ინფორმაციული უსაფრთხოების სისტემების მშენებლობის თანამედროვე გადაწყვეტილებები - ქსელური პაკეტების ბროკერები (Network Packet Broker)

ინფორმაციული უსაფრთხოება ტელეკომუნიკაციებისგან დამოუკიდებელ ინდუსტრიად გამოიყო, თავისი სპეციფიკითა და საკუთარი აღჭურვილობით. მაგრამ არსებობს მოწყობილობების ნაკლებად ცნობილი კლასი, რომელიც დგას ტელეკომისა და ინფობეზის შეერთების ადგილზე - ქსელის პაკეტების ბროკერები (ქსელის პაკეტების ბროკერი), ისინი ასევე არიან დატვირთვის ბალანსერები, სპეციალიზებული / მონიტორინგის გადამრთველები, ტრაფიკის აგრეგატორები, უსაფრთხოების მიწოდების პლატფორმა, ქსელის ხილვადობა და ა.შ. და ჩვენ, როგორც რუსი დეველოპერი და ასეთი მოწყობილობების მწარმოებელი, ნამდვილად გვინდა გითხრათ მეტი მათ შესახებ.

ფარგლები და ამოცანები გადასაჭრელი

ქსელის პაკეტების ბროკერები არის სპეციალიზებული მოწყობილობები, რომლებსაც ყველაზე დიდი გამოყენება აქვთ ინფორმაციული უსაფრთხოების სისტემებში. როგორც ასეთი, მოწყობილობების კლასი შედარებით ახალია და მცირეა საერთო ქსელის ინფრასტრუქტურაში კონცენტრატორების, მარშრუტიზატორების და ა.შ. ამ ტიპის მოწყობილობის შემუშავების პიონერი იყო ამერიკული კომპანია Gigamon. ამჟამად, ამ ბაზარზე გაცილებით მეტი მოთამაშეა (მათ შორის მსგავსი გადაწყვეტილებები სატესტო სისტემების ცნობილი მწარმოებლისგან - IXIA), მაგრამ მხოლოდ პროფესიონალების ვიწრო წრემ იცის ასეთი მოწყობილობების არსებობის შესახებ. როგორც ზემოთ აღინიშნა, ტერმინოლოგიითაც კი არ არსებობს ცალსახა დარწმუნება: სახელები მერყეობს "ქსელის გამჭვირვალობის სისტემებიდან" უბრალო "ბალანსერებამდე".

ქსელური პაკეტების ბროკერების შემუშავებისას, ჩვენ დავდექით იმ ფაქტის წინაშე, რომ ლაბორატორიებში/სატესტო ზონებში ფუნქციონირების განვითარებისა და ტესტირების მიმართულებების გაანალიზების გარდა, საჭიროა ერთდროულად აუხსნათ პოტენციურ მომხმარებლებს ამ კლასის აღჭურვილობის არსებობის შესახებ. , რადგან ყველამ არ იცის ამის შესახებ.

ჯერ კიდევ 15-20 წლის წინ, ქსელში მცირე ტრაფიკი იყო და ეს ძირითადად უმნიშვნელო მონაცემები იყო. მაგრამ ნილსენის კანონი პრაქტიკულად მეორდება მურის კანონი: ინტერნეტ კავშირის სიჩქარე ყოველწლიურად იზრდება 50%-ით. ტრაფიკის მოცულობა ასევე სტაბილურად იზრდება (გრაფიკი გვიჩვენებს Cisco-ს 2017 წლის პროგნოზს, წყარო Cisco Visual Networking Index: Forecast and Trends, 2017–2022):

სისწრაფესთან ერთად იზრდება ინფორმაციის მიმოქცევის მნიშვნელობა (ეს არის როგორც სავაჭრო საიდუმლო, ასევე ცნობილი პერსონალური მონაცემები) და ინფრასტრუქტურის საერთო ფუნქციონირება.

