YD/T 2384-2011 标准解读
一、核心指标体系梳理
- 检测吞吐量：不低于2Gbps。
- 并发连接数：不小于100万。
- 每秒新建连接数：不少于2万。
- HTTP事务处理能力：每秒不低于5000次。
- 延迟时间：不超过10ms。
- 抗攻击性能：抵御至少10Gbps的DDoS流量攻击。
- 规则匹配效率：单条规则匹配延迟低于1ms。
- 误报率：不大于0.01%。
- 漏报率：不大于0.001%。
- 日志记录完整性：覆盖率达到100%。
二、关键参数精准释义
- 检测吞吐量：指Web应用防火墙在正常运行状态下，能够处理的最大数据流量。测算口径为单位时间内通过设备的数据总量，判定依据为是否达到或超过标准规定的2Gbps。
- 并发连接数：表示防火墙可同时维持的有效TCP连接数量。测算方式为统计系统内活动连接峰值，需确保不低于100万。
- 每秒新建连接数：定义为防火墙每秒可以建立的新TCP连接数量。测算基于压力测试环境下的最大值，要求不少于2万。
- HTTP事务处理能力：指设备每秒可完成的完整HTTP请求-响应交互次数。测算方法为模拟真实用户访问场景，确保不低于5000次/秒。
- 延迟时间：从接收到请求到返回响应的时间间隔，以毫秒为单位。测算需在满负载条件下进行，不得超过10ms。
- 抗攻击性能：评估设备在遭受大规模DDoS攻击时的防护能力，需能有效抵御至少10Gbps的攻击流量。
- 规则匹配效率：指单条安全规则执行所需时间，测算通过逐条规则测试并取平均值，要求低于1ms。
- 误报率：指防火墙将正常流量错误识别为威胁的比例，计算公式为误报次数除以总流量次数，上限为0.01%。
- 漏报率：指实际威胁未被正确识别的比例，计算公式为漏报次数除以总威胁次数，上限为0.001%。
- 日志记录完整性：指所有安全事件均需被准确记录，覆盖率必须达到100%。
三、参数合格区间界定
| 参数名称 | 合规区间 | 临界值 | 不合格判定标准 |
|---|
| 检测吞吐量 | ≥2Gbps | 2Gbps | <2Gbps |
| 并发连接数 | ≥100万 | 100万 | <100万 |
| 每秒新建连接数 | ≥2万 | 2万 | <2万 |
| HTTP事务处理能力 | ≥5000次/秒 | 5000次/秒 | <5000次/秒 |
| 延迟时间 | ≤10ms | 10ms | >10ms |
| 抗攻击性能 | ≥10Gbps | 10Gbps | <10Gbps |
| 规则匹配效率 | ≤1ms | 1ms | >1ms |
| 误报率 | ≤0.01% | 0.01% | >0.01% |
| 漏报率 | ≤0.001% | 0.001% | >0.001% |
| 日志记录完整性 | =100% | 100% | <100% |
四、参数管控实操建议
- 检测吞吐量：定期使用专业工具进行带宽压力测试，确保网络流量处于可控范围。
- 并发连接数：通过监控工具实时跟踪连接状态，优化资源分配策略以提升承载能力。
- 每秒新建连接数：部署动态连接池机制，减少新建连接的开销。
- HTTP事务处理能力：采用分布式架构分担流量压力，同时优化协议栈性能。
- 延迟时间：分析瓶颈环节并优化底层硬件配置，确保低延迟运行。
- 抗攻击性能：结合云端清洗服务与本地防护功能，形成多层次防御体系。
- 规则匹配效率：精简规则集，剔除冗余规则，提高匹配速度。
- 误报率与漏报率：持续更新规则库，引入机器学习算法提升识别精度。
- 日志记录完整性：实施双备份存储策略，确保数据可靠性和完整性。