Нагрузочное тестирование и анализ средств защиты
Назначение
Оцените устойчивость сетевого оборудования и веб-приложений к различным уровням нагрузки
Выявите возможные ошибки в работе СЗИ, определите их производительность и уровень защиты
Проверьте логику и корректность работы сетевого оборудования или приложений, а также их компонентов
Узнайте о проблемах в сетевой инфраструктуре, оцените возможности ее масштабирования и предел производительности
Протестируйте сетевое оборудование и СЗИ, чтобы оценить производительность и сравнить фактические показатели с заявленными характеристиками
Проведите контролируемую атаку и оцените, как инфраструктура, средства очистки трафика и анти‑DDoS‑решения работают под нагрузкой
Возможности тестирования
- Симулируем DDoS‑атаки уровня L3–5 и L6–7, включая фрагментированный трафик
- Тестируем анти‑DDoS‑решения и средства очистки трафика
- Проверяем влияние механизмов защиты на легитимный трафик
- Определяем критические сценарии, а также целевые уровни нагрузки веб‑серверов и приложений
- Тренируем команды реагирования
- Исследуем, как СЗИ справляются с различными атаками и нагрузкой
- Проверяем соответствие заявленному уровню безопасности
- Оцениваем производительность
- Выявляем возможные проблемы в конфигурациях
- Проводим функциональное, нагрузочное и регрессионное тестирование
- Симулируем сетевые ошибки
- Оцениваем производительность
- Проверяем соответствие оборудования заявленным характеристикам
- Проводим функциональное и нагрузочное тестирование
- Проверяем работу механизмов защиты
- Оцениваем производительность и время отклика приложения во время нагрузки
- Проводим стресс‑тест сайтов и веб‑приложений
- Предлагаем методы оптимизации приложения
Проверьте инфраструктуру в условиях DDoS‑атаки
Мы используем собственный управляемый стенд с публичными IP‑адресами для симуляции контролируемых атак. Это позволяет увидеть реакцию инфраструктуры на атакующий и легитимный трафик, а также проверить надежность СЗИ
Этапы работы
-
Разрабатываем методику тестирования
-
Создаем стенд для проведения испытаний
-
Проводим тестирование
-
Интерпретируем результаты в отчете
Особенности лаборатории
RHCSA, CCDA/CCDE, CCNA Security, ССNP, IXIA (CSP)
Генераторы и анализаторы трафика, пакетные брокеры, WAN-эмуляторы
NGFW, WAF, anti-DDoS, DPI, DLP, решения NFV, балансировщики нагрузки и пр.
Узнайте подробнее об услугах лаборатории нагрузочного тестирования
Вам также может подойти
Документация
| Условия приобретения | Скачать |
Нагрузочное тестирование СЗИ и сетевого оборудования — это комплексная проверка устойчивости, производительности и корректности работы устройства под воздействием экстремальных или близких к ним объемов трафика. Так проводится тестирование NGFW, тестирование WAF, систем предотвращения вторжений и решений DPI.
Оно включает в себя следующие ключевые этапы и виды тестов:
Эмуляция чистого сетевого трафика (L2–L3). Генерация потоков данных (stateless) с разным профилем распределения размеров пакетов (например, IMIX — Internet Mix) для определения максимальной пропускной способности (throughput) в битах и пакетах в секунду (PPS).
Эмуляция прикладного трафика (L4–L7). Создание реалистичного трафика популярных протоколов (HTTP/HTTPS, SMTP, FTP, базы данных, стриминг, голос). Это критично для NGFW, так как пакеты разбираются до уровня приложений.
Стресс‑тестирование сессий. Определение максимального количества одновременных сессий (concurrent connections) и максимальной скорости установки новых соединений в секунду (connections per second, CPS / transactions per second, TPS).
Инспекция шифрованного трафика (SSL/TLS baseline). Тестирование производительности СЗИ при включенной функции SSL inspection (дешифрация, проверка, обратное шифрование), что является самой трудной задачей для современных NGFW.
Эмуляция угроз и вредоносного трафика (security baseline). Смешивание легитимного трафика с атаками (DDoS, эксплоиты, ВПО, фаззинг) для проверки того, снижается ли эффективность защиты под высокой нагрузкой и не перестает ли устройство работать.
Измерение задержек (latency). Оценка задержки внесения пакетов (микросекунды/миллисекунды) и джиттера при разной степени утилизации ссылок.
Для проведения тестов операторского и корпоративного класса используется специализированное аппаратное и программное обеспечение — генераторы трафика и анализаторы трафика операторского класса:
Аппаратные шасси и модули Keysight (Ixia). Программируемые FPGA‑матрицы, которые способны генерировать терабиты трафика без задержек со стороны самого генератора (в отличие от программных генераторов, которые упираются в производительность ОС).
