评估资安设备需多方考量，不能只看厂商资料表

想要采买资安设备，解读厂商所提供的资料表（Datasheet），是初步了解相关资讯的管道。然而，若是IT人员只凭借资料表上的内容，就提出采购设备的需求规格，认为解决方案符合公司的需要，很有可能在完成采购之后，才发现因为自己没有留意到产品其他的细部规格，而买到了与预期落差极大，甚至是不适用的设备。

究竟应该如何理解资料表上的讯息，让企业能够采买到合适的资安解决方案？这是IT人员长久以来面临的难题。今年的台湾资安大会里，在资安业界工作多年的Pulse Secure大中华区技术经理林佶骏（Husky）特地以此为题进行探讨。他说，IT人员往往根据资料表上所提供的内容进行解读，忽略许多可能需要留意的地方。

而这些细节，在资讯人员常会接触到的网络设备文件里，可能都有列出；IT人员接手资安工作后，一旦提出采购规格，资安设备的厂商便会争相表明，自家产品能够符合企业需求，普遍缺乏与运作有关的规格，若是资讯人员并未察这种现象，再加上没有向厂商进行确认，买到不合适设备的概率就会大幅增加。

设备的散热机制应纳入硬件规格的评估项目

资安设备的资料表里，究竟会透露那些资讯呢？林佶骏以次世代防火墙的规格为例，举出了常见的10种项目，大致可区分成4种类型，包含了硬件外在规格、负载能力、可提供的功能，以及应用情境等面向。

相较于软件型态的产品，硬件资安设备的外观，是IT人员能最为直觉判读的部分，但即使是这些规格很容易理解，林佶骏认为，还是有不少应该确认的细节。一般而言，硬件资安设备普遍会列出3项规格，像是：设备的机身尺寸、提供的网络界面类型与数量，还有厂商提供选用的扩充模组等等。

以机身尺寸为例，多数网管人员会想到的面向，通常是机房是否有足够的空间能够摆放设备，但是否具备足够的散热系统来搭配，却可能被遗漏，若不幸买到不适合的产品，有可能因此影响正常运作。林佶骏表示，有别于交换器等网络设备，硬件资安产品的资料表里，通常不会特别提到设备散热方法，而在寸土寸金的机柜空间之中，IT人员可能好不容易空出了位置，就认为可以将设备部署到机柜里，但要注意的细节，不只是尺寸合不合。

林佶骏举出过往销售防火墙的经验来说明，有客户建置产品完成之后，发现设备竟持续在高温下运作，使其无法发挥原有的效能，却找不出原因。林佶骏接获通知后，到了机房现场检视才发现，由于他们采买的这款防火墙为加强散热，特别规划了从机身上方排出热风的机制，但IT人员将防火墙与其他的网络设备，紧密部署在机柜里，没有保留所需的散热空间，使得防火墙无法有效排除多余的热气。

要避免这样的状况发生，林佶骏指出，基本上，网管人员可以从资料表里的产品照片，得知设备散热孔的位置，进而判断空气进出的流向，若是资料表上的产品图片难以识别，IT人员可以向厂商索取高分辨率的产品照片确认。

另一个容易解读而容易忽略详细功能的外观规格，则是资安设备内建的网络界面。林佶骏说，虽然许多厂商都提供RJ-45和光纤的转换机制，但还是有少数资安设备不支援；还有向下规格的相容性，像是10GbE的RJ-45埠，能否切换成GbE或是100Mb模式使用。

须向厂商确认的资安设备规格资讯

在资安设备的资料表里，有许多厂商不会特别提及的细节，资讯人员必须要求厂商进一步说明，厘清是否存在不适用于企业环境的情况，而林佶骏认为，这些部分必须由IT人员主动询问。资料来源：Pulse Secure，iThome整理，2019年6月

效能标示有玄机，应留意是否符合企业使用情境

许多IT人员挑选设备的难处，在于效能是否足够因应企业所需。虽然防火墙等设备标示其吞吐量，是产品规格的基本资讯之一，甚至有些厂商还会列出用来运算的芯片型号，然而，厂商如何测得吞吐量相关数据，也会影响企业是否值得参考。