შესაბამისად გაჩნდა ინფორმაციული უსაფრთხოების ინდუსტრია. ინდუსტრიამ ამაზე უპასუხა ტრაფიკის ანალიზის (DPI) მოწყობილობების მთელი სპექტრით, დაწყებული DDOS თავდასხმის პრევენციის სისტემებით, ინფორმაციული უსაფრთხოების ღონისძიებების მართვის სისტემებამდე, მათ შორის IDS, IPS, DLP, NBA, SIEM, Antimailware და ა.შ. როგორც წესი, თითოეული ეს ინსტრუმენტი არის პროგრამული უზრუნველყოფა, რომელიც დაინსტალირებულია სერვერის პლატფორმაზე. უფრო მეტიც, თითოეული პროგრამა (ანალიზის ინსტრუმენტი) დაინსტალირებულია საკუთარ სერვერულ პლატფორმაზე: პროგრამული უზრუნველყოფის მწარმოებლები განსხვავდებიან და L7-ზე ანალიზისთვის საჭიროა ბევრი გამოთვლითი რესურსი.

ინფორმაციული უსაფრთხოების სისტემის აგებისას აუცილებელია მთელი რიგი ძირითადი ამოცანების გადაჭრა:

• როგორ გადავიტანოთ ტრაფიკი ინფრასტრუქტურიდან ანალიზის სისტემებზე? (თანამედროვე ინფრასტრუქტურაში ამისთვის თავდაპირველად შემუშავებული SPAN პორტები არ არის საკმარისი არც რაოდენობით და არც შესრულებით)
• როგორ გავანაწილოთ ტრაფიკი სხვადასხვა ანალიზის სისტემებს შორის?
• როგორ გავაფართოვოთ სისტემები, როდესაც არ არის საკმარისი ანალიზატორის ერთი ინსტანციის შესრულება მასში შემავალი ტრაფიკის მთელი მოცულობის დასამუშავებლად?
• როგორ დავაკვირდეთ 40G/100G ინტერფეისებს (და უახლოეს მომავალში ასევე 200G/400G), ვინაიდან ანალიზის ხელსაწყოები ამჟამად მხარს უჭერს მხოლოდ 1G/10G/25G ინტერფეისებს?

და შემდეგი დაკავშირებული ამოცანები:

• როგორ შევამციროთ შეუსაბამო ტრაფიკი, რომელიც არ საჭიროებს დამუშავებას, მაგრამ აღწევს ანალიზის ინსტრუმენტებს და მოიხმარს მათ რესურსებს?
• როგორ დავამუშავოთ ინკაფსულირებული პაკეტები და პაკეტები ტექნიკის სერვისის ნიშნებით, რომელთა ანალიზისთვის მომზადება აღმოჩნდება რესურსზე ინტენსიური ან საერთოდ არარეალიზებადი?
• როგორ გამოვრიცხოთ ანალიზიდან მოძრაობის ნაწილი, რომელიც არ არის რეგულირებული უსაფრთხოების პოლიტიკით (მაგალითად, უფროსის მოძრაობა).

როგორც ყველამ იცის, მოთხოვნა ქმნის მიწოდებას, ამ მოთხოვნილებების საპასუხოდ, ქსელის პაკეტების ბროკერებმა დაიწყეს განვითარება.

