Современи решенија за градење системи за информациска безбедност - брокери за мрежни пакети (Network Packet Broker)

Информациската безбедност се одвои од телекомуникациите во независна индустрија со свои специфики и своја опрема. Но, постои малку позната класа на уреди што стои на раскрсницата на телеком и инфобез - брокери за мрежни пакети (Мрежен брокер за пакети), тие се исто така балансери на оптоварување, специјализирани прекинувачи / мониторинг прекинувачи, агрегатори на сообраќај, платформа за испорака на безбедност, видливост на мрежа и така натаму. И ние, како руски развивач и производител на такви уреди, навистина сакаме да ви кажеме повеќе за нив.

Обем и задачи што треба да се решат

Брокери за мрежни пакети се специјализирани уреди кои најдоа најголема употреба во системите за безбедност на информации. Како таква, класата на уреди е релативно нова и малку во заедничката мрежна инфраструктура во споредба со прекинувачите, рутерите итн. Пионер во развојот на овој тип на уреди беше американската компанија Gigamon. Во моментов, има значително повеќе играчи на овој пазар (вклучувајќи слични решенија од познатиот производител на системи за тестирање - IXIA), но само тесен круг на професионалци сè уште знае за постоењето на такви уреди. Како што е наведено погоре, дури и со терминологијата не постои недвосмислена сигурност: имињата се движат од „системи за мрежна транспарентност“ до едноставни „балансери“.

Додека развивавме мрежни брокери за пакети, се соочивме со фактот дека, покрај анализата на насоките за развој на функционалноста и тестирањето во лаборатории/тест зони, потребно е истовремено да им се објасни на потенцијалните потрошувачи за постоењето на оваа класа на опрема , бидејќи не секој знае за тоа.

И пред 15-20 години имаше мал сообраќај на мрежата, а тоа беа главно неважни податоци. Но Законот на Нилсен практично се повторува Муровиот закон: Брзината на интернет конекцијата се зголемува за 50% годишно. Обемот на сообраќај, исто така, постојано расте (графиконот ја покажува прогнозата за 2017 година од Cisco, извор Cisco Visual Networking Index: Forecast and Trends, 2017–2022):

Заедно со брзината, се зголемува и важноста на циркулирање на информации (ова е и деловна тајна и озлогласени лични податоци) и севкупните перформанси на инфраструктурата.

Според тоа, се појави индустријата за безбедност на информации. Индустријата одговори на ова со цела низа уреди за анализа на сообраќајот (DPI), од системи за спречување напади DDOS до системи за управување со настани за безбедност на информации, вклучувајќи IDS, IPS, DLP, NBA, SIEM, Antimailware и така натаму. Вообичаено, секоја од овие алатки е софтвер кој е инсталиран на серверска платформа. Покрај тоа, секоја програма (алатка за анализа) е инсталирана на сопствената серверска платформа: производителите на софтвер се различни, а потребни се многу компјутерски ресурси за анализа на L7.

При изградба на систем за безбедност на информации, неопходно е да се решат голем број главни проблеми:

• како да се пренесе сообраќајот од инфраструктура на системи за анализа? (СПП-портите првично развиени за ова во модерната инфраструктура не се доволни ниту во количина ниту во перформанси)
• како да се дистрибуира сообраќајот помеѓу различни системи за анализа?
• како да се размерат системите кога нема доволно перформанси на еден примерок од анализаторот за да се обработи целиот обем на сообраќај што влегува во него?
• како да се следат интерфејсите 40G/100G (а во блиска иднина и 200G/400G), бидејќи алатките за анализа моментално поддржуваат само интерфејси 1G/10G/25G?

И следните поврзани задачи:

• како да се минимизира несоодветниот сообраќај кој не треба да се обработува, туку доаѓа до алатките за анализа и ги троши нивните ресурси?
• како да се постапува со инкапсулирани пакети и пакети со ознаки за хардверски услуги, чија подготовка за анализа се покажува или интензивна за ресурси или воопшто нереализирана?
• како да се исклучи од анализата дел од сообраќајот што не е регулиран со безбедносната политика (на пример, сообраќај на главата).

Како што секој знае, побарувачката создава понуда, како одговор на овие потреби, почнаа да се развиваат мрежни брокери за пакети.

