פתרונות חדישים לבניית מערכות אבטחת מידע - ברוקרים ברשת (Network Packet Broker)

אבטחת מידע נפרדה מהטלקומוניקציה לתעשייה עצמאית עם פרטים משלה וציוד משלה. אבל יש סוג לא ידוע של מכשירים שעומד בצומת של טלקום ו-infobez - מתווכים ברשת (Network Packet Broker), הם גם מאזני עומסים, מתגים מיוחדים/ניטורים, צוברי תעבורה, פלטפורמת אספקת אבטחה, נראות ברשת וכן הלאה. ואנחנו, כמפתחים ויצרנים רוסיים של מכשירים כאלה, באמת רוצים לספר לכם עליהם יותר.

היקף ומשימות לפתרון

מתווכים של מנות רשת הם מכשירים מיוחדים שמצאו את השימוש הגדול ביותר במערכות אבטחת מידע. ככזה, מחלקת המכשירים חדשה יחסית ומעטה בתשתית רשת נפוצה בהשוואה למתגים, נתבים וכו'. החלוצה בפיתוח מכשיר מסוג זה הייתה חברת Gigamon האמריקאית. נכון להיום יש בשוק זה שחקנים משמעותית יותר (כולל פתרונות דומים של יצרנית מערכות הבדיקה הידועה - IXIA), אך רק חוג מצומצם של אנשי מקצוע עדיין יודע על קיומם של מכשירים כאלה. כפי שצוין לעיל, גם עם הטרמינולוגיה אין ודאות חד משמעית: השמות נעים בין "מערכות שקיפות רשת" ל"מאזנים" פשוטים.

תוך כדי פיתוח מתווכים מנות רשת, עמדנו בפני העובדה שבנוסף לניתוח ההנחיות לפיתוח פונקציונליות ובדיקות במעבדות / אזורי בדיקה, יש צורך בו-זמנית להסביר לצרכנים פוטנציאליים על קיומו של סוג זה של ציוד. , מאחר שלא כולם יודעים על כך.

אפילו לפני 15-20 שנה הייתה תעבורה קטנה ברשת, וזה היה בעיקר נתונים חסרי חשיבות. אבל חוק נילסן חוזר למעשה חוק מור: מהירות החיבור לאינטרנט עולה ב-50% מדי שנה. גם נפח התעבורה גדל בהתמדה (הגרף מציג את תחזית 2017 של סיסקו, מקור Cisco Visual Networking Index: Forecast and Trends, 2017–2022):

יחד עם המהירות, החשיבות של הפצת המידע (זהו גם סוד מסחרי וגם נתונים אישיים ידועים לשמצה) והביצועים הכוללים של התשתית הולכים וגדלים.

בהתאם, צמחה תעשיית אבטחת המידע. התעשייה הגיבה לכך עם מגוון שלם של התקני ניתוח תעבורה (DPI), החל ממערכות למניעת התקפות DDOS ועד למערכות ניהול אירועי אבטחת מידע, לרבות IDS, IPS, DLP, NBA, SIEM, Antimailware וכן הלאה. בדרך כלל, כל אחד מהכלים הללו הוא תוכנה המותקנת על פלטפורמת שרת. יתרה מכך, כל תוכנית (כלי ניתוח) מותקנת על פלטפורמת השרתים שלה: יצרני התוכנה שונים, ונדרשים משאבי מחשוב רבים לניתוח ב-L7.

בבניית מערכת אבטחת מידע יש צורך לפתור מספר משימות בסיסיות:

• איך להעביר תעבורה מתשתית למערכות ניתוח? (יציאות ה-SPAN שפותחו במקור לכך בתשתית מודרנית אינן מספיקות לא בכמות ולא בביצועים)
• כיצד לחלק תעבורה בין מערכות ניתוח שונות?
• כיצד לשנות קנה מידה של מערכות כאשר אין מספיק ביצועים של מופע אחד של הנתח כדי לעבד את כל נפח התנועה הנכנסת אליו?
• כיצד לנטר ממשקי 40G/100G (ובעתיד הקרוב גם 200G/400G), מאחר וכלי ניתוח תומכים כיום רק בממשקי 1G/10G/25G?