ქსელის პაკეტების ბროკერების ზოგადი აღწერა

ქსელის პაკეტების ბროკერები მუშაობენ პაკეტის დონეზე და ამით ისინი ჩვეულებრივი გადამრთველების მსგავსია. გადამრთველებისგან მთავარი განსხვავება ისაა, რომ ქსელის პაკეტების ბროკერებში ტრაფიკის განაწილებისა და აგრეგაციის წესები მთლიანად განისაზღვრება პარამეტრებით. ქსელის პაკეტების ბროკერებს არ აქვთ სტანდარტები გადამისამართების ცხრილების შესაქმნელად (MAC ცხრილები) და პროტოკოლების გაცვლის სხვა გადამრთველებთან (როგორიცაა STP) და, შესაბამისად, მათში შესაძლო პარამეტრების და გასაგები ველების დიაპაზონი გაცილებით ფართოა. ბროკერს შეუძლია თანაბრად გაანაწილოს ტრაფიკი ერთი ან მეტი შეყვანის პორტიდან გამომავალი პორტების მოცემულ დიაპაზონში გამომავალი დატვირთვის დაბალანსების ფუნქციით. თქვენ შეგიძლიათ დააწესოთ წესები ტრაფიკის კოპირების, ფილტრაციის, კლასიფიკაციის, დუბლიკატის და შეცვლისთვის. ეს წესები შეიძლება გამოყენებულ იქნას ქსელის პაკეტების ბროკერის შეყვანის პორტების სხვადასხვა ჯგუფზე, ისევე როგორც თანმიმდევრულად, ერთმანეთის მიყოლებით, თავად მოწყობილობაში. პაკეტის ბროკერის მნიშვნელოვანი უპირატესობაა ტრაფიკის სრული ნაკადის სიჩქარით დამუშავების და სესიების მთლიანობის შენარჩუნების შესაძლებლობა (იგივე ტიპის რამდენიმე DPI სისტემასთან ტრაფიკის დაბალანსების შემთხვევაში).

სესიების მთლიანობის შენარჩუნება არის სატრანსპორტო ფენის სესიის ყველა პაკეტის (TCP / UDP / SCTP) გადატანა ერთ პორტში. ეს მნიშვნელოვანია, რადგან DPI სისტემები (ჩვეულებრივ, პროგრამული უზრუნველყოფა, რომელიც მუშაობს სერვერზე, რომელიც დაკავშირებულია პაკეტის ბროკერის გამომავალ პორტთან) აანალიზებს ტრაფიკის შინაარსს აპლიკაციის დონეზე და ერთი აპლიკაციის მიერ გაგზავნილი/მიღებული ყველა პაკეტი უნდა მივიდეს იმავე მაგალითზე. ანალიზატორი. თუ ერთი სესიის პაკეტები დაიკარგება ან ნაწილდება სხვადასხვა DPI მოწყობილობებს შორის, მაშინ თითოეული ინდივიდუალური DPI მოწყობილობა იქნება ანალოგური სიტუაციაში, რომ წაიკითხოს არა მთლიანი ტექსტი, არამედ ცალკეული სიტყვები მისგან. და, სავარაუდოდ, ტექსტი ვერ გაიგებს.

ამრიგად, ინფორმაციული უსაფრთხოების სისტემებზე ორიენტირებული, ქსელური პაკეტების ბროკერებს აქვთ ფუნქცია, რომელიც ეხმარება DPI პროგრამული სისტემების დაკავშირებას მაღალსიჩქარიან სატელეკომუნიკაციო ქსელებთან და შეამცირებს მათზე დატვირთვას: ისინი წინასწარ ფილტრავენ, კლასიფიცირებენ და ამზადებენ ტრაფიკს შემდგომი დამუშავების გასამარტივებლად.

გარდა ამისა, იმის გამო, რომ ქსელის პაკეტების ბროკერები უზრუნველყოფენ სტატისტიკის ფართო სპექტრს და ხშირად არიან დაკავშირებული ქსელის სხვადასხვა წერტილებთან, ისინი ასევე პოულობენ ადგილს თავად ქსელის ინფრასტრუქტურის ჯანმრთელობის პრობლემების დიაგნოსტირებაში.

ქსელური პაკეტების ბროკერების ძირითადი ფუნქციები

სახელწოდება „გამოყოფილი/მონიტორინგის გადამრთველები“ ​​წარმოიშვა ძირითადი მიზნიდან: ინფრასტრუქტურიდან ტრაფიკის შეგროვება (ჩვეულებრივ, პასიური ოპტიკური TAP ონკანების და/ან SPAN პორტების გამოყენებით) და განაწილება ანალიზის ინსტრუმენტებს შორის. ტრაფიკი ასახულია (დუბლირებულია) სხვადასხვა ტიპის სისტემებს შორის და დაბალანსებულია იმავე ტიპის სისტემებს შორის. ძირითადი ფუნქციები, როგორც წესი, მოიცავს L4-მდე ველების ფილტრაციას (MAC, IP, TCP/UDP პორტი და ა.შ.) და რამდენიმე მსუბუქად დატვირთული არხის ერთში გაერთიანებას (მაგალითად, ერთ DPI სისტემაზე დამუშავებისთვის).

