La sicurezza informatica si è distaccata dalle telecomunicazioni per diventare un settore autonomo con le proprie peculiarità e attrezzature. Esiste tuttavia una classe di dispositivi poco conosciuti che si trova all'incrocio tra telecomunicazioni e sicurezza informatica — broker di pacchetti di rete (Network Packet Broker), noti anche come bilanciatori di carico, commutatori specialistici/di monitoraggio, aggregatori di traffico, Security Delivery Platform, Network Visibility e altro ancora. Come sviluppatori e produttori russi di questi dispositivi, desideriamo raccontarvi di più al riguardo.
Campo di applicazione e problemi risolti
I broker di pacchetti di rete sono dispositivi specializzati che hanno trovato la loro maggiore applicazione nei sistemi di sicurezza informatica. Questa classe di dispositivi è relativamente nuova e poco numerosa nell'infrastruttura di rete consolidata, rispetto a switch, router, ecc. Pioniere nello sviluppo di questo tipo di dispositivi è stata l'azienda americana Gigamon. Attualmente, ci sono molti più attori in questo mercato (incluso simili soluzioni da parte del noto produttore di piattaforme di test — la società IXIA), ma l'esistenza di tali dispositivi è ancora conosciuta solo da un ristretto gruppo di professionisti. Come accennato in precedenza, anche la terminologia non è univoca: i nomi variano da "sistemi di trasparenza della rete" a semplici "bilanciatori".
Sviluppando i broker di pacchetti di rete, ci siamo resi conto che, oltre ad analizzare le direzioni di sviluppo delle funzionalità e a testarle in laboratorio/zone di prova, è necessario parallelamente spiegare ai potenziali clienti l'esistenza di questa classe di attrezzature, poiché non tutti ne sono a conoscenza.
Circa 15-20 anni fa, la circolazione di dati sulla rete era limitata, e si trattava prevalentemente di informazioni di poco conto. Ma ripete praticamente : la velocità della connessione internet aumenta ogni anno del 50%. Anche il volume di traffico cresce inesorabilmente (nel grafico è rappresentata la previsione del 2017 della Cisco, fonte Cisco Visual Networking Index: Forecast and Trends, 2017–2022):
Con la velocità cresce anche l'importanza delle informazioni circolanti (sia segreti commerciali che i famigerati dati personali) e, in generale, la funzionalità dell'infrastruttura.
Di conseguenza, è emerso anche un settore della sicurezza informatica. L'industria ha risposto con un'intera gamma di dispositivi per l'analisi approfondita del traffico (DPI): dai sistemi di prevenzione degli attacchi DDoS ai sistemi di gestione degli eventi di sicurezza informatica, inclusi IDS, IPS, DLP, NBA, SIEM, Antimalware e così via. Di solito, ciascuno di questi strumenti è un software installato su una piattaforma server. Inoltre, ogni programma (strumento di analisi) viene installato sulla propria piattaforma server: i produttori di software sono diversi e richiedono molte risorse computazionali per l'analisi a livello L7.
Nella costruzione di un sistema di sicurezza informatica è necessario affrontare una serie di compiti fondamentali:
- come trasmettere il traffico dall'infrastruttura ai sistemi di analisi? (i porti SPAN originariamente progettati non sono sufficienti né in quantità né in prestazioni per l'infrastruttura moderna)
- come distribuire il traffico tra i vari sistemi di analisi?
- Come scalare i sistemi quando le prestazioni di un'istanza di analizzatore sono insufficienti per gestire l'intero volume di traffico che riceve?
- Come monitorare le interfacce 40G/100G (e in un futuro non lontano anche 200G/400G), poiché gli strumenti di analisi attualmente supportano solo interfacce 1G/10G/25G?
E le seguenti problematiche correlate:
- Come minimizzare il traffico non target che non necessita di elaborazione, ma che arriva agli strumenti di analisi e consuma le loro risorse?
- Come gestire i pacchetti incapsulati e i pacchetti con etichette di servizio del dispositivo, la cui preparazione per l'analisi si rivela essere onerosa o addirittura irrealizzabile?
- Come escludere dall'analisi una parte del traffico che non rientra nei criteri della politica di sicurezza (ad esempio, il traffico del manager).
Come è noto, la domanda genera offerta, e in risposta a queste esigenze hanno cominciato a svilupparsi i broker di pacchetti di rete.
Descrizione generale dei broker di pacchetti di rete
I broker di pacchetti di rete operano a livello di pacchetti e, in questo, sono simili agli switch comuni. La principale differenza rispetto agli switch è che le regole di distribuzione e aggregazione del traffico nei broker di pacchetti di rete sono completamente determinate dalle impostazioni. Nei broker di pacchetti di rete non ci sono standard per la costruzione delle tabelle di inoltro (MAC-tabelle) e protocolli di scambio con altri switch (come STP), pertanto l'ampiezza delle possibili impostazioni e dei campi riconoscibili è molto più ampia. Un broker può distribuire uniformemente il traffico da una o più porte di ingresso a un dato intervallo di porte di uscita, con una funzione di bilanciamento del carico in uscita. Possono essere impostate regole per la copia, filtraggio, classificazione, deduplicazione e modifica del traffico. Queste regole possono essere applicate a diversi gruppi di porte di ingresso del broker di pacchetti di rete e applicate consecutivamente all'interno dello stesso dispositivo. Un importante vantaggio del broker di pacchetti è la possibilità di elaborare il traffico a tutta velocità e mantenere l'integrità delle sessioni (in caso di bilanciamento del traffico su più sistemi DPI omogenei).
