產品介紹
隨著企業規模增長，由交換器與路由器所建構的網路規模也水漲船高，為了抵禦來自網際網路的攻擊或入侵，企業也紛紛增加了網路分析設備的投資，如 IPS/IDS/DLP/APT 等。使得如何提高網路分析設備的整體效率，以提高資安設備投資報酬率，成為各家企業思考的問題。
網路分析設備需要適當的可見度，以存取所需的網路流量並進行檢查，不同設備都有各自需要的封包，若能精準傳遞封包便可大幅節省資源。基於網路複雜性，封包預處理也是提升網路設備可視化重要的機制，如：標記/取消標記 (Tagging/Un-tagging)、隧道刪除 (Tunnel removal) 或有效負載切片 (Payload slicing)等。
智慧型全功能網路可視化平台 (GRISM) 是一款由嵌入式網路作業系統 (xUDN) 驅動的網路設備。無論是頻內串聯(In-line)還是頻外 (Out-Of-Band)，GRISM利用獨家的分析輔助監控面板，即時將流量精準導入對應的網路分析設備。並且透過導入威脅情報、IP/ 域名 /URL 的黑名單，有效監控惡意連線、保護網路邊界，將可疑連線流量發送至日誌收集器或企業既有 SIEM。
特色及優勢
網路流量和應用程式日誌 (Netflow and Application Log)：
一些分析裝置為了分析的效率，使用 Netflow 而非原始封包進行分析，路由器或交換器可以生成採樣 (N：1) Netflow，但性能下降仍然是不可避免的。而更好的選擇，是讓 GRISM 通過分析來自路由器或交換器的鏡像流量，進而生成非採樣 (1：1) Netflow v5/v9/v10，而埠鏡像 (Port-Mirror) 是一項簡單的任務。此外，GRISM 可以同時以系統日誌格式 (Syslog) 生成 DNS、HTTP 和 SSL 的元數據 (Metadata)。
智慧旁路與服務鏈 (Intelligent Bypass and Service Chain)：
GRISM 支援智慧旁路 (Intelligent Bypass) 功能，在部署 IPS/NGFW/WAF 等頻內串聯 (In-line) 分析設備時保護生產網路。它通過檢測信號 (Heartbeats) 檢查頻內串聯 (In-line) 設備的狀態， 並立即繞過出現問題的設備。GRISM 可以通過一些硬體旁路 (Hardware-Bypass) 段進行保護，以保證即使 GRISM發生故障，網路功能也能正常工作。此外，GRISM 還可以對在線 (Online) 分析設備進行基於應用 (Application-based) 的旁路 (Bypass)。例如，企業部署受 GRISM 保護的入侵防禦 (IPS)，可以進一步防止多媒體流量進入 IPS。
同時，GRISM 還可用於構建服務鏈 (Service Chain)。使用者可以為每台頻內串聯 (In-line) 設備設置保護規則，符合或不符合規則的封包都可以進入該設備，而保護規則可以是 VLAN、 IP、TCP/UDP 埠等。
安全分析功能負荷降載(Deduplication)：
排除重複封包或低風險連線再精準遞送至多種且多台網路安全設備。
傳送精確度 (Delivery Accuracy)：
GRISM 聚合多種輸入，不僅支援 L2~L4 過濾，而且在 L4 以上，還支援基於應用程式感知 (Application-aware pattern-based filtering) 模式的過濾技術，準確地傳送封包。通過 HTTP 網址 (URL) 過濾 HTTP 連接封包，通過會話啟動協定 (SIP) 統一資源識別符號 (URI) 過濾 SIP 訊息，通過域名過濾 DNS 等。此外，GRISM 的公平分配 (Fair-Distribution) 機制與大多數網路設備中實現的基於 ACL 的分配機制不同。GRISM 通過適當地複製屬於多台分析設備的需求交集的封包，同時滿足每台分析設備。
可擴充的聚合和 HA 策略 (Scalable Aggregation and HA Strategies)：
當我們所需的 1/10/40/100G 乙太網路介面數量超過單台 GRISM 的可提供數量時，可以透過 10/40G 傳輸線連接至基於 SDN 的匯聚交換器，以便控制該交換器的介面 (建議使用 GRISMAH8T48：8 埠 100/40G 和 48 埠 10/1G)，這就是 PacketX 無縫擴充介面 (Seamless Extended Interfaces )。 幾台 GRISM 機器可以作為控制器群組，可以擴大處理能力並管理由多台匯聚交換器組成的 無縫聚合架構 (Seamless Aggregation Fabric)。其中一個應用是進行可擴充的負載平衡： GRISM 機器從匯聚交換器收集流量並進行虛擬區域網標記，每個目的地使用一個標記，具有 相同 5 元組 (5-Tuple) 的封包具有相同的標記。這些帶有標記的封包會返回到匯聚交換器，進一步分發給許多分析設備。 為了進行 Out-Of-Band 的備援 (HA) 和備份，我們使用網路監聽器 (TAP) 來將入口流量複製到兩台 GRISM 機器 上。對於 In-line 的備援 (HA) 情況，兩台 GRISM 機器可以串聯連接，並且受到一些旁路段的保護。這是一種主動/待機 (Active/Standby) 模式，兩台 GRISM 機器連 接到同一個分析設備。如果主動 (Active) 機器失效，備用機器會接管工作。在 In-line 情況下使用備援鏈路 (LAG/LACP) 時，我們建議使用兩個進階旁路段，建議使用 (GRISM-T12s-BP2) 或基於 SDN 的匯聚交換器 (GRISM-AH8T48) 與兩台 GRISM 機器一起構建 PacketX 頻內串聯網狀網路 (In-line Mesh)。
過濾後的流量分配 (Traffic Distribution after Filtering)：
過濾後的流量可以通過基於會話 (Session-Based) 的平衡策略分配給一組出口埠 (Egressports)，以保證「相同的會話到相同的目的地」。當一個出口埠斷開連接時，GRISM 會將流量轉移 (Failovers) 到備用埠或重新分配到組中的其他埠。
周邊防禦 (Perimeter Defense)：
GRISM 可以通過導入大量的入侵威脅指標 (IoCs) 來阻止或檢測惡意連接：IP 位址/域名/URL，GRISM 提供導入 IoCs 的 APIs、安全檔案傳輸協定 (SFTP) 或 HTTPS 腳本；PacketX 還提供了 IoC 導入代理 (Importing-Agent)，可以從入侵日誌中提取威脅來源 IP，並自動導入到 GRISM 中的 IoC 清單中。在過去，封鎖 IP 地址/域名是由防火墻或入侵防禦系統完成的。 現在，特別是當有大量 IoC 時，應該將此任務轉移到 GRISM，這是得到更高投資回報率的方法，防火牆與入侵防禦系統可以專注於偵測更複雜的威脅。GRISM 也會生成運用於阻斷或檢測的系統日誌 (Syslog)，這些系統日誌可交付至 SIEM，或是 PacketX Security Cloud 進行報告。
隧道處理和封包重構 (Tunnel handling and Packet Reengineering)：
如果在輸入流量中混合了普通乙太網路封包和隧道封包，這些過濾功能可以自動應用於隧道有效負載 (Tunnel Payload)。由於大多數分析設備只能有效處理普通封包，GRISM 能夠進行標籤刪除 (Tag -Removal) 或重新封裝 (Re-capsulation)，將隧道封包轉換為普通封包。同時， GRISM 也支援封包切片 (Packet-Slicing)，例如在將 TCP/UDP 封包傳送到分析設備之前切割 L4 有效負載 (L4 Payload)。
Packet Slicing：從封包中移除特定的部分。
