为什么做 TLS 解密
HTTPS 普及后攻击载荷也搬进了加密通道：漏洞利用、木马回连、数据外传都可能藏在 TLS 里。不解密，检测设备只能看到 SNI、证书和流量大小等元数据，隧道内部的攻击特征完全不可见。TLS（SSL）解密让设备以中间人方式终止并重建加密连接，把明文交给检测引擎，换取的是检测覆盖，付出的是性能、证书管理与隐私合规成本。
基本信息
| 部署形态 | 检测设备串在流量路径上，或与代理、负载均衡联动 |
|---|---|
| 必要资源 | 解密证书与私钥、设备解密授权、终端信任链 |
| 性能影响 | 加解密带来额外 CPU 开销，需评估设备规格余量 |
| 适用范围 | 建议限定到特定区域或业务，不默认全量解密 |
典型使用场景
- 检测办公网出访 HTTPS 中的恶意软件下载
- 服务器区对外服务时检测 HTTPS 请求里的漏洞利用
- 数据外传检测需要看响应体内容
- 合规要求下对指定业务流量做内容检查
- 加密隧道内的木马回连与命令控制流量发现
实施边界与验证
实施边界与验证
# 1. 明确解密范围：只做对外 Web，还是含内网业务系统
# 2. 排除金融、医疗等强隐私与法规特别要求的流量
# 3. 终端需信任解密证书（域策略或终端管理下发）
# 4. 解密数据只做检测，不落地明文存储
# 5. 上线前梳理证书固定（pinning）类应用，列入例外
# 6. 观察设备 CPU 与新建连接速率，确认仍有性能余量收益与代价
| 维度 | 说明 | 注意事项 |
|---|---|---|
| 检测覆盖 | 可见隧道内的攻击特征 | 不解密则只有元数据可分析 |
| 性能 | 加解密消耗 CPU | 高并发下先评估规格再上线 |
| 合规 | 涉及通信内容处理 | 按内部制度与适用法规评估并留痕 |
| 可用性 | 证书固定类应用可能报错 | 提前梳理例外清单 |
全量解密是性能与合规风险的双重放大器：范围要克制到必要业务，并且必须先完成内部审批与告知。
解密证书要统一管理并纳入到期监控，证书过期或未下发到终端，会直接造成业务中断或大面积告警。