ეს ფუნქცია იძლევა გადაწყვეტას ძირითადი ამოცანის - DPI სისტემების ქსელურ ინფრასტრუქტურასთან დაკავშირება. სხვადასხვა მწარმოებლების ბროკერები, რომლებიც შემოიფარგლება ძირითადი ფუნქციებით, უზრუნველყოფენ 32 100 გ-მდე ინტერფეისის დამუშავებას 1U-ზე (მეტი ინტერფეისი ფიზიკურად არ ჯდება 1U წინა პანელზე). თუმცა, ისინი არ იძლევიან საშუალებას, შეამცირონ დატვირთვა ანალიზის ინსტრუმენტებზე და კომპლექსური ინფრასტრუქტურისთვის ისინი ვერც კი უზრუნველყოფენ მოთხოვნებს ძირითადი ფუნქციისთვის: რამდენიმე გვირაბზე განაწილებული სესია (ან MPLS ტეგებით აღჭურვილი) შეიძლება გაუწონასწორებელი იყოს სხვადასხვა შემთხვევებისთვის. ანალიზატორი და საერთოდ ამოვარდება ანალიზიდან.

გარდა 40/100G ინტერფეისების დამატებისა და, შედეგად, მუშაობის გაუმჯობესებისა, ქსელის პაკეტების ბროკერები აქტიურად ვითარდებიან ფუნდამენტურად ახალი ფუნქციების უზრუნველყოფის თვალსაზრისით: დაბალანსებული გვირაბის სათაურებზე დაწყებული ტრაფიკის გაშიფვრამდე. სამწუხაროდ, ასეთი მოდელები ვერ დაიკვეხნის ტერაბიტების ეფექტურობით, მაგრამ ისინი შესაძლებელს ხდის შექმნას მართლაც მაღალი ხარისხის და ტექნიკურად "ლამაზი" ინფორმაციული უსაფრთხოების სისტემა, რომელშიც თითოეული ანალიზის ინსტრუმენტი გარანტირებულია მიიღოს მხოლოდ მისთვის საჭირო ინფორმაციის ყველაზე შესაფერისი ფორმით. ანალიზისთვის.

ქსელის პაკეტების ბროკერების გაფართოებული ფუნქციები

1. ზემოთ ნახსენები წყობილი სათაურის დაბალანსება გვირაბიან ტრაფიკში.

Რატომ არის ეს მნიშვნელოვანი? განვიხილოთ 3 ასპექტი, რომელიც შეიძლება იყოს კრიტიკული ერთად ან ცალკე:

