माहिती सुरक्षा प्रणाली तयार करण्यासाठी आधुनिक उपाय - नेटवर्क पॅकेट ब्रोकर (नेटवर्क पॅकेट ब्रोकर)

माहिती सुरक्षा टेलिकम्युनिकेशनपासून स्वतंत्र उद्योगात स्वतःची वैशिष्ट्ये आणि स्वतःच्या उपकरणांसह विभक्त झाली आहे. परंतु टेलिकॉम आणि माहिती सुरक्षेच्या छेदनबिंदूवर उभ्या असलेल्या उपकरणांचा एक अल्प-ज्ञात वर्ग आहे - नेटवर्क पॅकेट दलाल (नेटवर्क पॅकेट ब्रोकर), ज्याला लोड बॅलन्सर्स, स्पेशलाइज्ड/मॉनिटरिंग स्विचेस, ट्रॅफिक एग्रीगेटर, सिक्युरिटी डिलिव्हरी प्लॅटफॉर्म, नेटवर्क व्हिजिबिलिटी, इत्यादी म्हणूनही ओळखले जाते. आणि आम्ही, रशियन विकसक आणि अशा उपकरणांचे निर्माता म्हणून, आपल्याला त्यांच्याबद्दल अधिक सांगू इच्छितो.

कार्यक्षेत्र आणि सोडवण्याची कार्ये

नेटवर्क पॅकेट ब्रोकर ही विशेष उपकरणे आहेत ज्यांना माहिती सुरक्षा प्रणालींमध्ये सर्वात मोठा अनुप्रयोग सापडला आहे. यामुळे, स्विच, राउटर इ.च्या तुलनेत मुख्य प्रवाहातील नेटवर्क इन्फ्रास्ट्रक्चरमध्ये उपकरणांचा हा वर्ग तुलनेने नवीन आणि लहान आहे. या प्रकारच्या उपकरणाच्या विकासातील अग्रणी अमेरिकन कंपनी गिगामन होती. सध्या, या मार्केटमध्ये लक्षणीयरीत्या अधिक खेळाडू आहेत (चाचणी प्रणालीच्या सुप्रसिद्ध निर्मात्यासह, IXIA कंपनीकडे समान उपाय आहेत), परंतु व्यावसायिकांच्या फक्त एका अरुंद मंडळाला अद्याप अशा उपकरणांच्या अस्तित्वाबद्दल माहिती आहे. वर नमूद केल्याप्रमाणे, शब्दावली देखील स्पष्ट नाही: नावे "नेटवर्क पारदर्शकता प्रणाली" पासून फक्त "संतुलनक" पर्यंत आहेत.

नेटवर्क पॅकेट ब्रोकर्स विकसित करताना, आम्हाला या वस्तुस्थितीचा सामना करावा लागला की, कार्यक्षमतेच्या विकासासाठी दिशानिर्देशांचे विश्लेषण आणि प्रयोगशाळा/चाचणी क्षेत्रांमध्ये चाचणी करण्याव्यतिरिक्त, संभाव्य ग्राहकांना या वर्गाच्या उपकरणाच्या अस्तित्वाबद्दल एकाच वेळी समजावून सांगणे आवश्यक आहे, कारण प्रत्येकाला त्याबद्दल माहिती नाही.

फक्त 15-20 वर्षांपूर्वी नेटवर्कवर थोडे ट्रॅफिक होते आणि तो बहुतांशी बिनमहत्त्वाचा डेटा होता. परंतु निल्सनचा कायदा व्यावहारिकपणे पुनरावृत्ती होते मूरचा कायदा: इंटरनेट कनेक्शनचा वेग दरवर्षी ५०% ने वाढतो. रहदारीचे प्रमाण देखील सातत्याने वाढत आहे (आलेख सिस्को कडून 50 चा अंदाज दर्शवितो, स्रोत सिस्को व्हिज्युअल नेटवर्किंग इंडेक्स: फोरकास्ट आणि ट्रेंड्स, 2017-2017):

वेगाबरोबरच, माहिती प्रसारित करण्याचे महत्त्व (हे दोन्ही व्यापार रहस्य आणि कुप्रसिद्ध वैयक्तिक डेटा आहे) आणि पायाभूत सुविधांची एकूण कामगिरी वाढते.

