Съвременни решения за изграждане на системи за информационна сигурност — брокери на мрежови пакети (Network Packet Broker)

Информационната безопасност се отдели от телекомуникациите като самостоятелна област с своя специфика и своето оборудване. Но съществува малко известен клас устройства, който стои на кръстопътя между телекома и инфобезата – мрежови пакетни брокери (Network Packet Broker), известни също като балансировачи на натоварване, специализирани/мониторингови комутатори, агрегатори на трафик, платформа за доставка на сигурност, мрежова видимост и др. И ние, като руски разработчик и производител на такива устройства, искаме да разкажем повече за тях.

Области на приложение и решавани задачи

Мрежовите пакетни брокери са специализирани устройства, които намират най-широко приложение в системите за информационна безопасност. Класът на тези устройства е сравнително нов и малоброен в общоприетата мрежова инфраструктура в сравнение с комутаторите, маршрутизаторите и т.н. Пионер в разработката на този тип устройства беше американската компания Gigamon. В момента на този пазар играчите значително се увеличиха (включително подобни решения предлагат известни производители на тестови комплекси — компанията IXIA), но за съществуването на такива устройства все още знае само тесен кръг от специалисти. Както беше отбелязано по-горе, дори с терминологията няма ясна определеност: наименованията варират от „системи за осигуряване на прозрачност в мрежата“ до простото „балансери“.

Разработвайки мрежови пакетни брокери, се сблъскахме с факта, че освен анализа на тенденциите в развитието на функционалността и тестовете в лаборатории/тестови зони, е необходимо паралелно да обясняваме на потенциалните потребители за съществуването на такъв клас оборудване, тъй като не всички са наясно с него.

Още преди 15-20 години трафикът в мрежата беше малък и това бяха предимно незначителни данни. Но закона на Нилсен практически повтаря закона на Мур: скоростта на интернет връзката нараства ежегодно с 50%. Обемът на трафика също неуклонно расте (на графиката е представена прогноза от 2017 година от компания Cisco, източник Cisco Visual Networking Index: Прогноза и тенденции, 2017–2022):

Заедно със скоростта нараства и важността на циркулиращата информация (това са както търговски тайни, така и т.нар. лични данни) и като цяло работоспособността на инфраструктурата.

Следовательно, възникна и индустрията на информационната сигурност. Индустрията реагира на това с появата на цял спектър от устройства за дълбочинен анализ на трафика (DPI): от системи за предотвратяване на DDoS атаки до системи за управление на събития в информационната сигурност, включително IDS, IPS, DLP, NBA, SIEM, Antimailware и други. Обикновено всяко от тези средства представлява софтуер, инсталиран на сървърна платформа. Всяка програма (средство за анализ) се инсталира на своя собствена сървърна платформа: производителите на софтуер са различни и изчислителните ресурси, необходими за анализа на L7, са много.

При изграждането на система за информационна сигурност трябва да се решат редица основни задачи:

• как да се предава трафикът от инфраструктурата към системите за анализ? (първоначално проектираните за това SPAN портове в съвременната инфраструктура не са достатъчни нито по количество, нито по производителност)
• как да се разпределя трафикът между различните системи за анализ?
• как да се мащабират системите при недостатъчна производителност на един екземпляр на анализатора, за да обработи целия обем трафик, който постъпва?
• как да се мониторят интерфейсите 40G/100G (а в близко бъдеще и 200G/400G), тъй като средствата за анализ в момента поддържат само интерфейси 1G/10G/25G?

И следващите свързани задачи:

• как да се минимизира некоректният трафик, който не се нуждае от обработка, но попада в средствата за анализ и използва техните ресурси?
• как да се обработват инкапсулирани пакети и пакети с етикети на оборудването, чиято подготовка за анализ се оказва или ресурсоемка, или напълно невъзможна?
• как да се изключи от анализа част от трафика, която не попада под регулирането на политиката за сигурност (например, трафикът на ръководителя).

Както е известно, търсенето създава предлагане, в отговор на тези нужди започнаха да се развиват брокерите на мрежови пакети.

