取多种不同网络环境下得到的性能参数，并进一步进行对比分析得出防火墙的性能报告。 （ 2）防火墙安全性测试子系统 防火墙安全性测试子系统集成了几种主要安全测试工具，能针对 15 有防火墙保护的网络进行安全测试，从而测试防火墙的部分安全性。动态加载安全测试软件功能，可以使测试系统在安全测试方面得到不断更新和完善，达到更为全面地对防火墙安全性进行测试的目的。 （ 1）计算机网络 利用计算机局域网和广域网络，进行命令和数据的实时传输，以标准通用的 P 网络传输协议 为主，确保信息传输的可靠正确。 （ 2） C/S 模式 随着计算机网络的应用和分布协议同工作的需求，以数据为中心的应用系统采用客户 /服务体系结构，即 C/S 模式。客户 /服务器结构包括连接在一个网络中的多台计算机。那些处理应用程序，请求另一计算机服务的计算机称为客户机 (而处理数据的计算机称为服务器 (所有用户都拥有他们自己的计算机来处理应用程序。 （ 3）网络通信编程技术 系统采用微软公司的 + 开发。由于它采用了更好的粒度和更少的代码负载，其基本类库 (行 很快，应用程序本身也可以随 自动升级。要达到设计目的，必须用通信程序来模拟合适的计算机网络环境。而要实现客户机 /服务器方式的计算机通信，对于 用 程是一种比较普遍的选择。笔者选用了 行套接字水平的编程。 过“套接字”使不同的应用程序可跨网通信。微软基本类 ( 复杂性封装到类里，这使得编写应用程序更容易。 （ 4）多线程、多进程通信仿真模拟技术。 创建测试线程、连接登录服 务器、发送测试数据、数据格式转换和接收测试数据。 （ 5）网络安全测试技术 当前已经存在的各种针对网络安全的安全扫描工具和网络安全攻击工具。 16 性能测试主要是分测试服务器和测试客户端。 测试服务器的技术主要有测试环境设置和测试客户端的任务（网络服务）分配和协调运行和总体测试报告的生成；建立合理的环境设置结构和任务分配模式和运行统一控制技术和测试报告结构的合理生成；防火墙性能测试平台如图 7 所示。 图 7：防火墙性能测试平台 测试客户端的主要有任务的执行和性能信息的收集； 安全测试 子系统，由于安全测试和攻击的多样和复杂性，系统主要集成常见和基本的安全扫描测试和攻击测试方法，同时提供外部测试攻击的接口对于外部程序进行挂接。防火墙安全性测试平台如图 8所示。 图 8：防火墙安全性测试平台 17 设计思想依据 金庐 对防火墙系统的性能和安全性进行比较全面的测试，同时由于防火墙测试技术以及网络安全技术是在不断发展的，为了使系统在测试的准确和全面等方面能得到随时更新，特别表现在防 火墙的安全测试方面。 主要参考文献如下： 1、防火墙安全测试系统的研究与实现 汤文亮 丁振凡 等 华东交通大学学报 2002， 19（ 3） 68 文中介绍了防火墙安全测试的内容以及防火墙安全测试系统的设计与实现，并对系统中采用的安全测试方法如信息收集、系统破解、拒绝服务攻击、特洛伊木马、 洞攻击等进行了原理分析，阐述了使用 +具体实现该系统的若干关键技术。 2、应用级防火墙测试规范的研究 汤文亮 李正凡 华东交通大学学报 . 2001， 18（ 4） 68 文中介绍应用级防火墙产品的产生是源于信息网络安全的需求，而测试为产品的评估和认可提供了最可信的依据，因此，有必要对这类产品的测试作较为深入的研究。本论文描述了测试应用级防火墙所依据的测试准则以及测试中常用的工具，并对应用级防火墙测试体系作了较为详细的论述。 3、基于模拟真实环境的防火墙性能测试系统的实现 汤文亮 袁可风 丁振凡 华东交通大学学报 . 2005， 02火墙产品的性能测试对于用户选购和正确配置防火墙有重要的指导意义。本文介绍的防火墙性能测试系统是一种基于模拟真实环境测试防火 墙产品性能的测试工具，文章对该测试系统的具体实现作了较详细的论述。 关键技术实现的依据 18 计算机网络技术、客户 /服务体系技术、网络通讯编程技术、网络安全测试技术等技术标准。 以下各项主要技术用于防火墙性能与安全测试系统的关键部位，解决了防火墙性能和安全性测试中的关键问题。其中关键技术包括： 实环境模拟技术 以真实的业务为依据，选择有代表性的、关键的业务操作设计测试案例，以评价防火墙系统的当前性能；通过自动负载测试，在一台或几台 上模拟成百或上千的虚拟用户同时执行业务，重复执行和运行测 试，可以确认防火墙性能瓶颈并优化和调整应用，确保启动各项功能的同时防火墙能够达到高性能。 火墙流量控制测试技术 通过对网络中的 址、用户、服务、时间、协议等进行流量统计，并可以与管理器界面实现挂接，实时或者以统计报表的形式输出结果，从而分析网络中的运行情况，形成防火墙流量控制性能。 火墙包转发性能测试技术 性能测试是参照 议，从包转发性能和开发连接数对防火墙的性能进行评测，其中防火墙包转发性能包括吞吐量、延迟、丢失包和背对背包等。包转发性能是假定提供给防火墙的数据和防火墙转发的 数据之间为一对一的通信，并不包括防火墙提供多播服务的情况。 火墙安全测试技术 防火墙安全测试主要表现在运行的稳定和安全漏洞方面。通过在 19 测试平台的内网或外网上安装现有的扫描工具和攻击工具，利用所有可能的方式对被测产品进行扫描和攻击测试，其中各种安全扫描和攻击测试工具的编制主要利用当前 程技术和网络安全技术，根据扫描和攻击结果评测防火墙系统的安全性，从而达到对防火墙的安全性测试。 全测试完善技术 由于防火墙安全测试方法的局限性，需要及时把当前最优秀的安全测试软件集成到本防火墙测 试系统中。 能分析硬件环境 服务器推荐配置： 强 1G 以上，内存 512M 以上 30G 硬盘；推荐专用服务器。 客户端推荐配置： 上，内存 128M 以上。 件环境 服务器：操