Moderne Lösungen für den Aufbau von Informationssicherheitssystemen – Netzwerkpaket-Broker (Network Packet Broker)

Die Informationssicherheit hat sich von den Telekommunikationen zu einer eigenständigen Branche mit ihren eigenen Spezifika und ihrer eigenen Ausrüstung abgegrenzt. Doch es gibt eine weitgehend unbekannte Klasse von Geräten, die an der Schnittstelle von Telekommunikation und Informationssicherheit steht – Netzwerkpaketbroker (Network Packet Broker), auch Lastenausgleicher, spezialisierte/Überwachungs-Switches, Traffic-Aggregatoren, Security Delivery Platform, Network Visibility und so weiter. Und wir, als russischer Entwickler und Hersteller solcher Geräte, möchten gerne ausführlicher darüber berichten.

Anwendungsbereich und zu lösende Aufgaben

Netzwerkpaketbroker sind spezialisierte Geräte, die größtenteils in Systemen der Informationssicherheit Anwendung finden. Diese Klasse von Geräten ist relativ neu und in der allgemein akzeptierten Netzwerkinfrastruktur im Vergleich zu Switches, Routern usw. nur spärlich vertreten. Pionier bei der Entwicklung dieses Gerätetyps war das amerikanische Unternehmen Gigamon. Inzwischen gibt es deutlich mehr Akteure auf diesem Markt (unter anderem findet man ähnliche Lösungen beim bekannten Hersteller von Testlösungen – der Firma IXIA), doch nur ein enger Kreis von Fachleuten weiß noch von der Existenz solcher Geräte. Wie bereits erwähnt, gibt es auch bei der Terminologie keine eindeutige Klarheit: Die Bezeichnungen variieren von „Netzwerktransparenzsystem“ bis hin zu einfachen „Broker“.

Bei der Entwicklung von Netzwerkpaketbrokern haben wir festgestellt, dass es neben der Analyse der Entwicklungsmöglichkeiten und Tests in Laboren/Testbereichen notwendig ist, potenziellen Kunden parallel zu erklären, dass es diese Geräteklasse gibt, da nicht jeder darüber Bescheid weiß.

Vor 15-20 Jahren gab es im Netzwerk wenig Traffic, und es handelte sich hauptsächlich um unbedeutende Daten. Doch das Nielsen-Gesetz wiederholt praktisch das Moore-Gesetz: Die Geschwindigkeit der Internetverbindung erhöht sich jährlich um 50 %. Auch das Datenvolumen wächst stetig (auf dem Diagramm ist die Prognose von 2017 vom Unternehmen Cisco dargestellt, Quelle: Cisco Visual Networking Index: Forecast and Trends, 2017–2022):

Mit der Geschwindigkeit wächst auch die Bedeutung der zirkulierenden Informationen (sowohl Geschäftsgeheimnisse als auch die berüchtigten personenbezogenen Daten) und insgesamt die Leistungsfähigkeit der Infrastruktur.

Entsprechend entstand auch eine Branche für Informationssicherheit. Die Industrie reagierte darauf mit der Einführung einer ganzen Reihe von Deep Packet Inspection (DPI)-Geräten: von Systemen zur Verhinderung von DDOS-Angriffen bis hin zu Systemen zur Verwaltung von Informationssicherheitsereignissen, darunter IDS, IPS, DLP, NBA, SIEM, Antimailware und so weiter. Üblicherweise ist jedes dieser Werkzeuge eine Software, die auf einer Serverplattform installiert wird. Dabei wird jedes Programm (Analysewerkzeug) auf seiner eigenen Serverplattform installiert: die Softwarehersteller sind unterschiedlich, und für die Analyse auf L7 sind viele Rechenressourcen erforderlich.

Beim Aufbau eines Informationssicherheitssystems müssen mehrere grundlegende Aufgaben gelöst werden:

• Wie kann der Datenverkehr von der Infrastruktur zu den Analysetools übertragen werden? (Die ursprünglich für diesen Zweck entwickelten SPAN-Ports sind in modernen Infrastrukturen weder in Anzahl noch in Leistung ausreichend.)
• Wie kann der Datenverkehr zwischen verschiedenen Analysetools verteilt werden?
• Wie können die Systeme skaliert werden, wenn die Leistung eines einzelnen Analysegeräts nicht ausreicht, um das gesamte Volumen des ankommenden Datenverkehrs zu bearbeiten?
• Wie können 40G/100G-Schnittstellen überwacht werden (und in naher Zukunft auch 200G/400G), wenn die Analysetools derzeit nur 1G/10G/25G-Schnittstellen unterstützen?

