Съвременни решения за изграждане на системи за информационна безопасност — брокери на мрежови пакети (Network Packet Broker)

Информационната сигурност се отдели от телекомуникациите в самостоятелна област с своя специфика и собствено оборудване. Но има малкоизвестен клас устройства, стоящи на границата между телекомуникациите и инфосигурността – брокери на мрежови пакети (Network Packet Broker), също известни като балансировачи на натоварването, специализирани/мониторингови суичове, агрегатори на трафик, Security Delivery Platform, Network Visibility и така нататък. И ние, като руски разработчик и производител на такива устройства, бихме искали да разкажем за тях по-подробно.

Области на приложение и решавани задачи

Брокерите на мрежови пакети са специализирани устройства, които се използват най-вече в системите на информационната сигурност. Този клас устройства е относително нов и малочислен в общоприетата мрежова инфраструктура в сравнение с суичове, маршрутизатори и т.н. Пионер в разработката на този тип устройства беше американската компания Gigamon. В момента на този пазар има значително повече играчи (включително подобни решения предлагат известни производители на тестови комплекси — компанията IXIA), но все още само тесен кръг професионалисти знаят за съществуването на такива устройства. Както беше отбелязано по-горе, дори в терминологията няма еднозначност: названията варират от „системи за осигуряване на прозрачност в мрежата“ до простите „балансери“.

При разработването на брокери на мрежови пакети се сблъскахме с факта, че освен анализ на направленията на развитие на функционалността и изпитания в лаборатории/тестови зони, е необходимо паралелно да обясняваме на потенциалните потребители за съществуването на такъв клас оборудване, тъй като не всички знаят за него.

Още преди 15-20 години трафикът в мрежата беше малък и това бяха предимно маловажни данни. Но законът на Нилсен практически повтаря закона на Мур: скоростта на интернет връзката се увеличава ежегодно с 50 %. Обемът на трафика също непрекъснато нараства (на графиката е представен прогнозата за 2017 година от компания Cisco, източник Cisco Visual Networking Index: Прогнози и тенденции, 2017–2022):

Със скоростта нараства и значението на циркулиращата информация (това са и търговски тайни, и прословутите лични данни) и изобщо работоспособността на инфраструктурата.

Съответно, се появи и индустрия на информационната сигурност. Индустрията реагира на това с появата на цяла гама от устройства за дълбочинна анализ на трафика (DPI): от системи за предотвратяване на DDOS атаки до системи за управление на събития в информационната сигурност, включително IDS, IPS, DLP, NBA, SIEM, Antimailware и много други. Обикновено всяко от тези средства представлява софтуер, инсталиран на сървърна платформа. Освен това, всяка програма (анализатор) се инсталира на своя собствена сървърна платформа: производителите на софтуер са различни, а и изчислителните ресурси за анализ на L7 са значителни.

При изграждането на система за информационна сигурност е необходимо да се решат редица основни задачи:

• Как да се предава трафикът от инфраструктурата към системите за анализ? (първоначално проектираните за това SPAN портове в съвременната инфраструктура не са достатъчни нито по количество, нито по производителност)
• Как да се разпределя трафикът между различни системи за анализ?
• Как да се мащабира системата при недостатъчна производителност на един анализатор за обработката на целия трафик, който постъпва?
• Как да се следят интерфейсите 40G/100G (а в близкото бъдеще и 200G/400G), тъй като настоящите анализатори поддържат само интерфейси 1G/10G/25G?

И следващите свързани задачи:

• Как да се минимизира несъответстващият трафик, който не изисква обработка, но попада в средствата за анализ и изразходва ресурсите им?
• Как да се обработват инкапсулираните пакети и пакети с служебни етикети на оборудването, чиято подготовка за анализ е или ресурсоемка, или невъзможна?
• Как да се изключи от анализа част от трафика, който не попада под регулирането на политиката за сигурност (например, трафика на ръководител)?

Както е известно, търсенето поражда предлагане, в отговор на тези нужди и започнаха да се развиват брокери на мрежови пакети.