Il mantenimento dell'integrità delle sessioni consiste nel trasferire tutti i pacchetti di sessione del livello di trasporto (TCP/UDP/SCTP) su una sola porta. Questo è fondamentale, poiché i sistemi DPI (solitamente software installato su un server connesso alla porta di uscita del broker di pacchetti) analizzano il contenuto del traffico a livello applicativo, e tutti i pacchetti inviati/ricevuti da un'applicazione devono arrivare allo stesso istanza dell'analizzatore. Se i pacchetti di una sessione vengono persi o distribuiti tra vari dispositivi DPI, ogni singolo dispositivo DPI si troverà in una situazione simile a quella di leggere un testo non coerente, estraendo solo parole isolate. E, molto probabilmente, il testo non sarà comprensibile.
Pertanto, orientati verso sistemi di sicurezza informatica, i broker di pacchetti di rete dispongono di funzionalità per connettere complessi DPI a reti di telecomunicazioni ad alta velocità e ridurre il carico su di essi: eseguono filtraggio preliminare, classificazione e preparazione del traffico per semplificare l'elaborazione successiva.
Inoltre, poiché i broker di pacchetti di rete forniscono un'ampia gamma di statistiche e sono spesso collegati a vari punti della rete, anche nella diagnostica dei problemi di funzionamento dell'infrastruttura di rete trovano il loro posto.
Funzioni di base dei broker di pacchetti di rete
Il nome «switch specializzati/monitoraggio» deriva dalla funzione di base: raccogliere il traffico dall'infrastruttura (solitamente tramite diramazioni ottiche passive TAP e/o porte SPAN) e distribuirlo tra gli strumenti di analisi. Tra sistemi di diverso tipo, il traffico viene specchiato (duplicato), mentre tra sistemi dello stesso tipo viene bilanciato. Le funzioni di base includono tipicamente la filtrazione per campi fino a L4 (MAC, IP, porta TCP/UDP, ecc.) e l'aggregazione di più canali poco caricati in uno solo (ad esempio, per elaborare su un sistema DPI).
Questa funzionalità fornisce una soluzione a una necessità fondamentale: la connessione dei sistemi DPI all'infrastruttura di rete. I broker di vari produttori, che si limitano a funzionalità di base, gestiscono fino a 32 interfacce 100G su 1U (non ci sono fisicamente più interfacce da collocare sul pannello frontale di 1U). Tuttavia, non permettono di ridurre il carico sugli strumenti di analisi e, per infrastrutture complesse, non riescono nemmeno a soddisfare i requisiti per la funzionalità di base: una sessione distribuita su più tunnel (o dotata di etichette MPLS) può essere sbilanciata su diverse istanze dell'analizzatore e complessivamente fuori dal processo di analisi.
Oltre all'aggiunta di interfacce 40/100G e, di conseguenza, all'aumento delle prestazioni, i broker di pacchetti di rete si stanno evolvendo attivamente per offrire nuove funzionalità: dal bilanciamento in base agli header annidati nei tunnel alla decrittazione del traffico. Sfortunatamente, tali modelli non possono vantare prestazioni in terabit, ma consentono di costruire un sistema di sicurezza informatica realmente di qualità e tecnicamente 'elegante', in cui ogni strumento di analisi riceve solo le informazioni necessarie nella forma più adatta per l'analisi.
Funzionalità avanzate dei broker di pacchetti di rete
1. Il bilanciamento sopra menzionato bilanciamento in base agli header annidati nel traffico tunnelizzato.
Perché è importante? Consideriamo 3 aspetti che possono essere critici insieme o singolarmente:
- garantire l'equilibrio uniforme in presenza di un numero ridotto di tunnel. Nel caso in cui ci siano solo 2 tunnel nel punto di collegamento dei sistemi di sicurezza informatica, non sarà possibile bilanciarli su 3 piattaforme server mantenendo la sessione. In questo caso, il traffico nella rete viene trasmesso in modo non uniforme e la direzione di ogni tunnel verso un singolo strumento di elaborazione richiederà prestazioni eccessive da parte di quest'ultimo;
- garanzia dell'integrità delle sessioni e dei flussi dei protocolli multisessioni (ad esempio, FTP e VoIP), i cui pacchetti si trovano in tunnel diversi. La complessità dell'infrastruttura di rete continua ad aumentare: ridondanza, virtualizzazione, semplificazione della gestione e così via. Da un lato, questo migliora l'affidabilità dal punto di vista della trasmissione dei dati, dall'altro complica il lavoro dei sistemi di sicurezza informatica. Anche con prestazioni sufficienti degli analizzatori per gestire un canale dedicato con tunnel, il problema resta irrisolvibile, poiché parte dei pacchetti della sessione utente viene trasmessa tramite un altro canale. Infatti, se in alcune infrastrutture si cerca ancora di garantire l'integrità delle sessioni, i protocolli multisessioni possono seguire percorsi completamente diversi.