Und die folgenden begleitenden Aufgaben:

• Wie kann der nicht zielgerichtete Datenverkehr, der nicht bearbeitet werden muss, aber dennoch in die Analysetools gelangt und ihre Ressourcen verbraucht, minimiert werden?
• Wie können verkapselte Pakete und Pakete mit Dienstmarken von Geräten verarbeitet werden, deren Vorbereitung für die Analyse entweder ressourcenintensiv oder gar nicht umsetzbar ist?
• Wie kann ein Teil des Datenverkehrs, der nicht unter die Sicherheitsrichtlinien fällt (zum Beispiel der Datenverkehr eines Vorgesetzten), von der Analyse ausgeschlossen werden?

Wie allgemein bekannt ist, erzeugt Nachfrage Angebot, und als Reaktion auf diese Bedürfnisse begannen Netzwerkschnittstellen-Broker zu entstehen.

Allgemeine Beschreibung von Netzwerkschnittstellen-Brokern

Netzwerkpaketbroker arbeiten auf Paketebene und ähneln damit herkömmlichen Switches. Der Hauptunterschied zu Switches besteht darin, dass die Regeln für die Verteilung und Aggregation des Verkehrs in Netzwerkpaketbrokern vollständig durch Einstellungen definiert werden. In Netzwerkpaketbrokern gibt es keine Standards für die Erstellung von Weiterleitungstabellen (MAC-Tabellen) und Austauschprotokollen mit anderen Switches (wie STP), wodurch der Bereich der möglichen Einstellungen und der verständlichen Felder viel breiter ist. Ein Broker kann den Verkehr gleichmäßig von einem oder mehreren Eingangsports auf einen bestimmten Bereich von Ausgangsports verteilen, mit der Funktion einer gleichmäßigen Auslastung am Ausgang. Es können Regeln für Kopieren, Filtern, Klassifizieren, Deduplizieren und Modifizieren von Verkehr festgelegt werden. Diese Regeln können auf verschiedene Gruppen von Eingangsports des Netzwerkpaketbrokers angewendet werden und auch nacheinander innerhalb des Geräts umgesetzt werden. Ein wichtiges Merkmal eines Paketbrokers ist die Fähigkeit, Verkehr mit voller Flussgeschwindigkeit zu verarbeiten und die Integrität von Sitzungen zu bewahren (im Falle der Lastverteilung auf mehrere identische DPI-Systeme).

Die Bewahrung der Integrität von Sitzungen besteht darin, dass alle Pakete einer Transportsitzung (TCP/UDP/SCTP) über einen Port übertragen werden. Dies ist wichtig, da DPI-Systeme (gewöhnlich Software, die auf einem mit dem Ausgangsport des Paketbrokers verbundenen Server läuft) den Inhalt des Verkehrs auf Anwendungsebene analysieren, und alle Pakete, die von einer Anwendung gesendet bzw. empfangen werden, müssen an dieselbe Instanz des Analysators geleitet werden. Wenn Pakete einer Sitzung verloren gehen oder zwischen verschiedenen DPI-Geräten verteilt werden, befindet sich jedes einzelne DPI-Gerät in einer Situation, die dem Lesen eines unzusammenhängenden Textes ähnelt, bei dem man nur einzelne Wörter daraus zieht. Und höchstwahrscheinlich wird der Text nicht verstanden.

Daher haben, orientiert an Informationssicherheitssystemen, Netzwerkpaketbroker Funktionen, die helfen, DPI-Softwarelösungen an Hochgeschwindigkeits-Telekommunikationsnetze anzuschließen und die Last auf ihnen zu reduzieren: sie führen eine Vorfilterung, Klassifizierung und Vorbereitung des Verkehrs durch, um die nachfolgende Verarbeitung zu vereinfachen.

Darüber hinaus, da Netzpaketbroker eine breite Palette von Statistiken bereitstellen und häufig mit verschiedenen Punkten im Netzwerk verbunden sind, finden sie auch bei der Diagnose von Problemen mit der Netzwerk-Infrastruktur ihren Platz.

Basisfunktionen von Netzpaketbrokern

Der Begriff «spezialisierte/Monitoring-Switches» stammt von ihrer grundlegenden Aufgabe: den Datenverkehr aus der Infrastruktur zu sammeln (meist durch passive optische Abzweigstellen TAP und/oder SPAN-Ports) und diesen zwischen Analysewerkzeugen zu verteilen. Der Datenverkehr zwischen unterschiedlichen Systemen wird gespiegelt (dupliziert), zwischen ähnlichen hingegen balanciert. Zu den Basisfunktionen gehören in der Regel die Filterung nach Feldern bis L4 (MAC, IP, TCP/UDP-Port usw.) und die Aggregation mehrerer schwach ausgelasteter Kanäle zu einem einzigen (zum Beispiel zur Verarbeitung auf einem DPI-System).