Општ опис на брокери на мрежни пакети

Мрежните брокери за пакети работат на ниво на пакети, и во ова тие се слични на обичните прекинувачи. Главната разлика од прекинувачите е тоа што правилата за дистрибуција и агрегација на сообраќајот во мрежните брокери за пакети се целосно определени од поставките. Мрежните брокери за пакети немаат стандарди за градење табели за препраќање (MAC табели) и протоколи за размена со други прекинувачи (како STP), и затоа опсегот на можни поставки и разбирливи полиња во нив е многу поширок. Брокерот може рамномерно да го дистрибуира сообраќајот од една или повеќе влезни порти до даден опсег на излезни порти со функција за балансирање на излезното оптоварување. Можете да поставите правила за копирање, филтрирање, класификација, дедупликација и менување сообраќај. Овие правила може да се применат на различни групи влезни порти на мрежниот брокер за пакети, како и да се применуваат последователно еден по друг во самиот уред. Важна предност на брокерот за пакети е способноста да го обработува сообраќајот со целосна стапка на проток и да го зачува интегритетот на сесиите (во случај на балансирање на сообраќајот кон неколку DPI системи од ист тип).

Зачувувањето на интегритетот на сесиите е да се префрлат сите пакети од сесијата на транспортниот слој (TCP / UDP / SCTP) на една порта. Ова е важно затоа што DPI системите (обично софтвер што работи на сервер поврзан со излезната порта на брокерот за пакети) ја анализираат содржината на сообраќајот на ниво на апликација и сите пакети испратени/примени од една апликација мора да пристигнат во истиот примерок на анализатор . Ако пакетите од една сесија се изгубат или се дистрибуираат меѓу различни DPI уреди, тогаш секој поединечен DPI уред ќе биде во ситуација аналогна на читање не цел текст, туку поединечни зборови од него. И, најверојатно, текстот нема да го разбере.

Така, фокусирајќи се на системи за безбедност на информации, мрежните брокери за пакети имаат функционалност што помага да се поврзат софтверските системи DPI со брзи телекомуникациски мрежи и да се намали оптоварувањето на нив: тие однапред го филтрираат, класифицираат и подготвуваат сообраќај за да ја поедностават последователната обработка.

Дополнително, бидејќи брокерите за мрежни пакети обезбедуваат широк опсег на статистика и често се поврзани со различни точки во мрежата, тие исто така наоѓаат свое место во дијагностицирањето на здравствените проблеми на самата мрежна инфраструктура.

Основни функции на брокери за мрежни пакети

Името „посветени/мониторинг прекинувачи“ произлезе од основната цел: да се собере сообраќајот од инфраструктурата (обично со користење на пасивни оптички TAP славини и/или SPAN порти) и да се дистрибуира меѓу алатките за анализа. Сообраќајот се пресликува (дуплира) помеѓу системи од различни типови и се балансира помеѓу системи од ист тип. Основните функции обично вклучуваат филтрирање по полиња до L4 (MAC, IP, TCP / UDP порта, итн.) и агрегација на неколку лесно вчитани канали во еден (на пример, за обработка на еден DPI систем).

Оваа функционалност дава решение за основната задача - поврзување на DPI системите со мрежната инфраструктура. Брокери од различни производители, ограничени на основната функционалност, обезбедуваат обработка на до 32 100G интерфејси на 1U (повеќе интерфејси физички не се вклопуваат на предниот панел 1U). Сепак, тие не дозволуваат намалување на оптоварувањето на алатките за анализа, а за сложена инфраструктура не можат да ги обезбедат барањата за основна функција: сесија дистрибуирана низ неколку тунели (или опремена со MPLS ознаки) може да биде небалансирана за различни случаи на анализатор и генерално испаѓаат од анализата.

Покрај додавањето на интерфејсите 40/100G и, како резултат на тоа, подобрувањето на перформансите, мрежните брокери за пакети активно се развиваат во смисла на обезбедување фундаментално нови функции: од балансирање на заглавија на вгнездени тунели до дешифрирање на сообраќајот. За жал, таквите модели не можат да се пофалат со перформанси во терабити, но овозможуваат да се изгради навистина висококвалитетен и технички „убав“ систем за безбедност на информации во кој секоја алатка за анализа е загарантирана да ги прима само потребните информации во најсоодветната форма. за анализа.

Напредни функции на брокери за мрежни пакети

1. Претходно споменато вгнездено балансирање на заглавието во тунелиран сообраќај.

Зошто е важно? Размислете за 3 аспекти кои можат да бидат критични заедно или одделно:

• обезбедување на еднообразно балансирање во присуство на мал број тунели. Во случај да има само 2 тунели на местото на поврзување на информациските безбедносни системи, тогаш нема да може да се дебалансираат со надворешни заглавија на 3 серверски платформи додека се одржува сесијата. Во исто време, сообраќајот во мрежата се пренесува нерамномерно, а насоката на секој тунел до посебен капацитет за обработка ќе бара прекумерна изведба на вториот;
• обезбедување на интегритет на сесиите и стримовите на мултисесиски протоколи (на пример, FTP и VoIP), чии пакети завршуваа во различни тунели. Комплексноста на мрежната инфраструктура постојано се зголемува: вишок, виртуелизација, поедноставување на администрацијата итн. Од една страна, ова ја зголемува веродостојноста во однос на преносот на податоци, од друга страна, ја отежнува работата на системите за информациска безбедност. Дури и со доволно перформанси на анализаторите за обработка на посветен канал со тунели, проблемот се покажува како нерешлив, бидејќи некои од пакетите на корисничките сесии се пренесуваат преку друг канал. Покрај тоа, ако тие сè уште се обидуваат да се грижат за интегритетот на сесиите во некои инфраструктури, тогаш протоколите за повеќе сесии можат да одат сосема поинакви начини;
• балансирање во присуство на MPLS, VLAN, ознаки за поединечни опрема итн. Не се навистина тунели, но сепак, опремата со основна функционалност може да го разбере овој сообраќај не како IP и да балансира по MAC адреси, што уште еднаш ја нарушува униформноста на балансирањето или интегритетот на сесијата.

Мрежниот брокер за пакети ги анализира надворешните заглавија и последователно ги следи покажувачите до вгнезденото IP заглавие и балансира веќе на него. Како резултат на тоа, има значително повеќе преноси (соодветно, може да се дебалансира порамномерно и на поголем број платформи), а системот DPI ги прима сите пакети за сесии и сите поврзани сесии на протоколи за повеќе сесии.

2. Модификација на сообраќајот.
Една од најшироките функции во однос на нејзините можности, бројот на подфункции и опции за нивна употреба се многу:

• отстранување на товарот, во кој случај само заглавијата на пакетите се пренесуваат до парсерот. Ова е релевантно за алатките за анализа или за типовите сообраќај во кои содржината на пакетите или не игра улога или не може да се анализира. На пример, за шифриран сообраќај, параметарските податоци за размена (кој, со кого, кога и колку) може да бидат интересни, додека товарот е всушност ѓубре што го окупира каналот и компјутерските ресурси на анализаторот. Можни се варијации кога носивоста е отсечена почнувајќи од дадено поместување - ова обезбедува дополнителен простор за алатки за анализа;
• детунелирање, имено отстранување на заглавија кои означуваат и идентификуваат тунели. Целта е да се намали оптоварувањето на алатките за анализа и да се зголеми нивната ефикасност. Детунелирањето може да се заснова на фиксна поместување или динамична анализа на заглавието и определување на поместување за секој пакет;
• отстранување на некои заглавија на пакети: MPLS ознаки, VLAN, специфични полиња на опрема од трета страна;
• маскирање на дел од заглавијата, на пример, маскирање на IP адреси за да се обезбеди анонимизација на сообраќајот;
• додавање информации за услугата во пакетот: временски печати, влезна порта, етикети за сообраќајни класи итн.

3. Дедупликација – чистење на повторливи сообраќајни пакети пренесени до алатките за анализа. Дупликатните пакети најчесто се јавуваат поради особеностите на поврзувањето со инфраструктурата - сообраќајот може да помине низ неколку точки на анализа и да се пресликува од секоја од нив. Има и повторно испраќање на нецелосни TCP пакети, но ако ги има многу, тогаш ова се повеќе прашања за следење на квалитетот на мрежата, а не за безбедност на информации во неа.

4. Напредни функции за филтрирање – од пребарување на специфични вредности со дадено поместување до анализа на потпис низ целиот пакет.

5. Генерирање на NetFlow/IPFIX – собирање на широк опсег на статистички податоци за проодниот сообраќај и негово пренесување во алатки за анализа.

6. Дешифрирање на SSL сообраќај, работи под услов сертификатот и клучевите прво да се вчитаат во мрежниот брокер за пакети. Сепак, ова ви овозможува значително да ги растоварате алатките за анализа.

Има многу повеќе функции, корисни и маркетинг, но главните, можеби, се наведени.

Развојот на системи за откривање (упади, DDOS напади) во системи за нивно спречување, како и воведување на активни алатки DPI, бараше промена на шемата за префрлување од пасивна (преку TAP или SPAN порти) во активни („во пауза“ ). Оваа околност ги зголеми барањата за доверливост (бидејќи дефект во овој случај доведува до нарушување на целата мрежа, а не само до губење контрола врз безбедноста на информациите) и доведе до замена на оптичките спојки со оптички бајпаси (со цел да се реши проблемот со зависноста на перформансите на мрежата од перформансите на системската информациска безбедност), но главната функционалност и барањата за неа останаа исти.

Развивме DS Integrity Network Packet Brokers со 100G, 40G и 10G интерфејси од дизајн и кола до вграден софтвер. Покрај тоа, за разлика од другите брокери за пакети, функциите за модификација и балансирање на заглавијата на вгнездените тунели се имплементирани во нашиот хардвер, со целосна брзина на пристаништето.

Извор: www.habr.com