והמשימות הקשורות הבאות:

• איך למזער תעבורה לא הולמת שלא צריך לעבד, אבל מגיעה לכלי הניתוח וצורכת את המשאבים שלהם?
• כיצד לעבד חבילות וחבילות מובלעות עם סימני שירות חומרה, שהכנתם לניתוח מתבררת כצורכת משאבים או בלתי ניתנת למימוש בכלל?
• כיצד להוציא מהניתוח חלק מהתנועה שאינו מוסדר על ידי מדיניות האבטחה (לדוגמה, תעבורת ראש).

כפי שכולם יודעים, הביקוש יוצר היצע, כמענה לצרכים הללו, החלו להתפתח מתווכים ברשת.

תיאור כללי של Network Packet Brokers

ברוקרים של מנות רשת עובדים ברמת המנות, ובזה הם דומים למתגים רגילים. ההבדל העיקרי ממתגים הוא שהכללים להפצה וצבירה של תעבורה בברוקרים של מנות רשת נקבעים לחלוטין על ידי ההגדרות. לברוקרי מנות רשת אין תקנים לבניית טבלאות העברה (טבלאות MAC) והחלפת פרוטוקולים עם מתגים אחרים (כגון STP), ולכן מגוון ההגדרות האפשריות והשדות המובנים בהם רחב הרבה יותר. ברוקר יכול לפזר באופן שווה תעבורה מיציאת קלט אחת או יותר לטווח נתון של יציאות פלט עם תכונת איזון עומסי פלט. אתה יכול להגדיר כללים להעתקה, סינון, סיווג, ביטול כפילויות ושינוי תעבורה. ניתן להחיל כללים אלה על קבוצות שונות של יציאות קלט של מתווך מנות הרשת, וכן ליישם ברצף אחד אחרי השני במכשיר עצמו. יתרון חשוב של ברוקר מנות הוא היכולת לעבד תעבורה בקצב זרימה מלא ולשמור על שלמות הפעלות (במקרה של איזון תעבורה למספר מערכות DPI מאותו סוג).

שמירה על שלמות הפגישות היא העברת כל המנות של הסשן של שכבת התחבורה (TCP / UDP / SCTP) ליציאה אחת. זה חשוב מכיוון שמערכות DPI (בדרך כלל תוכנה הפועלת על שרת המחוברת ליציאת הפלט של מתווך מנות) מנתחות את תוכן התעבורה ברמת האפליקציה, וכל החבילות שנשלחות/מתקבלות על ידי אפליקציה אחת חייבות להגיע לאותו מופע של מנתח . אם החבילות של הפעלה אחת אובדות או מופצות בין התקני DPI שונים, אז כל מכשיר DPI בודד יהיה במצב אנלוגי לקריאת לא טקסט שלם, אלא מילים בודדות ממנו. וסביר להניח שהטקסט לא יבין.

לפיכך, בהיותם ממוקדים במערכות אבטחת מידע, למתווכים ברשת יש פונקציונליות המסייעת לחבר מערכות תוכנת DPI לרשתות תקשורת מהירות ולהפחית את העומס עליהן: הם מסננים מראש, מסווגים ומכינים תעבורה כדי לפשט את העיבוד הבא.

בנוסף, מאחר וברוקרי מנות ברשת מספקים מגוון רחב של סטטיסטיקות ולעיתים קרובות מחוברים לנקודות שונות ברשת, הם מוצאים את מקומם גם באבחון בעיות בריאות של תשתית הרשת עצמה.

פונקציות בסיסיות של Network Packet Brokers

השם "מתגים ייעודיים/ניטורים" נבע מהמטרה הבסיסית: לאסוף תעבורה מהתשתית (בדרך כלל באמצעות ברזי TAP אופטיים פסיביים ו/או יציאות SPAN) ולהפיץ אותה בין כלי הניתוח. התנועה משתקפת (משוכפלת) בין מערכות מסוגים שונים, ומאוזנת בין מערכות מאותו סוג. הפונקציות הבסיסיות כוללות בדרך כלל סינון לפי שדות עד ל-L4 (יציאת MAC, IP, TCP/UDP וכו') וצבירה של מספר ערוצים נטענים קלות לאחד (לדוגמה, לעיבוד במערכת DPI אחת).