Diese Funktionalität löst die grundlegende Aufgabe — die Anbindung von DPI-Systemen an die Netzwerk-Infrastruktur. Broker der verschiedenen Hersteller, die auf grundlegende Funktionalität beschränkt sind, ermöglichen die Verarbeitung von bis zu 32 100G-Schnittstellen auf 1U (mehr Schnittstellen passen physisch nicht auf die Frontplatte von 1U). Sie ermöglichen jedoch nicht die Reduzierung der Last auf die Analysewerkzeuge und können für komplexe Infrastrukturen nicht einmal die Anforderungen an die grundlegende Funktion erfüllen: eine auf mehrere Tunnel verteilte Sitzung (oder mit MPLS-Labels versorgte) kann auf verschiedene Instanzen des Analysators unbalanciert werden und insgesamt aus der Analyse herausfallen.

Neben der Hinzufügung von 40/100G-Schnittstellen und damit einer Leistungssteigerung entwickeln sich Netzpaketbroker aktiv weiter, um grundlegend neue Möglichkeiten zu bieten: von der Lastverteilung nach verschachtelten Tunnel-Headern bis zur Entschlüsselung von Datenverkehr. Leider können solche Modelle nicht mit einer Leistung im Terabit-Bereich aufwarten, ermöglichen jedoch den Aufbau eines wirklich qualitativ hochwertigen und technisch 'schönen' Informationssicherheitssystems, in dem jedes Analysewerkzeug garantiert nur die für seine Analyse erforderlichen Informationen in der am besten geeigneten Form erhält.

Erweiterte Funktionen von Netzpaketbrokern

1. Wie oben erwähnt die Lastverteilung nach verschachtelten Headern im tunnelierten Datenverkehr.

Warum ist das wichtig? Betrachten wir 3 Aspekte, die zusammen oder einzeln kritisch sein können:

• Gewährleistung der Gleichmäßigkeit des Lastenausgleichs bei einer geringen Anzahl von Tunneln. Wenn im Punkt der Anbindung von Sicherheitssystemen nur 2 Tunnel vorhanden sind, wird es nicht möglich sein, sie gleichmäßig über 3 Serverplattformen anhand von externen Headern zu verteilen, ohne die Sitzung zu verlieren. Dabei wird der Datenverkehr im Netzwerk ungleich verteilt, und die Ausrichtung jedes Tunnels auf ein einzelnes Verarbeitungssystem erfordert überschüssige Leistung des letzteren;
• Gewährleistung der Integrität von Sitzungen und Strömen von Multisession-Protokollen (z.B. FTP und VoIP), deren Pakete sich in verschiedenen Tunneln befinden. Die Komplexität der Netzwerkinfrastruktur nimmt ständig zu: Redundanz, Virtualisierung, Vereinfachung der Verwaltung usw. Einerseits erhöht dies die Zuverlässigkeit der Datenübertragung, andererseits erschwert es die Arbeit von Sicherheitssystemen. Selbst bei ausreichender Leistung der Analysegeräte zur Verarbeitung eines dedizierten Kanals mit Tunneln bleibt das Problem ungelöst, da ein Teil der Pakete einer Benutzersitzung über einen anderen Kanal übertragen wird. Während in einigen Infrastrukturen noch auf die Integrität der Sitzungen geachtet wird, können sich Multisession-Protokolle auf ganz unterschiedliche Weise verhalten;
• Lastenausgleich bei Vorhandensein von MPLS, VLAN, individuellen Gerätekennungen usw. Es sind zwar keine echten Tunnel, aber dennoch kann die Grundausstattung diesen Datenverkehr nicht als IP erkennen und nach MAC-Adressen ausbalancieren, was erneut die Gleichmäßigkeit des Lastenausgleichs oder die Integrität der Sitzungen beeinträchtigen kann.

Der Broker für Netzwerkpakete analysiert die externen Header und durchläuft der Reihe nach die Zeiger bis zum innersten IP-Header und balanciert dann bereits nach diesem. Infolgedessen gibt es wesentlich mehr Ströme (somit kann gleichmäßiger auf eine größere Anzahl von Plattformen verteilt werden), und das DPI-System erhält alle Pakete der Sitzung und alle zugehörigen Sitzungen von Multisession-Protokollen.

