La sicurezza informatica si è staccata dalle telecomunicazioni per diventare un settore autonomo con la propria specificità e attrezzature. Tuttavia, esiste una classe poco conosciuta di dispositivi che si trova all'incrocio tra telecomunicazioni e sicurezza informatica – broker di pacchetti di rete (Network Packet Broker), noti anche come bilanciatori di carico, switch specializzati/di monitoraggio, aggregatori di traffico, Security Delivery Platform, Network Visibility e così via. E noi, come sviluppatori e produttori russi di questi dispositivi, siamo molto desiderosi di parlarne più nel dettaglio.
Ambito di applicazione e problemi risolti
I broker di pacchetti di rete sono dispositivi specializzati che hanno trovato maggiore applicazione nei sistemi di sicurezza informatica. Questa classe di dispositivi è relativamente nuova e poco numerosa nell'infrastruttura di rete standard rispetto a switch, router, ecc. Pioniere nello sviluppo di questo tipo di dispositivi è stata l'azienda americana Gigamon. Attualmente, il numero di attori in questo mercato è notevolmente aumentato (inclusi soluzioni simili da parte del noto produttore di sistemi di test — l'azienda IXIA), ma l'esistenza di tali dispositivi è ancora conosciuta solo a un ristretto gruppo di professionisti. Come già accennato, non esiste nemmeno una certezza terminologica: le denominazioni variano da "sistemi di garanzia della trasparenza della rete" a semplici "bilanciatori".
Sviluppando i broker di pacchetti di rete, ci siamo trovati di fronte al fatto che, oltre all'analisi delle direzioni di sviluppo delle funzionalità e ai test nei laboratori/zone di test, era necessario spiegare parallelamente ai potenziali consumatori l'esistenza di questa classe di attrezzature, poiché non tutti ne sono al corrente.
Ancora 15-20 anni fa, il traffico in rete era scarso e si trattava prevalentemente di dati di poco valore. Ma replica praticamente : la velocità della connessione Internet aumenta ogni anno del 50%. Anche il volume del traffico cresce inesorabilmente (nel grafico è presentata la previsione del 2017 da parte di Cisco, fonte Cisco Visual Networking Index: Forecast and Trends, 2017–2022):
Con l'aumento della velocità cresce l'importanza delle informazioni circolanti (sia segreti commerciali che i famosi dati personali) e, in generale, l'efficienza dell'infrastruttura.
Di conseguenza, è emersa anche l'industria della sicurezza informatica. L'industria ha risposto a questo con l'emergere di un intero spettro di dispositivi per l'analisi approfondita del traffico (DPI): dai sistemi di prevenzione degli attacchi DDOS ai sistemi di gestione degli eventi di sicurezza informatica, inclusi IDS, IPS, DLP, NBA, SIEM, Antimailware e così via. Di solito, ciascuno di questi strumenti è un software installato su una piattaforma server. Inoltre, ogni programma (strumento di analisi) viene installato su una propria piattaforma server: i produttori di software sono diversi e ci sono molte risorse di calcolo necessarie per l'analisi a livello L7.
Nella costruzione di un sistema di sicurezza informatica è necessario risolvere una serie di compiti fondamentali:
- come trasmettere il traffico dall'infrastruttura ai sistemi di analisi? (i porti SPAN, inizialmente progettati per questo scopo, non sono sufficienti né in numero né in prestazioni nell'infrastruttura moderna)
- come distribuire il traffico tra i vari sistemi di analisi?
- come scalarizzare i sistemi quando un'unità di analisi non ha sufficiente capacità per elaborare l'intero volume di traffico che riceve?
- come monitorare le interfacce 40G/100G (e in un prossimo futuro anche 200G/400G), dato che gli strumenti di analisi attualmente supportano solo interfacce 1G/10G/25G?
E le seguenti attività correlate:
- come minimizzare il traffico non mirato, che non necessita di elaborazione, ma che si trova sugli strumenti di analisi e ne consuma le risorse?
- come gestire i pacchetti incapsulati e i pacchetti con etichette di servizio, la preparazione dei quali per l'analisi risulta sia dispendiosa in termini di risorse che impraticabile del tutto?
- come escludere dall'analisi una parte del traffico che non rientra nella regolamentazione della politica di sicurezza (ad esempio, il traffico del dirigente).
Come è noto, la domanda genera offerta, in risposta a queste necessità sono iniziati a svilupparsi i broker di pacchetti di rete.
Descrizione generale dei broker di pacchetti di rete
I broker di pacchetti di rete operano a livello di pacchetti e in questo assomigliano a normali switch. La principale differenza rispetto agli switch è che le regole di distribuzione e aggregazione del traffico nei broker di pacchetti di rete sono completamente determinate dalle impostazioni. Nei broker di pacchetti di rete non esistono standard per la costruzione delle tabelle di inoltro (tabelle MAC) e protocolli di scambio con altri switch (come STP), pertanto l'ampiezza delle impostazioni possibili e dei campi riconoscibili è molto più ampia. Un broker può distribuire equamente il traffico da una o più porte di ingresso a un determinato intervallo di porte di uscita con funzione di bilanciamento del carico in uscita. È possibile definire regole per la copia, filtraggio, classificazione, deduplicazione e modifica del traffico. Queste regole possono essere applicate a diversi gruppi di porte di ingresso del broker di pacchetti di rete e possono anche essere applicate sequenzialmente all'interno dello stesso dispositivo. Un aspetto importante del broker di pacchetti è la possibilità di elaborare il traffico alla massima velocità di flusso e mantenere l'integrità delle sessioni (in caso di bilanciamento del traffico su più sistemi DPI simili).