• ერთიანი დაბალანსების უზრუნველყოფა გვირაბების მცირე რაოდენობის არსებობისას. იმ შემთხვევაში, თუ ინფორმაციული უსაფრთხოების სისტემების შეერთების ადგილას არის მხოლოდ 2 გვირაბი, მაშინ სესიის შენარჩუნებისას მათი დისბალანსი შეუძლებელი იქნება გარე ჰედერებით 3 სერვერის პლატფორმაზე. ამავდროულად, ქსელში მოძრაობა არათანაბრად გადაიცემა და თითოეული გვირაბის მიმართულება ცალკე გადამამუშავებელ ობიექტზე მოითხოვს ამ უკანასკნელის გადაჭარბებულ შესრულებას;
• მრავალსესიის პროტოკოლების სესიებისა და ნაკადების მთლიანობის უზრუნველყოფა (მაგალითად, FTP და VoIP), რომელთა პაკეტები მთავრდებოდა სხვადასხვა გვირაბებში. ქსელის ინფრასტრუქტურის სირთულე მუდმივად იზრდება: ჭარბი რაოდენობა, ვირტუალიზაცია, ადმინისტრირების გამარტივება და ა.შ. ეს ერთი მხრივ ზრდის საიმედოობას მონაცემთა გადაცემის კუთხით, მეორე მხრივ კი ართულებს ინფორმაციული უსაფრთხოების სისტემების მუშაობას. მაშინაც კი, თუ ანალიზატორები საკმარისი მუშაობენ გვირაბებით გამოყოფილი არხის დასამუშავებლად, პრობლემა აღმოჩნდება გადაუჭრელი, რადგან მომხმარებლის სესიის ზოგიერთი პაკეტი გადაიცემა სხვა არხზე. უფრო მეტიც, თუ ისინი მაინც ცდილობენ იზრუნონ სესიების მთლიანობაზე ზოგიერთ ინფრასტრუქტურაში, მაშინ მრავალსესიის პროტოკოლები შეიძლება სრულიად განსხვავებული გზით წავიდეს;
• დაბალანსება MPLS, VLAN, ინდივიდუალური აღჭურვილობის ტეგების და ა.შ. გვირაბები ნამდვილად არ არის, მაგრამ, მიუხედავად ამისა, ძირითადი ფუნქციონირების მქონე მოწყობილობებს შეუძლიათ ამ ტრაფიკის გაგება არა როგორც IP და არა როგორც MAC მისამართების ბალანსი, რაც კიდევ ერთხელ არღვევს დაბალანსების ან სესიის მთლიანობის ერთგვაროვნებას.

ქსელის პაკეტის ბროკერი აანალიზებს გარე სათაურებს და თანმიმდევრულად მიჰყვება მაჩვენებლებს ჩადგმულ IP სათაურამდე და ბალანსებს უკვე მასზე. შედეგად, გაცილებით მეტი ნაკადია (შესაბამისად, ის შეიძლება იყოს დაუბალანსებელი უფრო თანაბრად და პლატფორმების უფრო დიდ რაოდენობაზე) და DPI სისტემა იღებს ყველა სესიის პაკეტს და ყველა ასოცირებულ სესიას მრავალსესიის პროტოკოლებზე.

2. მოძრაობის მოდიფიკაცია.
ერთ-ერთი ყველაზე ფართო ფუნქცია მისი შესაძლებლობების თვალსაზრისით, ქვეფუნქციების რაოდენობა და მათი გამოყენების ვარიანტები ბევრია:

• ამოღებულია payload, ამ შემთხვევაში მხოლოდ პაკეტის სათაურები გადაეცემა პარსერს. ეს რელევანტურია ანალიზის ხელსაწყოებისთვის ან ტრაფიკის ტიპებისთვის, რომლებშიც პაკეტების შინაარსი ან არ თამაშობს როლს ან ვერ ანალიზდება. მაგალითად, დაშიფრული ტრაფიკისთვის, პარამეტრული გაცვლის მონაცემები (ვინ, ვისთან, როდის და რამდენი) შეიძლება იყოს დაინტერესებული, ხოლო ტვირთამწეობა რეალურად ნაგავია, რომელიც იკავებს არხს და ანალიზატორის გამოთვლით რესურსებს. ვარიაციები შესაძლებელია, როდესაც დატვირთვა წყდება მოცემული ოფსეტურიდან - ეს იძლევა დამატებით შესაძლებლობებს ანალიზის ინსტრუმენტებისთვის;
• გვირაბების გათიშვა, კერძოდ, სათაურების ამოღება, რომლებიც მიუთითებენ და იდენტიფიცირებენ გვირაბებს. მიზანია შეამციროს დატვირთვა ანალიზის ინსტრუმენტებზე და გაიზარდოს მათი ეფექტურობა. განზავება შეიძლება დაფუძნდეს ფიქსირებულ ოფსეტზე, ან დინამიური სათაურის ანალიზით და ოფსეტის განსაზღვრით თითო პაკეტის საფუძველზე;
• ზოგიერთი პაკეტის სათაურის ამოღება: MPLS ტეგები, VLAN, მესამე მხარის აღჭურვილობის კონკრეტული ველები;
• სათაურების ნაწილის დაფარვა, მაგალითად, IP მისამართების დაფარვა ტრაფიკის ანონიმიზაციის უზრუნველსაყოფად;
• პაკეტში სერვისის ინფორმაციის დამატება: დროის ანაბეჭდები, შეყვანის პორტი, ტრაფიკის კლასის ეტიკეტები და ა.შ.