Общо описание на брокерите на мрежови пакети

Брокерите на мрежовите пакети работят на ниво пакети и в това отношение са сходни с обикновените комутатори. Основното отличие от комутаторите е, че правилата за разпределяне и агрегация на трафика в брокерите на мрежовите пакети се определят изцяло от настройките. В брокерите на мрежовите пакети няма стандарти за изграждане на таблици за препращане (MAC-таблици) и протоколи за обмен с други комутатори (като STP), което разширява обхвата на възможните настройки и разбираните полета в тях. Брокерът може равномерно да разпределя трафика от един или няколко входни порта на зададен диапазон изходни портове с функция за равномерно натоварване на изхода. Могат да бъдат зададени правила за копиране, филтриране, класифициране, дедупликация и модификация на трафика. Тези правила могат да се прилагат към различни групи входни портове на брокера на мрежовите пакети и да се прилагат последователно едно след друго в самото устройство. Важно предимство на пакетния брокер е възможността за обработка на трафика с пълна скорост на потока и запазване на целостта на сесиите (в случай на балансировка на трафика към няколко идентични системи DPI).

Запазването на целостта на сесиите е свързано с предаването на всички пакети от сесията на транспортно ниво (TCP/UDP/SCTP) в един порт. Това е важно, тъй като системите DPI (обикновено това е софтуер, инсталиран на сървър, свързан с изходния порт на пакетния брокер) анализират съдържанието на трафика на ниво приложения, и всички пакети, изпращани/приемани от едно приложение, трябва да постъпват на един и същ анализатор. Ако пакети от една сесия се изгубят или се разпределят между различни устройства DPI, всяко отделно устройство DPI се оказва в ситуация, подобна на четене на непълен текст, а не на отделни думи от него. И, най-вероятно, текстът няма да бъде разбран.

Следователно, насочени към системите за информационна сигурност, брокерите на мрежови пакети имат функционалност, която помага за свързването на високоскоростни телекомуникационни мрежи със софтуерни комплекси DPI и за намаляване на натоварването върху тях: извършват предварително филтриране, класифициране и подготовка на трафика за улесняване на последващата обработка.

Освен това, тъй като брокерите на мрежови пакети предоставят голямо разнообразие от статистики и често са свързани с различни точки в мрежата, те също намират своето място при диагностицирането на проблеми с работоспособността на самата мрежова инфраструктура.

Основни функции на брокерите на мрежови пакети

Наименованието "специализирани/мониторингови суичове" произтича от основното им предназначение: да събират трафик от инфраструктурата (обычно с помощта на пасивни оптични разклонители TAP и/или SPAN портове) и да го разпределят между средствата за анализ. При различни типове системи трафикът се оглежда (дублира), а при еднотипни – се балансира. Основните функции обикновено включват филтриране до L4 (MAC, IP, TCP/UDP порт и т.н.) и агрегация на няколко слабо натоварени канала в един (например за обработка на една система DPI).

Тази функционалност осигурява решаване на основната задача – свързване на системи DPI с мрежовата инфраструктура. Брокерите от различни производители, които се ограничават до основната функционалност, осигуряват обработка на до 32 интерфейса 100G на 1U (повече интерфейси физически не могат да се помещават на предния панел 1U). Въпреки това, те не могат да намалят товара върху анализаторите, а за сложна инфраструктура не могат да осигурят дори основните изисквания: сесия, разпределена през няколко тунела (или снабдена с MPLS етикети), може да се разбалансира на различни инстанции на анализатора и общо да излезе от анализа.

Освен добавянето на интерфейси 40/100G и, следователно, увеличаване на производителността, брокерите на мрежови пакети активно се развиват в областта на предоставянето на принципиално нови възможности: от балансиране по вложени заглавия на тунели до декриптиране на трафика. За съжаление, такива модели не могат да се похвалят с производителност в терабити, но позволяват изграждането на наистина качествена и технически "красивa" система за информационна сигурност, в която всяко средство за анализ получава само необходимата информация в най-подходящата за анализ форма.

Разширени функции на брокерите на мрежови пакети

1. По-горе споменатото балансиране по вложени заглавия в тунелиран трафик.

Защо е важно? Нека разгледаме 3 аспекта, които могат да бъдат критични сами по себе си или съвместно:

• осигуряване на равномерност при балансирането, когато има малък брой тунели. В случай, че в точката на свързване на системите за информация има само 2 тунела, не може да се разпределят на 3 сървърни платформи, запазвайки сесията. При това трафикът в мрежата се предава неравномерно, а насочването на всеки тунел към отделно средство за обработка ще изисква излишна производителност на последното;
• осигуряване на целостта на сесиите и потоките на мултисесионни протоколи (например, FTP и VoIP), пакети от които се намират в различни тунели. Сложността на мрежовата инфраструктура постоянно нараства: резервиране, виртуализация, опростяване на администрирането и така нататък. От една страна, това повишава надеждността по отношение на предаването на данни, от друга, затруднява работата на системите за информация. Дори при достатъчна производителност на анализаторите за обработка на отделен канал с тунели, проблемът остава нерешен, тъй като част от пакетите на потребителската сесия се предава по друг канал. А ако в някои инфраструктури все още се стремят да се грижат за целостта на сесиите, то мултисесионните протоколи могат да следват напълно различни пътища;
• балансиране при наличие на MPLS, VLAN, индивидуални маркировки на оборудването и т.н. Не съвсем тунели, но все пак оборудването с основен функционал може да разбира този трафик не като IP и да балансира по MAC-адреси, отново нарушавайки равномерността на балансирането или целостта на сесиите.

Брокерът на мрежови пакети анализира външните заглавия и последователно преминава през указателите до най-вътрешното IP-заглавие и вече балансира по него. В резултат на това потокът става значително по-голям (съответно може да се разпредели по-равномерно и на повече платформи), и системата DPI получава всички пакети от сесията и всички свързани сесии на мултисесионните протоколи.

2. Модификация на трафика.
Една от най-широките по своите възможности функции, количеството подфункции и варианти на тяхното приложение е многобройно:

• премахване на payload, при което на средството за анализ се предават само заглавията на пакетите. Това е актуално за средства за анализ или за типове трафик, при които съдържанието на пакетите не играе роля или не подлежи на анализ. Например, за криптирания трафик може да са интересни параметричните данни за обмен (кой, с кого, кога и колко), а payload всъщност представлява боклук, заемащ канала и изчислителните ресурси на анализатора. Възможни са вариации, при които payload се прерязва, започвайки от зададено отместване – това предоставя допълнително пространство на средствата за анализ.
• детунелиране, а именно премахване на заглавия, обозначаващи и идентифициращи тунели. Целта е намаляване на натоварването на средствата за анализ и повишаване на тяхната ефективност. Детунелирането може да се извърши на база фиксирано отместване или чрез динамичен анализ на заглавията и определяне на отместването за всеки пакет.
• премахване на част от заглавията на пакетите: MPLS-етикети, VLAN, специфични полета на трети страни.
• маскиране на част от заглавията, например, маскиране на IP адреси за осигуряване на анонимност на трафика.
• добавяне към пакета на служебна информация: времеви етикети, входен порт, етикет на клас трафик и т.н.

3. Дедупликация – почистване от повторяващи се пакети от трафика, предавани на средствата за анализ. Повторяващите се пакети често възникват поради особеностите на свързването с инфраструктурата – трафикът може да преминава през няколко точки за анализ и да бъде огледален от всяка от тях. Също така се среща повторна изпращане на недостигнали TCP пакети, но ако те са много, това по-скоро са въпроси към мониторинг на качеството на мрежата, а не към информационната сигурност в нея.

4. Разширени функции за филтриране – от търсене на конкретни стойности по зададено отместване до сигнатурен анализ на целия пакет.

5. Генерация на NetFlow/IPFIX – събиране на широк спектър от статистики по преминаващия трафик и неговото предаване на средствата за анализ.

6. Дешифриране на SSL трафик, работи при условие на предварително зареждане на сертификата и ключовете в брокера на мрежовите пакети. Въпреки това, това позволява значително да се облекчат средствата за анализ.

Има и още много функции, полезни и маркетингови, но основните, вероятно, са изброени.

Развитието на системи за откриване (на прониквания, DDoS атаки) в системи за предотвратяване, както и внедряването на активни средства DPI, наложи промяна в схемата на включване от пасивна (чрез TAP или SPAN портове) на активна ("в разрив"). Това повиши изискванията за надеждност (тъй като неизправност в такъв случай води до нарушаване на работоспособността на цялата мрежа, а не само до загуба на контрол върху информационната безопасност) и доведе до замяна на оптичните отклонители с оптични bypass (за да се реши проблемът с зависимостта на работоспособността на мрежата от работоспособността на системите за информационна безопасност), но основният функционал и изискванията към него останаха същите.

Разработихме DS Integrity мрежови пакетни брокери с интерфейси 100G, 40G и 10G, от конструкцията и схемотехниката до вграденото софтуерно осигуряване. В contrast с други пакетни брокери, нашите функции за модификация и балансиране на вложените заглавия на тунелите се реализират хардуерно, с пълна скорост на портовете.

Източник: habr.com