Il mantenimento dell'integrità delle sessioni consiste nella trasmissione di tutti i pacchetti della sessione a livello di trasporto (TCP/UDP/SCTP) a una sola porta. Questo è importante, poiché i sistemi DPI (di solito software in esecuzione su un server collegato alla porta di uscita del broker di pacchetti) analizzano il contenuto del traffico a livello di applicazione e tutti i pacchetti inviati/ricevuti da una stessa applicazione devono arrivare allo stesso istanza di analizzatore. Se i pacchetti di una sessione vengono persi o distribuiti su diversi dispositivi DPI, ogni singolo dispositivo DPI si troverà in una situazione simile alla lettura di un testo non completo, ma di singole parole da esso. E, molto probabilmente, il testo non verrà compreso.
Pertanto, essendo orientati ai sistemi di sicurezza informatica, i broker di pacchetti di rete dispongono di funzionalità che aiutano a collegare complessi software DPI ad reti di telecomunicazioni ad alta velocità, riducendo il carico su di esse: effettuano filtraggio preliminare, classificazione e preparazione del traffico per semplificare l'elaborazione successiva.
Inoltre, poiché i broker di pacchetti di rete forniscono un'ampia gamma di statistiche e sono spesso connessi a diversi punti della rete, trovano un loro posto anche nella diagnosi dei problemi di funzionalità dell'infrastruttura di rete stessa.
Funzioni di base dei broker di pacchetti di rete
Il termine "commutatori specializzati/di monitoraggio" è nato dalla loro funzione fondamentale: raccogliere traffico dall'infrastruttura (di solito attraverso splitter ottici passivi TAP e/o porte SPAN) e distribuirlo tra le risorse di analisi. Tra sistemi di diversi tipi, il traffico viene mirrorato (duplicato); tra sistemi dello stesso tipo, viene bilanciato. Le funzioni di base di solito includono la filtrazione per campi fino a L4 (MAC, IP, porta TCP/UDP, ecc.) e l'aggregazione di più canali a bassa capacità in uno solo (ad esempio, per l'elaborazione su un unico sistema DPI).
Questa funzionalità risolve il compito fondamentale di connessione dei sistemi DPI all'infrastruttura di rete. I broker di diversi produttori, limitandosi a funzioni di base, supportano il trattamento di fino a 32 interfacce 100G su 1U (non ci sono più interfacce fisicamente disponibili sul pannello frontale di 1U). Tuttavia, non riescono a ridurre il carico sulle risorse di analisi e per infrastrutture complesse non possono neppure soddisfare i requisiti per la funzione di base: una sessione distribuita su più tunnel (o dotata di etichette MPLS) può essere squilibrata su diversi esemplari dell'analizzatore, risultando in un'analisi incompleta.
Oltre all'aggiunta di interfacce 40/100G e, di conseguenza, all'aumento delle prestazioni, i broker di pacchetti di rete si stanno sviluppando attivamente per fornire opportunità completamente nuove: dalla bilanciatura in base alle intestazioni annidate nei tunnel fino alla decrittazione del traffico. Sfortunatamente, tali modelli non possono vantare prestazioni in terabit, ma consentono di costruire un sistema di sicurezza informatica realmente efficace e tecnicamente "elegante", in cui ogni risorsa di analisi riceve solo le informazioni necessarie nel formato più adatto per l'analisi.
Funzioni avanzate dei broker di pacchetti di rete
1. Come già accennato bilanciamento in base alle intestazioni annidate nel traffico incapsulato.
Perché è importante? Consideriamo 3 aspetti che possono essere critici insieme o separatamente:
- garantire l'uniformità del bilanciamento in presenza di un numero ridotto di tunnel. Nel caso in cui nel punto di connessione dei sistemi di sicurezza informatica ci siano solo 2 tunnel, non sarà possibile smistarli su 3 piattaforme server con la sessione mantenuta. In questo caso, il traffico nella rete viene trasferito in modo non uniforme, e la direzione di ciascun tunnel verso uno specifico mezzo di elaborazione richiederà prestazioni eccessive da parte di quest'ultimo;
- garantire l'integrità delle sessioni e dei flussi di protocolli multisessioni (come FTP e VoIP), i cui pacchetti si trovano in tunnel diversi. La complessità dell'infrastruttura di rete aumenta costantemente: il failover, la virtualizzazione, la semplificazione dell'amministrazione e così via. Da un lato, questo aumenta l'affidabilità dal punto di vista della trasmissione dei dati, dall'altro complica il lavoro dei sistemi di sicurezza informatica. Anche con prestazioni sufficienti degli analizzatori per elaborare un canale dedicato con tunnel, il problema risulta irrisolvibile, in quanto parte dei pacchetti della sessione utente viene trasmessa attraverso un altro canale. Inoltre, se in alcune infrastrutture ci si preoccupa ancora dell'integrità delle sessioni, i protocolli multisessioni possono seguire percorsi completamente diversi;
- bilanciamento in presenza di MPLS, VLAN, etichette individuali per l'hardware, ecc. Non sono proprio tunnel, ma comunque l'hardware con funzionalità di base può interpretare questo traffico non come IP e bilanciare in base agli indirizzi MAC, compromettendo ulteriormente l'uniformità del bilanciamento o l'integrità delle sessioni.