- bilanciamento in presenza di MPLS, VLAN, etichette individuali dell'hardware, ecc. Non proprio tunnel, ma comunque l'hardware con funzionalità di base può interpretare questo traffico non come IP e bilanciare in base agli indirizzi MAC, compromettendo ancora una volta l'uniformità del bilanciamento o l'integrità delle sessioni.
Il broker dei pacchetti di rete analizza le intestazioni esterne e percorre sequenzialmente i puntatori fino all'intestazione IP più interna, bilanciando in base a essa. Di conseguenza, il numero di flussi aumenta significativamente (permettendo un bilanciamento più uniforme su un numero maggiore di piattaforme), e il sistema DPI riceve tutti i pacchetti della sessione e tutte le sessioni correlate dei protocolli multisessione.
2. Modifica del traffico.
Una delle funzioni più ampie nelle sue possibilità, con moltissime sottofunzioni e varianti di applicazione:
- rimozione del payload, in questo caso vengono trasmesse all'analizzatore solo le intestazioni dei pacchetti. Questo è pertinente per gli strumenti di analisi o per i tipi di traffico in cui il contenuto dei pacchetti non ha importanza o non può essere analizzato. Ad esempio, per il traffico crittografato, potrebbero essere interessanti i dati parametrici dello scambio (chi, con chi, quando e quanto), mentre il payload è praticamente spazzatura che occupa il canale e le risorse computazionali dell'analizzatore. Sono possibili varianti in cui il payload viene troncato a partire da un dato offset, offrendo ulteriori opportunità agli strumenti di analisi;
- detunneling, ovvero la rimozione di intestazioni che contrassegnano e identificano i tunnel. L'obiettivo è ridurre il carico sugli strumenti di analisi e migliorarne l'efficacia. Il detunneling può essere effettuato sulla base di uno spostamento fisso o con un'analisi dinamica delle intestazioni e la definizione dello spostamento per ogni pacchetto;
- rimozione di parte delle intestazioni dei pacchetti: etichette MPLS, VLAN, campi specifici di apparecchiature di terze parti;
- mascheramento di parte delle intestazioni, ad esempio, mascheramento degli indirizzi IP per garantire l'anonimizzazione del traffico;
- aggiunta di informazioni di servizio al pacchetto: timestamp, porta d'ingresso, etichette di classe del traffico, ecc.
3. Deduplicazione – pulizia dai pacchetti di traffico duplicati inviati agli strumenti di analisi. I pacchetti duplicati si verificano più frequentemente a causa delle peculiarità della connessione all'infrastruttura: il traffico può passare attraverso più punti di analisi e essere duplicato da ognuno di essi. Si riscontra anche il reinvio di pacchetti TCP non consegnati, ma se ce ne sono troppi, ciò solleva più che altro questioni sulla monitorizzazione della qualità della rete, piuttosto che sulla sicurezza informatica.
4. Funzioni avanzate di filtraggio – dalla ricerca di valori specifici in base a uno spostamento fornito all'analisi delle firme sull'intero pacchetto.
5. Generazione di NetFlow/IPFIX – raccolta di un ampio spettro di statistiche sul traffico in transito e la sua trasmissione a strumenti di analisi.
6. Decrittazione del traffico SSL, funziona a condizione che il certificato e le chiavi siano precedentemente caricati nel broker dei pacchetti di rete. Tuttavia, questo consente di alleggerire notevolmente gli strumenti di analisi.
Ci sono molte altre funzioni, utili e di marketing, ma le principali sono probabilmente già state elencate.
Lo sviluppo dei sistemi di rilevamento (intrusioni, attacchi DDoS) in sistemi di prevenzione, così come l’implementazione di strumenti attivi DPI, ha richiesto un cambiamento nel modo di integrazione da passivo (tramite porte TAP o SPAN) a attivo ("in interruzione"). Questa circostanza ha aumentato i requisiti di affidabilità (poiché il guasto in questo caso porta a un'interruzione dell'intera rete, non solo alla perdita del controllo sulla sicurezza informatica) e ha portato alla sostituzione dei ramificatori ottici con bypass ottici (per risolvere il problema della dipendenza del funzionamento della rete dal funzionamento dei sistemi di sicurezza informatica), ma la funzionalità principale e i requisiti per essa sono rimasti invariati.
Abbiamo sviluppato i Broker di pacchetti di rete DS Integrity con interfacce 100G, 40G e 10G, dalla progettazione e ingegneria al software integrato. A differenza di altri broker di pacchetti, le funzionalità di modifica e bilanciamento degli header annidati nei tunnel sono implementate hardware, alla massima velocità delle porte.
Fonte: habr.com