最常见的差异，可能是厂商是否启用各式进阶防护机制，例如防毒、防入侵侦测、解析SSL流量等，导致量测的结果，会与单纯开启防火墙功能存在大幅度落差。不过，上述是容易从资料表发现差距的数据，林佶骏要提醒大家注意的是，厂商在测试时使用的封包档案大小，则会与企业应用的环境有显著关联，以游戏软件公司为例，由于进出的封包普遍较小，这时厂商使用小型封包测得的吞吐量，较具参考价值。

网管人员想要确认防火墙效能是否足敷使用，林信骏认为，应该最优先检视的数据，其实是IMIX（Internet Mix）吞吐量的资料，因为，这代表的意义，是防火墙同时启动多重防护机制下的效能，才能避免单看防火墙最大吞吐量数据，所带来的盲点。

还有处理芯片的运算效能分配方式，也是值得留意的地方。林信骏举出他曾听闻一台具有8个连接埠的防火墙案例，厂商宣称能因应10Gbps的吞吐量，却告知资讯人员测试时，流量必须经由第1埠进入，透过第8埠输出。探究其原因，在于这款设备配置了2个处理芯片，每个能因应5Gbps流量。其中，前4个网络埠共用1组处理芯片，后4埠则共用另1组，若是企业想要只使用前面4个连接埠，防火墙的吞吐量便无法负荷到10Gbps。

此外，厂商可能会标示最大连线数（Max Session），或者是最大同时上线人数（Max Concurrent User）等资讯。但林佶骏指出，其实网管人员更应该确认的细节，是设备面临超载时，会自动采取的措施，像是：有些防火墙同时上线人数超过承载量时，便会禁止新的使用者连线，部分设备则是采取放行并发出警示，而这些作法上的差异，会影响企业网络环境的运作。假如采取的方式与公司网络政策冲突，购买后也难以上线使用。

另外，与设备支援连线数量有关的部分，还有相关维护服务费用的计价模式。林信骏表示，许多厂商对于最大同时上线人数的定义，都有各自一套标准，网管人员若是没有弄清楚，企业很可能得为此支付超乎预期的费用。

参考使用案例，进而厘清产品运用的具体方法

资讯人员不只要了解资安设备的性能是否足够，能够因应的企业网络环境规模，厂商列出设备的功能，可用性同样也要进行确认。

因为，有些项目仍在测试阶段，还没有正式推出，甚至是未来才会上线的功能；也有部分项目，必须搭配指定资安设备的情况下，才能运作，如果资讯人员没有重新进行确认，很可能误以为这款设备已具某些企业必须仰赖的功能，造成不必要的困扰。

林佶骏谈到了许多资讯人员需要确认的规格细节，但要了解产品是否合乎企业的需求，他认为应该要参考现在的资安趋势，还有从厂商提供的使用案例（Use Case）进行了解。前者主要是避免买到过时的资安设备，而使用案例的部分，则是让资讯人员确认，已经部署的企业过往所面临的难处，而建置后能够得到的效益，以及要如何运用这款资安设备的方式等讯息。

在购买资安设备的技巧，其实也需要累积。林佶骏说，若是不小心买到不合适的设备，或许资讯人员得尝试调整招标规格的内容；要是成效不如预期，则应该找出原因；至于了解资安的趋势，则是能让资讯人员进行长远的规划，而非盲目听信厂商的说辞。有了这些经验的累积，再加上规格的判读技巧，资讯人员才能清楚企业真正的需求，并且理解产品所能达到的效果。

资安设备资料表内含的10种产品资讯

林佶骏指出，许多资安设备的资料表里，主要会列出的讯息，包含硬件层面的规格与负载能力，以及软件功能和其他系统整合能力等。再者，则是这项产品能防范现今何种威胁，企业的实际应用情境等，以协助资讯人员理解其用途。资料来源：Pulse Secure，iThome整理，2019年6月