Il broker dei pacchetti di rete analizza le intestazioni esterne e attraversa sequenzialmente i puntatori fino all'intestazione IP più interna e bilancia già su di essa. Di conseguenza, il numero di flussi aumenta in modo sostanziale (di conseguenza è possibile bilanciare in modo più uniforme e su un numero maggiore di piattaforme), e il sistema DPI riceve tutti i pacchetti della sessione e tutte le sessioni correlate di protocolli multisessioni.
2. Modifica del traffico.
Una delle funzioni più ampie per le sue possibilità, il numero di sottofunzioni e varianti di applicazione è vasto:
- rimozione del payload, in tal caso vengono trasmessi solo gli header dei pacchetti agli strumenti di analisi. Questo è rilevante per gli strumenti di analisi o per i tipi di traffico in cui il contenuto dei pacchetti non ha importanza, o non può essere analizzato. Ad esempio, per il traffico criptato, possono essere interessanti i dati parametrici di scambio (chi, con chi, quando e quanto), mentre il payload è di fatto spazzatura che occupa la banda e le risorse computazionali dell'analizzatore. Sono possibili variazioni in cui il payload viene troncato a partire da uno spostamento prestabilito - questo offre ulteriori opportunità agli strumenti di analisi;
- de-tunneling, vale a dire rimozione degli header che contrassegnano e identificano i tunnel. L'obiettivo è ridurre il carico sugli strumenti di analisi e migliorarne l'efficacia. Il de-tunneling può essere effettuato sulla base di uno spostamento fisso o attraverso un'analisi dinamica degli header e la determinazione dello spostamento per ogni pacchetto;
- rimozione di parte degli header dei pacchetti: etichette MPLS, VLAN, campi specifici di attrezzature di terze parti;
- mascheramento di parte degli header, ad esempio, mascheramento degli indirizzi IP per garantire l'anonimato del traffico;
- aggiunta di informazioni manutenibili nel pacchetto: timestamp, porta di ingresso, etichette della classe di traffico, ecc.
3. Deduplicazione – pulizia da pacchetti ripetuti del traffico trasmesso agli strumenti di analisi. I pacchetti ripetuti si verificano più frequentemente a causa delle peculiarità della connessione all'infrastruttura: il traffico può passare attraverso più punti di analisi e venire duplicato da ciascuno di essi. Si verifica anche il reinvio di pacchetti TCP non ricevuti, ma se sono molti, è più una questione di monitoraggio della qualità della rete, piuttosto che di sicurezza informatica.
4. Funzionalità avanzate di filtraggio – dalla ricerca di valori specifici a uno spostamento prestabilito all'analisi per firme su tutto il pacchetto.
5. Generazione NetFlow/IPFIX – raccolta di un ampio insieme di statistiche sul traffico in transito e sua trasmissione agli strumenti di analisi.
6. Decrittazione del traffico SSL, funziona a condizione che il certificato e le chiavi siano stati preventivamente caricati nel broker dei pacchetti di rete. Tuttavia, ciò consente di alleggerire significativamente gli strumenti di analisi.
Ci sono ancora molte funzioni utili e di marketing, ma le principali, probabilmente, sono state elencate.
Lo sviluppo dei sistemi di rilevamento (intrusione, attacchi DDOS) nei sistemi di prevenzione, così come l'implementazione di strumenti attivi DPI, ha richiesto una modifica dello schema di integrazione da passivo (tramite porte TAP o SPAN) ad attivo ("in rottura"). Questa circostanza ha aumentato i requisiti di affidabilità (poiché un guasto in questo caso porta a un'interruzione del funzionamento dell'intera rete, e non solo alla perdita di controllo sulla sicurezza delle informazioni) e ha portato alla sostituzione dei divisori ottici con bypass ottici (per risolvere il problema della dipendenza dal funzionamento della rete rispetto ai sistemi di sicurezza informatica), ma la funzionalità principale e le relative esigenze sono rimaste invariate.
Abbiamo sviluppato i Broker di pacchetti di rete DS Integrity con interfacce 100G, 40G e 10G, dalla progettazione e circuiteria al software incorporato. Inoltre, a differenza di altri broker di pacchetti, le funzioni di modifica e bilanciamento delle intestazioni incapsulate nei tunnel sono implementate in hardware, a piena velocità delle porte.
Fonte: habr.com
