Нагрузочное тестирование и анализ средств защиты
Назначение
Оцените устойчивость сетевого оборудования и веб-приложений к различным уровням нагрузки
Выявите возможные ошибки в работе СЗИ, определите их производительность и уровень защиты
Проверьте логику и корректность работы сетевого оборудования или приложений, а также их компонентов
Узнайте о проблемах в сетевой инфраструктуре, оцените возможности ее масштабирования и предел производительности
Протестируйте сетевое оборудование и СЗИ, чтобы оценить производительность и сравнить фактические показатели с заявленными характеристиками
Проведите контролируемую атаку и оцените, как инфраструктура, средства очистки трафика и анти‑DDoS‑решения работают под нагрузкой
Возможности тестирования
- Симулируем DDoS‑атаки уровня L3–5 и L6–7, включая фрагментированный трафик
- Тестируем анти‑DDoS‑решения и средства очистки трафика
- Проверяем влияние механизмов защиты на легитимный трафик
- Определяем критические сценарии, а также целевые уровни нагрузки веб‑серверов и приложений
- Тренируем команды реагирования
- Исследуем, как СЗИ справляются с различными атаками и нагрузкой
- Проверяем соответствие заявленному уровню безопасности
- Оцениваем производительность
- Выявляем возможные проблемы в конфигурациях
- Проводим функциональное, нагрузочное и регрессионное тестирование
- Симулируем сетевые ошибки
- Оцениваем производительность
- Проверяем соответствие оборудования заявленным характеристикам
- Проводим функциональное и нагрузочное тестирование
- Проверяем работу механизмов защиты
- Оцениваем производительность и время отклика приложения во время нагрузки
- Проводим стресс‑тест сайтов и веб‑приложений
- Предлагаем методы оптимизации приложения
Проверьте инфраструктуру в условиях DDoS‑атаки
Мы используем собственный управляемый стенд с публичными IP‑адресами для симуляции контролируемых атак. Это позволяет увидеть реакцию инфраструктуры на атакующий и легитимный трафик, а также проверить надежность СЗИ
Этапы работы
-
Разрабатываем методику тестирования
-
Создаем стенд для проведения испытаний
-
Проводим тестирование
-
Интерпретируем результаты в отчете
Особенности лаборатории
RHCSA, CCDA/CCDE, CCNA Security, ССNP, IXIA (CSP)
Генераторы и анализаторы трафика, пакетные брокеры, WAN-эмуляторы
NGFW, WAF, anti-DDoS, DPI, DLP, решения NFV, балансировщики нагрузки и пр.
Узнайте подробнее об услугах лаборатории нагрузочного тестирования
Вам также может подойти
Документация
| Условия приобретения | Скачать |
Нагрузочное тестирование проверяет предел прочности системы при легитимных действиях пользователей (например, наплыв покупателей в «черную пятницу»).
Пентест (тестирование на проникновение) ищет в коде и архитектуре уязвимости, которые позволяют украсть данные или получить контроль над системой.
Имитация DDoS‑атак проверяет устойчивость вашей IT‑инфраструктуры и сервисов защиты к деструктивному, вредоносному трафику на разных уровнях (от сетевого до уровня приложений), оценивая скорость реакции вашей команды и подрядчиков. На прикладном уровне это L7 — DDoS‑атаки.
Безопасность ваших сервисов — наш приоритет. Все работы по нагрузочному тестированию проводятся по строго согласованному регламенту и контролируются инженерами с обеих сторон в режиме реального времени. Нагрузка подается волнообразно, начиная с минимальных значений. При первых признаках критического снижения производительности или по вашей команде тестирование мгновенно останавливается, что исключает аварийный простой бизнеса.
Нагрузочное тестирование СЗИ и сетевого оборудования — это комплексная проверка устойчивости, производительности и корректности работы устройства под воздействием экстремальных или близких к ним объемов трафика. Так проводится тестирование NGFW, тестирование WAF, систем предотвращения вторжений и решений анти‑DDoS. Оно включает в себя следующие ключевые этапы и виды тестов:
Эмуляция чистого сетевого трафика (L2–L3). Генерация потоков данных (stateful и stateless) с разным профилем распределения размеров пакетов (например, IMIX — Internet Mix) для определения максимальной пропускной способности (throughput) в битах и пакетах в секунду (PPS).
Эмуляция прикладного трафика (L4–L7). Создание реалистичного трафика популярных протоколов (HTTP/HTTPS, SMTP, FTP, базы данных, стриминг, голос). Это критично для NGFW, так как пакеты разбираются до уровня приложений.
Стресс‑тестирование сессий. Определение максимального количества одновременных сессий (concurrent connections) и максимальной скорости установки новых соединений в секунду (connections per second, CPS / transactions per second, TPS).
Инспекция шифрованного трафика (SSL/TLS baseline). Тестирование производительности СЗИ при включенной функции SSL inspection (дешифрация, проверка, обратное шифрование), что является самой трудной задачей для современных NGFW.