פונקציונליות זו נותנת מענה למשימה הבסיסית - חיבור מערכות DPI לתשתית הרשת. מתווכים מיצרנים שונים, מוגבלים לפונקציונליות בסיסית, מספקים עיבוד של עד 32 ממשקי 100G לכל 1U (ממשקים נוספים אינם מתאימים פיזית לפאנל הקדמי של 1U). עם זאת, הם אינם מאפשרים להפחית את העומס על כלי ניתוח, ובשביל תשתית מורכבת הם אפילו לא יכולים לספק את הדרישות לפונקציה בסיסית: הפעלה המופצת על פני מספר מנהרות (או מצוידת בתגי MPLS) יכולה להיות לא מאוזנת עבור מקרים שונים של מנתח ובדרך כלל נופלים מהניתוח.

בנוסף להוספת ממשקי 40/100G וכתוצאה מכך, שיפור הביצועים, מתווכים של מנות רשת מפתחים באופן פעיל במונחים של אספקת תכונות חדשות ביסודו: מאיזון על כותרות מנהרה מקוננות ועד לפענוח תעבורה. למרבה הצער, מודלים כאלה לא יכולים להתהדר בביצועים בטרה-ביט, אבל הם מאפשרים לבנות מערכת אבטחת מידע איכותית ו"יפה" מבחינה טכנית שבה מובטח לכל כלי ניתוח לקבל רק את המידע שהוא צריך בצורה המתאימה ביותר. לניתוח.

פונקציות מתקדמות של מתווכים מנות רשת

1. מוזכר לעיל איזון כותרת מקונן בתנועה במנהרה.

למה זה חשוב? שקול 3 היבטים שיכולים להיות קריטיים ביחד או בנפרד:

• הבטחת איזון אחיד בנוכחות מספר קטן של מנהרות. במקרה שיש רק 2 מנהרות בנקודת החיבור של מערכות אבטחת מידע, אזי לא ניתן יהיה לבטל אותן על ידי כותרות חיצוניות ב-3 פלטפורמות שרת תוך שמירה על הסשן. במקביל, התעבורה ברשת מועברת בצורה לא אחידה, והכיוון של כל מנהרה למתקן עיבוד נפרד ידרוש ביצועים מופרזים של האחרון;
• הבטחת שלמות ההפעלות והזרמים של פרוטוקולים מרובי הפעלות (לדוגמה, FTP ו-VoIP), שהמנות שלהם הגיעו למנהרות שונות. המורכבות של תשתית הרשת עולה כל הזמן: יתירות, וירטואליזציה, פישוט הניהול וכדומה. מצד אחד זה מגביר את האמינות מבחינת העברת נתונים, מצד שני זה מסבך את העבודה של מערכות אבטחת מידע. אפילו עם ביצועים מספקים של הנתחים כדי לעבד ערוץ ייעודי עם מנהרות, הבעיה מתבררת כבלתי פתירה, מכיוון שחלק מחבילות הפגישות של המשתמש מועברות בערוץ אחר. יתרה מכך, אם הם עדיין מנסים לדאוג לתקינות הפעלות בתשתיות מסוימות, אז פרוטוקולי ריבוי הפעלות יכולים ללכת בדרכים שונות לחלוטין;
• איזון בנוכחות MPLS, VLAN, תגי ציוד בודדים וכו'. לא ממש מנהרות, אבל עם זאת, ציוד עם פונקציונליות בסיסית יכול להבין את התעבורה הזו לא כ-IP ואיזון לפי כתובות MAC, שוב ושוב להפר את אחידות האיזון או שלמות ההפעלה.

מתווך מנות הרשת מנתח את הכותרות החיצוניות ועוקב ברצף אחר המצביעים עד לכותרת ה-IP המקוננת ומתאזן כבר עליה. כתוצאה מכך, יש הרבה יותר זרמים (בהתאמה, זה יכול להיות לא מאוזן בצורה שווה יותר ובמספר גדול יותר של פלטפורמות), ומערכת ה-DPI מקבלת את כל מנות הפגישות ואת כל הסשנים הנלווים של פרוטוקולי ריבוי הפעלות.