Общо описание на брокерите на мрежови пакети

Брокерите на мрежовите пакети работят на ниво пакети и в това отношение приличат на обикновени суичове. Основната разлика от суичовете е, че правилата за разпределение и агрегиране на трафика при брокерите на мрежови пакети са напълно определени от настройките. При брокерите на мрежови пакети няма стандарти за изграждане на таблици за пренос (MAC-таблици) и протоколи за обмен с други суичове (като STP), поради което обхватът на възможните настройки и разбираните полета в тях е много по-широк. Брокерът може равномерно да разпределя трафика от един или няколко входящи порта на зададен обхват изходящи портове с функция за равномерно натоварване. Могат да се зададат правила за копиране, филтриране, класифициране, дедупликация и модификация на трафика. Тези правила могат да се прилагат към различни групи входящи порта на брокера на мрежови пакети, а също така да се прилагат последователно едно след друго в самото устройство. Важно предимство на пакетния брокер е възможността за обработка на трафика с пълната скорост на потока и запазване на целостта на сесиите (в случай на натоварване на трафика на няколко еднотипни системи DPI).

Запазването на целостта на сесиите се състои в предаването на всички пакети от сесията на транспортно ниво (TCP/UDP/SCTP) на един порт. Това е важно, тъй като системите DPI (обикновено това е софтуер, работещ на сървър, свързан към изходния порт на пакетния брокер) анализират съдържанието на трафика на ниво приложения, и всички пакети, изпращани/приемани от едно приложение, трябва да постъпват на един и същ екземпляр на анализатора. Ако пакетите от една сесия се изгубят или се разпределят между различни устройства DPI, всяко отделно устройство DPI ще се окаже в ситуация, подобна на четене на нецелия текст, а само на отделни думи от него. И, най-вероятно, текстът няма да бъде разбран.

По този начин, като са насочени към системи за информационна сигурност, брокерите на мрежови пакети разполагат с функционалност, която помага за свързването на високоскоростни телекомуникационни мрежи с софтуерни комплекси DPI и намаляване на натоварването върху тях: извършват предварителна филтрация, класификация и подготовка на трафика за опростяване на последващата обработка.

Освен това, тъй като брокерите на мрежови пакети предоставят широк спектър от статистики и често са свързани с различни точки на мрежата, те също намират своето място при диагностицирането на проблеми с работоспособността на самата мрежова инфраструктура.

Основни функции на брокерите на мрежови пакети

Името "специализирани/мониторингови комутатори" произлиза от основното предназначение: да съберат трафика от инфраструктурата (обикновено с помощта на пасивни оптични разделители TAP и/или SPAN портове) и да го разпределят между средствата за анализ. Между различните типове системи трафикът се отражава (дублира), а между еднотипните – се балансира. Основните функции обикновено включват филтриране по полета до L4 (MAC, IP, TCP/UDP порт и т.н.) и агрегация на няколко слабо натоварени канала в един (например, за обработка на една система DPI).

Тази функционалност осигурява решение на основната задача – свързване на системите DPI с мрежовата инфраструктура. Брокерите на различни производители, които се ограничават до основната функционалност, осигуряват обработка до 32 интерфейса 100G на 1U (повече интерфейси физически не могат да се поберат на предния панел 1U). Въпреки това, те не позволяват намаляване на натоварването на средствата за анализ и за сложна инфраструктура не могат да осигурят дори изискванията за основната функция: сесия, разпространена по няколко тунела (или снабдена с MPLS етикети) може да се разбалансира на различни експонати на анализатора и като цяло да изпадне от анализа.

Освен добавянето на интерфейси 40/100G и, съответно, повишаването на производителността, брокерите на мрежови пакети активно се развиват в предоставянето на принципно нови възможности: от балансиране по вложените заглавия на тунелите до декриптиране на трафика. За съжаление, такива модели не могат да се похвалят с производителност в терабити, но позволяват създаването на наистина качествена и технически "красивa" система за информационна сигурност, в която всяко средство за анализ получава само необходимата му информация в най-подходящата форма за анализ.

Разширени функции на брокерите на мрежови пакети

1. Споменатото по-горе балансиране по вложените заглавия в тунелирания трафик.

Защо е важно? Нека разгледаме 3 аспекта, които могат да бъдат критични заедно или поотделно:

• осигуряване на равномерност на баланса при наличието на малък брой тунели. В случай, че в точката на свързване на информационните системи има само 2 тунела, не е възможно да ги разбалансираме по външни заглавия на 3 сървърни платформи, като същевременно запазим сесията. В същото време трафикът в мрежата се предава неравномерно, а насочването на всеки тунел към отделен обработващ ресурс ще изисква излишна производителност от последния;
• осигуряване на целостта на сесиите и потоковете на мултисесийните протоколи (например, FTP и VoIP), пакетите на които могат да се окажат в различни тунели. Сложността на мрежовата инфраструктура постоянно нараства: резервиране, виртуализация, опростяване на администрирането и т.н. От една страна, това повишава надеждността от гледна точка на предаването на данни, от друга страна, затруднява работата на информационните системи за сигурност. Дори при достатъчна производителност на анализаторите за обработка на отделен канал с тунели, проблемът остава нерешим, тъй като част от пакетите на потребителската сесия се предават по друг канал. И ако в някои инфраструктури все още се стараят да се погрижат за целостта на сесиите, мултисесийните протоколи могат да поемат напълно различни пътища;
• балансиране при наличието на MPLS, VLAN, индивидуални маркери на оборудването и т.н. Не точно тунели, но все пак оборудването с основна функционалност може да разбира този трафик не като IP и да балансира по MAC адреси, отново нарушавайки равномерността на баланса или целостта на сесиите.

Брокерът на мрежови пакети анализира външните заглавия и последователно преминава през указателите до най-вътрешния IP заглавие и балансира вече по него. В резултат - потокът става значително по-голям (в съответствие можем да разбалансираме по-равномерно и на повече платформи), а системата DPI получава всички пакети на сесията и всички свързани сесии на мултисесийните протоколи.

2. Модификация на трафика.
Една от най-широките по своите възможности функции, броят на подфункциите и вариантите за прилагане е многобройна:

• премахване на payload, в този случай на средството за анализ се предават само заглавията на пакетите. Това е актуално за средства за анализ или за типове трафик, при които съдържанието на пакетите или не играе роля, или не може да бъде анализирано. Например, за криптиран трафик, параметричните данни за обмена (кой, с кого, кога и колко) могат да бъдат интересни, а payload всъщност е боклук, заемащ канала и изчислителните ресурси на анализатора. Възможни са вариации, при които payload се отрезава, започвайки от зададено изместване – това предоставя допълнително пространство за средствата за анализ.
• детунелиране, именно премахване на заглавия, обозначаващи и идентифициращи тунели. Целта е да се намали натоварването на средствата за анализ и да се повиши тяхната ефективност. Детунелирането може да се извършва въз основа на фиксирано изместване или с динамичен анализ на заглавията и определяне на изместването за всеки пакет.
• премахване на част от заглавията на пакетите: MPLS-етикети, VLAN, специфични полета на трети страни;
• маскиране на част от заглавията, например, маскиране на IP адреси за осигуряване на анонимност на трафика;
• добавяне на служебна информация в пакета: времеви етикети, входящ порт, етикети на клас трафик и т.н.

3. Дедупликация – почистване от повторяющи се пакети на трафика, предавани на средствата за анализ. Повторящи се пакети най-често се появяват поради особеностите на свързването с инфраструктурата – трафикът може да преминава през няколко точки на анализ и да се отразява от всяка от тях. Също така, повторна изпращане на TCP пакети, които не са достигнали, но ако те са много, то това е по-скоро въпрос за мониторинг на качеството на мрежата, а не за информационната безопасност в нея.

4. Разширени функции на филтриране – от търсене на конкретни стойности по зададено изместване до подписен анализ на целия пакет.

5. Генерация на NetFlow/IPFIX – събиране на широк списък от статистика за преминаващия трафик и неговото предаване на средствата за анализ.

6. Дешифриране на SSL трафика, работи при условие на предварително зареждане на сертификата и ключовете в брокера на мрежовите пакети. Въпреки това, това позволява значително да се облекчи натоварването на средствата за анализ.

Има още много функции, полезни и маркетингови, но основните, вероятно, са изброени.

Развитието на системите за откриване (на сривове, DDoS атаки) в системите за тяхната предотвратимост, както и внедряването на активни средства DPI наложи промяна на схемата на свързване от пасивна (чрез TAP или SPAN портове) на активна ("в разрив"). Тази ситуация повиши изискванията за надеждност (тъй като отказ в такъв случай води до нарушаване работоспособността на цялата мрежа, а не само до загуба на контрол над информационната безопасност) и доведе до замяна на оптичните отклонители с оптични bypass устройства (за да решим проблема с зависимостта на работоспособността на мрежата от работоспособността на системите за информационна безопасност), но основната функционалност и изискванията към нея останаха същите.

Разработихме Brokers на мрежови пакети DS Integrity с интерфейси 100G, 40G и 10G, от конструкцията и схемотехниката до вграденото софтуерно осигуряване. Вярно е, че за разлика от другите брокери на пакети, функциите за модификация и балансировка по вложените заглавия на тунелите при нас се реализират апаратно, с пълна скорост на портовете.

Източник: habr.com