ПО IxNetwork. Используется преимущественно для тестирования сетевого оборудования (коммутаторы, маршрутизаторы) и базовых функций СЗИ. Фокусируется на L2–L3 протоколах, маршрутизации (BGP, OSPF), MPLS и масштабируемости таблиц коммутации.
ПО BreakingPoint. Специализированное решение для тестирования СЗИ (NGFW, IPS, WAF). Оно умеет генерировать вредоносный трафик: воспроизводить актуальные кибератаки, эксплоиты, симулировать работу миллионов легитимных пользователей с уникальными TLS‑сессиями.
Оптические или медные трансиверы и коммутационная фабрика. Набор интерфейсов от 1GE до 100GE (SFP+, QSFP28) для физического подключения тестируемых устройств.
Data sheet вендоров часто содержат лабораторные цифры, полученные в идеальных условиях (например, на UDP‑пакетах по 1518 байт без включенных функций безопасности). Чтобы проверить реальное соответствие, нужно провести тестирование NGFW в лаборатории по методике RFC 2544 (для L2–L3), RFC 3511 (для межсетевых экранов) или современному стандарту NetSecOPEN. Такая методика нагрузочного тестирования фиксируется до начала работ и согласуется с вами.
Алгоритм проверки
Приведение к единому профилю трафика. Собрать конфигурацию тестов, максимально близкую к той, что вендор указал в сносках data sheet (размер пакета, тип транзакции, версия TLS, набор шифров).
Пошаговое включение функций безопасности:
Тест 1: чистый firewall (L4).
Тест 2: firewall + application control (L7).
Тест 3: firewall + application control + IPS (система предотвращения вторжений).
Тест 4: firewall + IPS + Antivirus + SSL inspection.
Сравнение графиков. Если data sheet заявляет 10 Гбит/с с IPS, профиль атак включается на BreakingPoint, подается 10 Гбит/с трафика и рассматриваются следующие показатели:
Наличие дропов (drop rate) легитимного трафика.
Процент пропущенных атак (false negative).
Загрузка CPU и памяти NGFW (через SNMP/CLI устройства). Если CPU равен 99%, а задержки выросли до неприемлемых — устройство тест не прошло.
Нагрузочное тестирование проверяет предел прочности системы при легитимных действиях пользователей.
Пентест (тестирование на проникновение) ищет в коде и архитектуре уязвимости, которые позволяют украсть данные или получить контроль над системой.
Имитация DDoS‑атак проверяет устойчивость вашей IT‑инфраструктуры и сервисов защиты к деструктивному, вредоносному трафику на разных уровнях (от сетевого до уровня приложений), оценивая скорость реакции вашей команды и подрядчиков.
Для получения достоверных результатов мы рекомендуем тестировать именно продуктивную (боевую) среду. Защита и архитектура тестовых контуров часто отличаются от реальных, поэтому проверка копии не покажет истинную картину. Чтобы минимизировать риски для пользователей, работы проводятся в периоды наименьшей бизнес‑активности (например, ночью или в выходные дни). По согласованию сторон возможно тестирование и отдельных изолированных сегментов.
Безопасность ваших сервисов — наш приоритет. Все работы по нагрузочному тестированию проводятся по строго согласованному регламенту и контролируются инженерами с обеих сторон в режиме реального времени. Нагрузка подается волнообразно, начиная с минимальных значений. При первых признаках критического снижения производительности или по вашей команде тестирование мгновенно останавливается, что исключает аварийный простой бизнеса.
Да, это обязательное условие. Мы проводим нагрузочное тестирование и имитацию DDoS‑атак в двух форматах:
Проверка систем. Провайдер предупрежден, оценивается корректность настроек фильтрации.
Проверка команды. Провайдер не знает точного времени атаки, оценивается скорость его реакции.
Однако на юридическом уровне руководство и технические службы провайдера должны дать официальное согласие на обработку подобного трафика, чтобы наши действия не были расценены как реальная кибератака.
Весь проект по нагрузочному тестированию длится в среднем от 5 до 14 рабочих дней. Этот срок включает в себя заполнение опросного листа, техническое согласование сценариев, непосредственную имитацию атак (обычно занимает несколько часов в рамках выделенного технологического окна), а также глубокий анализ результатов и подготовку детального отчета.
Вы получаете официальный технический отчет по нагрузочному тестированию, в котором фиксируются хронология всех поданных векторов атак, графики доступности сервисов и точки отказа инфраструктуры. Ваша команда кибербезопасности сможет проанализировать эту информацию, чтобы модернизировать средства и методы защиты.
Стоимость проекта начинается от 300 000 рублей. Итоговый бюджет рассчитывается индивидуально на основе заполненного опросного листа. Финальная стоимость зависит от количества тестируемых сервисов (IP‑адресов, доменов, API), согласованного набора и типов атак (L4/L7), а также необходимой мощности генерируемого трафика.