2. שינוי תנועה.
אחת הפונקציות הרחבות ביותר מבחינת היכולות שלה, מספר פונקציות המשנה ואפשרויות השימוש בהן הן רבות:

• הסרת מטען, ובמקרה זה רק כותרות מנות מועברות למנתח. זה רלוונטי לכלי ניתוח או לסוגי תעבורה שבהם התוכן של החבילות לא משחק תפקיד או לא ניתן לנתח. לדוגמה, עבור תעבורה מוצפנת, נתוני החלפה פרמטריים (מי, עם מי, מתי וכמה) עשויים לעניין, בעוד שמטען הוא למעשה זבל שתופס את הערוץ ואת משאבי המחשוב של המנתח. וריאציות אפשריות כאשר המטען מנותק החל מאופסט נתון - זה מספק מרחב נוסף לכלי ניתוח;
• ביטול מנהרות, כלומר הסרת כותרות שמייעדות ומזהות מנהרות. המטרה היא להפחית את העומס על כלי הניתוח ולהגביר את יעילותם. ניתן להתבסס על היסט קבוע או ניתוח כותרות דינמי וקביעת היסט עבור כל מנה;
• הסרה של כמה כותרות מנות: תגי MPLS, VLAN, שדות ספציפיים של ציוד של צד שלישי;
• מיסוך חלק מהכותרות, למשל, מיסוך כתובות IP כדי להבטיח אנונימיזציה של תנועה;
• הוספת מידע שירות לחבילה: חותמות זמן, יציאת קלט, תוויות מחלקות תנועה וכו'.

3. מניעת כפילות – ניקוי מנות תעבורה חוזרות ונשנות המועברות לכלי ניתוח. חבילות כפולות מתרחשות לרוב בשל המוזרויות של התחברות לתשתית - התעבורה יכולה לעבור דרך מספר נקודות ניתוח ולהיראות מכל אחת מהן. יש גם שליחה חוזרת של מנות TCP לא שלמות, אבל אם יש הרבה מהן, אז אלו שאלות נוספות לניטור איכות הרשת, ולא לאבטחת מידע בה.

4. תכונות סינון מתקדמות - מחיפוש אחר ערכים ספציפיים בקיזוז נתון ועד לניתוח חתימות לאורך החבילה כולה.

5. יצירת NetFlow/IPFIX – איסוף מגוון רחב של סטטיסטיקות על תעבורה חולפת והעברתה לכלי ניתוח.

6. פענוח של תעבורת SSL, עובד בתנאי שהאישור והמפתחות נטענים לראשונה בברוקר מנות הרשת. עם זאת, זה מאפשר לך לפרוק משמעותית את כלי הניתוח.

יש עוד הרבה פונקציות, שימושיות ושיווקיות, אבל העיקריות שבהן, אולי, מופיעות ברשימה.

פיתוח מערכות זיהוי (פריצות, התקפות DDOS) למערכות למניעתן, כמו גם הכנסת כלי DPI פעילים, דרשו שינוי בסכימת המעבר מפסיבית (דרך יציאות TAP או SPAN) לאקטיביות ("בהפסקה" ). נסיבות אלו הגדילו את הדרישות לאמינות (מכיוון שכשל במקרה זה מוביל לשיבוש של כל הרשת, ולא רק לאובדן שליטה על אבטחת המידע) והביא להחלפת מצמדים אופטיים במעקפים אופטיים (על מנת לאפשר לפתור את בעיית התלות של ביצועי הרשת בביצועי אבטחת מידע מערכות), אך הפונקציונליות והדרישות העיקריות עבורה נותרו זהות.

פיתחנו DS Integrity Network Packet Brokers עם ממשקי 100G, 40G ו-10G מעיצוב ומעגלים ועד לתוכנה משובצת. יתרה מכך, בניגוד לברוקרי מנות אחרים, פונקציות השינוי והאיזון עבור כותרות מנהרה מקוננות מיושמות בחומרה שלנו, במהירות יציאה מלאה.

מקור: www.habr.com