3. დედუბლირება – ანალიზის ინსტრუმენტებზე გადაცემული განმეორებითი ტრაფიკის პაკეტების გაწმენდა. დუბლიკატი პაკეტები ყველაზე ხშირად წარმოიქმნება ინფრასტრუქტურასთან დაკავშირების თავისებურებების გამო - ტრაფიკი შეიძლება გაიაროს ანალიზის რამდენიმე პუნქტში და ასახული იყოს თითოეული მათგანისგან. ასევე ხდება არასრული TCP პაკეტების ხელახლა გაგზავნა, მაგრამ თუ ბევრი მათგანია, მაშინ ეს უფრო მეტი კითხვებია ქსელის ხარისხის მონიტორინგისთვის და არა მასში ინფორმაციის უსაფრთხოებისთვის.

4. გაფართოებული ფილტრაციის მახასიათებლები - კონკრეტული მნიშვნელობების ძიებიდან მოცემულ ოფსეტზე ხელმოწერის ანალიზამდე მთელ პაკეტში.

5. NetFlow/IPFIX თაობა – სტატისტიკის ფართო სპექტრის შეგროვება ტრაფიკის გავლისა და ანალიზის ინსტრუმენტებზე გადაცემის შესახებ.

6. SSL ტრაფიკის გაშიფვრა, მუშაობს იმ პირობით, რომ სერთიფიკატი და გასაღებები პირველად ჩაიტვირთება ქსელის პაკეტების ბროკერში. მიუხედავად ამისა, ეს საშუალებას გაძლევთ მნიშვნელოვნად განტვირთოთ ანალიზის ინსტრუმენტები.

კიდევ ბევრი ფუნქციაა, სასარგებლო და მარკეტინგული, მაგრამ მთავარი, ალბათ, ჩამოთვლილია.

აღმოჩენის სისტემების (შეტევები, DDOS შეტევები) შემუშავება სისტემებში მათი პრევენციისთვის, ისევე როგორც აქტიური DPI ინსტრუმენტების დანერგვა, მოითხოვდა გადართვის სქემის შეცვლას პასიურიდან (TAP ან SPAN პორტების საშუალებით) აქტიურზე ("შესვენებაში" ). ამ გარემოებამ გაზარდა სანდოობის მოთხოვნები (რადგან ამ შემთხვევაში წარუმატებლობა იწვევს მთელი ქსელის შეფერხებას და არა მხოლოდ ინფორმაციის უსაფრთხოებაზე კონტროლის დაკარგვას) და გამოიწვია ოპტიკური დამწყებლების შეცვლა ოპტიკური შემოვლით (იმისთვის, რომ გადაჭრით ქსელის მუშაობის დამოკიდებულების პრობლემას სისტემის ინფორმაციული უსაფრთხოების შესრულებაზე), მაგრამ ძირითადი ფუნქციონირება და მოთხოვნები იგივე დარჩა.

ჩვენ შევიმუშავეთ DS Integrity Network Packet Brokers 100G, 40G და 10G ინტერფეისებით დიზაინიდან და სქემებიდან ჩაშენებულ პროგრამულ უზრუნველყოფამდე. უფრო მეტიც, სხვა პაკეტების ბროკერებისგან განსხვავებით, ჩადგმული გვირაბის სათაურების მოდიფიკაციისა და დაბალანსების ფუნქციები დანერგილია ჩვენს აპარატურაში, სრული პორტის სიჩქარით.

წყარო: www.habr.com