仅依靠甄别厂商提供的技术参数选择网络安全产品的采购模式，已被高校、政府、金融、电力等行业的用户所抛弃。现在，这些用户更热衷于选择“靠谱”的采购模式：不听忽悠，先测再买。因为，能够帮助用户仿真实际应用环境的测试设备，已经走出了“象牙塔”，让企业能用来保护投资。
　　■ 本报记者 卜娜
　　如果你身为CIO或CTO，在为企业采购网络安全产品之前，你一定遇到过类似的困惑——如何从销售口若悬河的介绍中，从令人眼花缭乱的各种参数、功能描述中，找出真正能符合业务需求的产品？
　　参数看似符合标准，并不意味着网络安全产品在实际应用环境中可以经得住考验。近年来，在企业遭遇DDoS攻击的案例中，不乏花巨资投入的网络安全设备反遭全军覆没的情况。那么，在采购网络安全设备之前，除了鉴别参数，有没有更靠谱的方法呢？
　　其实，面向网络、安全领域提供测试仪表的厂商Ixia已经把其技术带出了专业的第三方测试实验室，转向为企业提供直接的测试设备和测试服务。利用Ixia的产品和服务，企业可以用一种更靠谱的采购模式保护投资。
　　为何第三方测试更靠谱
　　近年来，企业IT采购模式正在发生变化。一些重视信息化建设的行业，如高校、政府、金融、电力等用户，已经开始不再依赖于厂商“宣称”的数据投资建设网络。特别是在进行网络安全防护领域的投资前，基于“实际流量环境”和“真实数据”的第三方测试，越来越受到用户的重视。
　　以Ixia提供的测试服务为例，他们可以根据用户的实际需求，为用户建立起一个与实际环境一致的流量模型场景，帮用户在这样的场景中测试他们计划采购的设备。不仅如此，他们还能模拟各种来自互联网的攻击，设备是否经得住考验，一测便知。
　　这类第三方测试平台可以做的事，是以往设备厂商和用户都做不到的。例如传统的压力测试方案，多是厂商提供设备在用户的实际环境中测试一段时间，如果没出现什么问题，采购流程就会顺利成章地走下去。如果在测试阶段恰巧用户网络并未遭遇大规模攻击，设备本身的问题是很难被发现的。但是，第三方测试平台却可以模拟最恶劣的网络攻击，这就好比把压力测试调至最高水平，用户在采购前就可以对相关网络安全设备的性能、承压能力和应急处理能力的极限有清晰的认识。
　　另外，无论是设备厂商还是用户，目前都没有能力去模拟真实的网络攻击。Ixia中国区市场部主管沙鹏告诉记者，在Ixia，有一个专业的安全小组来完成发现“零日攻击”等网络威胁的工作，每两周这个小组就会发布最新的攻击数据库，用于为用户模拟真实的攻击场景。
　　企业也能享受的专业测试
　　第三方测试对网络安全设备的评估往往有更科学的方法论，一般这类测试都会对设备进行多角度的评估，如安全有效性、性能、管理能力、稳定性、系统健壮性、TCO等。同时，第三方测试也不是新鲜产物，目前很多专业的网络安全测试实验室都能提供这样的服务，只是往往价格不菲，而且其通用的测试方法也和企业需要的真实环境测试有所差异。
　　因为涉及大规模集采，过去只有运营商会采购专业测试设备，以便保护投资。但随着传统行业业务的互联网化，一些行业越来越看重网络安全的防护问题，专业的网络安全测试设备也开始逐渐成为企业为业务保驾护航的关键设备之一。
　　除了专业实验室级别的测试设备外，Ixia也为企业出现的“测试”需求专门推出了相应的产品。例如其近期推出PerfectStorm ONE就是用来帮企业进行网络安全模拟测试的平台型工具。在继承NSS专业实验室测试标准的前提下，PerfectStorm ONE还考虑了不少企业测试时的实际需求。例如可支持不同速率，最高扩展至80G的应用流量，可提供4个1Gpbs端口、8个10Gbps端口、2个40Gbps端口，能模拟超过245种应用和35,000种恶意攻击，模拟基于手机移动流量模型的攻击，在每秒200万个新会话的情况下支持多达6000万个HTTP同时会话，并在每秒20万个新SSL会话的情况下支持多达20 Gbps的SSL吞吐量等。这样的性能，可以轻松满足在复杂的数据、视频、语音、存储和网络负载环境下的测试需求。