Эмуляция угроз и вредоносного трафика (security baseline). Смешивание легитимного трафика с атаками (DDoS, эксплоиты, ВПО, фаззинг) для проверки того, снижается ли эффективность защиты под высокой нагрузкой и не перестает ли устройство работать.
Измерение задержек (latency). Оценка задержки внесения пакетов (микросекунды/миллисекунды) и джиттера при разной степени утилизации ссылок.
Для получения достоверных результатов мы рекомендуем тестировать именно продуктивную (боевую) среду. Защита и архитектура тестовых контуров часто отличаются от реальных, поэтому проверка копии не покажет истинную картину. Чтобы минимизировать риски для пользователей, работы проводятся в периоды наименьшей бизнес‑активности (например, ночью или в выходные дни). По согласованию сторон возможно тестирование и отдельных изолированных сегментов.
Весь проект по нагрузочному тестированию длится в среднем от 5 до 14 рабочих дней. Этот срок включает в себя заполнение опросного листа, техническое согласование сценариев, непосредственную имитацию атак (обычно занимает несколько часов в рамках выделенного технологического окна), а также глубокий анализ результатов и подготовку детального отчета.
Для проведения тестов операторского и корпоративного класса используется специализированное аппаратное и программное обеспечение — генераторы трафика и анализаторы трафика операторского класса:
Аппаратные шасси и модули Keysight (Ixia). Программируемые FPGA‑матрицы, которые способны генерировать терабиты трафика без задержек со стороны самого генератора (в отличие от программных генераторов, которые упираются в производительность ОС).
Keysight IxNetwork. Используется преимущественно для тестирования сетевого оборудования (коммутаторы, маршрутизаторы) и базовых функций СЗИ. Фокусируется на L2–L3 протоколах, маршрутизации (BGP, OSPF), MPLS и масштабируемости таблиц коммутации.
Keysight BreakingPoint. Специализированное решение для тестирования СЗИ (NGFW, IPS, WAF). Оно умеет генерировать вредоносный трафик: воспроизводить актуальные кибератаки, эксплоиты, симулировать работу миллионов легитимных пользователей с уникальными TLS‑сессиями.
Оптические или медные трансиверы и коммутационная фабрика. Набор интерфейсов от 1GE до 100GE (SFP+, QSFP28) для физического подключения тестируемых устройств.
Data sheet вендоров часто содержат лабораторные цифры, полученные в идеальных условиях (например, на UDP‑пакетах по 1518 байт без включенных функций безопасности). Чтобы проверить реальное соответствие, нужно провести тестирование NGFW в лаборатории по методике RFC 2544 (для L2–L3), RFC 3511 (для межсетевых экранов) или современному стандарту NetSecOPEN. Такая методика нагрузочного тестирования фиксируется до начала работ и согласуется с вами.
Алгоритм проверки
Приведение к единому профилю трафика. Собрать конфигурацию тестов, максимально близкую к той, что вендор указал в сносках data sheet (размер пакета, тип транзакции, версия TLS, набор шифров).
Пошаговое включение функций безопасности:
Тест 1: чистый firewall (L4).
Тест 2: firewall + application control (L7).
Тест 3: firewall + application control + IPS (система предотвращения вторжений).
Тест 4: firewall + IPS + Antivirus + SSL inspection.
Сравнение графиков. Если data sheet заявляет 10 Гбит/с с IPS, профиль атак включается на BreakingPoint, подается 10 Гбит/с трафика и рассматриваются следующие показатели:
Наличие дропов (drop rate) легитимного трафика.
Процент пропущенных атак (false negative).
Загрузка CPU и памяти NGFW (через SNMP/CLI устройства). Если CPU равен 99%, а задержки выросли до неприемлемых — устройство тест не прошло.
Стоимость проекта начинается от 300 000 рублей. Итоговый бюджет рассчитывается индивидуально на основе заполненного опросного листа. Финальная стоимость зависит от количества тестируемых сервисов (IP‑адресов, доменов, API), согласованного набора и типов атак (L4/L7), а также необходимой мощности генерируемого трафика.
Да, это обязательное условие. Мы проводим нагрузочное тестирование и имитацию DDoS‑атак в двух форматах:
Проверка систем. Провайдер предупрежден, оценивается корректность настроек фильтрации.
Проверка команды. Провайдер не знает точного времени атаки, оценивается скорость его реакции.
Однако на юридическом уровне руководство и технические службы провайдера должны дать официальное согласие на обработку подобного трафика, чтобы наши действия не были расценены как реальная кибератака.
Вы получаете официальный технический отчет по нагрузочному тестированию, в котором фиксируются хронология всех поданных векторов атак, графики доступности сервисов и точки отказа инфраструктуры. Ваша команда кибербезопасности сможет проанализировать эту информацию, чтобы модернизировать средства и методы защиты.