2. Modifikation des Datenverkehrs.
Eine der vielseitigsten Funktionen, die Anzahl der Unterfunktionen und Anwendungsvarianten ist zahlreich:

• Entfernung von Payload, in diesem Fall werden nur die Header der Pakete an das Analysewerkzeug übermittelt. Dies ist relevant für Analysewerkzeuge oder für Verkehrstypen, bei denen der Inhalt von Paketen entweder keine Rolle spielt oder nicht analysierbar ist. Beispielsweise können bei verschlüsseltem Verkehr die parametrischen Austauschdaten (wer, mit wem, wann und wie viel) von Interesse sein, während die Payload faktisch Müll darstellt, der den Kanal und die Rechenressourcen des Analysators belastet. Es sind Variationen möglich, bei denen die Payload ab einem bestimmten Offset abgeschnitten wird – dies bietet den Analysewerkzeugen zusätzlichen Spielraum;
• Detunneling, nämlich die Entfernung von Headern, die Tunnel kennzeichnen und identifizieren. Ziel ist es, die Belastung für die Analysewerkzeuge zu verringern und deren Effizienz zu steigern. Detunneling kann basierend auf einem festen Offset oder mit einer dynamischen Analyse der Header und einer Bestimmung des Offsets für jedes Paket durchgeführt werden;
• Entfernung von Teilen der Header der Pakete: MPLS-Labels, VLAN, spezifische Felder von Drittanbieter-Hardware;
• Maskierung von Teilen der Header, beispielsweise die Maskierung von IP-Adressen zur Sicherstellung der Anonymisierung des Verkehrs;
• Hinzufügen von Verwaltungsinformationen zu den Paketen: Zeitstempel, Eingangsport, Verkehrs-Class-Labels usw.

3. Deduplication – Bereinigung von wiederkehrenden Paketen des Verkehrs, der an die Analysewerkzeuge übermittelt wird. Wiederkehrende Pakete entstehen häufig aufgrund der Verbindungseigenschaften zur Infrastruktur – der Verkehr kann durch mehrere Analysepunkte geleitet werden und von jedem von ihnen gespiegelt werden. Auch die erneute Übermittlung von nicht zugestellten TCP-Paketen kommt vor, aber wenn davon viele vorhanden sind, sind das eher Fragen zur Überwachung der Netzwerkqualität und nicht zur Informationssicherheit.

4. Erweiterte Filterfunktionen – von der Suche nach bestimmten Werten anhand eines festen Offsets bis hin zu signaturbasierter Analyse des gesamten Pakets.

5. Generierung von NetFlow/IPFIX – Erfassung einer breiten Palette von Statistiken zum durchlaufenden Verkehr und deren Übermittlung an die Analysewerkzeuge.

6. Entschlüsselung von SSL-Verkehr, funktioniert unter der Voraussetzung, dass das Zertifikat und die Schlüssel im Netzwerkpaketbroker zuvor geladen werden. Dennoch ermöglicht dies eine erhebliche Entlastung der Analysewerkzeuge.

Es gibt noch viele weitere Funktionen, die nützlich und marketingorientiert sind, aber die Hauptfunktionen sind wohl aufgelistet.

Die Entwicklung von Erkennungssystemen (Einbrüche, DDOS-Angriffe) in ihre Verhinderungssysteme sowie die Implementierung aktiver DPI-Mittel erforderte eine Änderung des Einschlusschemas von passiv (über TAP oder SPAN-Ports) auf aktiv („in der Unterbrechung“). Diese Umstände erhöhten die Anforderungen an die Zuverlässigkeit (da ein Ausfall in diesem Fall zu einem Ausfall des gesamten Netzwerks und nicht nur zum Verlust der Kontrolle über die Informationssicherheit führt) und führten zum Austausch von optischen Abzweigern gegen optische Bypass (um das Problem der Abhängigkeit der Netzwerkverfügbarkeit von der Verfügbarkeit der Informationssicherheitssysteme zu lösen), aber die grundlegenden Funktionen und Anforderungen blieben unverändert.

Wir haben die DS Integrity Netzwerkpaketbroker mit 100G, 40G und 10G Schnittstellen von der Konstruktion und Schaltungstechnik bis zur integrierten Software entwickelt. Im Gegensatz zu anderen Paketbrokern werden jedoch unsere Modifikations- und Lastverteilungsfunktionen für die verschachtelten Tunnelheader hardwareseitig und mit voller Portgeschwindigkeit umgesetzt.

Quelle: habr.com