त्यानुसार माहिती सुरक्षा उद्योग उदयास आला. डीप ट्रॅफिक अॅनालिसिस (डीपीआय) उपकरणांच्या संपूर्ण श्रेणीच्या उदयासह उद्योगाने याला प्रतिसाद दिला: डीडीओएस हल्ला प्रतिबंधक प्रणालीपासून ते आयडीएस, आयपीएस, डीएलपी, एनबीए, एसआयईएम, अँटीमेलवेअर आणि यासह माहिती सुरक्षा इव्हेंट व्यवस्थापन प्रणालीपर्यंत. सामान्यतः, यापैकी प्रत्येक साधने सर्व्हर प्लॅटफॉर्मवर स्थापित केलेले सॉफ्टवेअर असते. शिवाय, प्रत्येक प्रोग्राम (विश्लेषण साधन) त्याच्या स्वतःच्या सर्व्हर प्लॅटफॉर्मवर स्थापित केले आहे: सॉफ्टवेअर उत्पादक भिन्न आहेत आणि L7 वरील विश्लेषणासाठी भरपूर संगणकीय संसाधने आवश्यक आहेत.

माहिती सुरक्षा प्रणाली तयार करताना, अनेक मुख्य समस्यांचे निराकरण करणे आवश्यक आहे:

• पायाभूत सुविधांपासून विश्लेषण प्रणालीकडे रहदारी कशी हस्तांतरित करावी? (आधुनिक पायाभूत सुविधांमध्ये मूळत: या उद्देशासाठी विकसित केलेले स्पॅन पोर्ट प्रमाण किंवा कार्यक्षमतेत पुरेसे नाहीत)
• वेगवेगळ्या विश्लेषण प्रणालींमध्ये रहदारीचे वितरण कसे करावे?
• जेव्हा एका विश्लेषक उदाहरणाची कार्यक्षमता त्यात प्रवेश करणार्‍या रहदारीच्या संपूर्ण व्हॉल्यूमवर प्रक्रिया करण्यासाठी पुरेसे नसते तेव्हा सिस्टम कसे मोजायचे?
• विश्लेषण साधने सध्या फक्त 40G/100G/200G इंटरफेसला समर्थन देत असल्याने 400G/1G इंटरफेस (आणि नजीकच्या भविष्यात 10G/25G) कसे निरीक्षण करावे?

आणि खालील संबंधित कार्ये:

• ज्यावर प्रक्रिया करण्याची गरज नाही, परंतु विश्लेषण साधनांपर्यंत पोहोचते आणि त्यांची संसाधने वापरतात अशा अलक्षित रहदारीला आम्ही कसे कमी करू शकतो?
• उपकरणांच्या सर्व्हिस टॅगसह एन्कॅप्स्युलेटेड पॅकेट्स आणि पॅकेट्सवर प्रक्रिया कशी करावी, ज्याची तयारी विश्लेषणासाठी एकतर संसाधन-केंद्रित किंवा अंमलबजावणी करणे अशक्य आहे?
• विश्लेषणातून काही रहदारी कशी वगळावी जी सुरक्षा धोरणाद्वारे नियंत्रित केली जात नाही (उदाहरणार्थ, व्यवस्थापकाची रहदारी).

प्रत्येकाला माहित आहे की, मागणीमुळे पुरवठा निर्माण होतो आणि या गरजांच्या प्रतिसादात नेटवर्क पॅकेट ब्रोकर्स विकसित होऊ लागले.

नेटवर्क पॅकेट ब्रोकर्सचे सामान्य वर्णन

नेटवर्क पॅकेट ब्रोकर्स पॅकेट स्तरावर कार्य करतात आणि अशा प्रकारे ते नियमित स्विचसारखेच असतात. स्विचेसमधील मुख्य फरक असा आहे की नेटवर्क पॅकेट ब्रोकर्समधील रहदारी वितरण आणि एकत्रीकरणाचे नियम पूर्णपणे सेटिंग्जद्वारे निर्धारित केले जातात. नेटवर्क पॅकेट ब्रोकर्सकडे फॉरवर्डिंग टेबल्स (MAC टेबल्स) तयार करण्यासाठी आणि इतर स्विचसह (जसे की STP) प्रोटोकॉलची देवाणघेवाण करण्यासाठी मानक नाहीत आणि म्हणून त्यांच्यामध्ये संभाव्य सेटिंग्ज आणि समजल्या जाणार्या फील्डची श्रेणी खूप विस्तृत आहे. ब्रोकर आउटपुट लोड बॅलन्सिंग वैशिष्ट्यासह आउटपुट पोर्ट्सच्या निर्दिष्ट श्रेणीमध्ये एक किंवा अधिक इनपुट पोर्टमधून रहदारी समान रीतीने वितरित करू शकतो. तुम्ही कॉपी, फिल्टरिंग, वर्गीकरण, डुप्लिकेशन आणि ट्रॅफिक बदल यासाठी नियम सेट करू शकता. हे नियम नेटवर्क पॅकेट ब्रोकर इनपुट पोर्टच्या वेगवेगळ्या गटांना लागू केले जाऊ शकतात आणि डिव्हाइसमध्येच एकामागून एक क्रमाने लागू केले जाऊ शकतात. पॅकेट ब्रोकरचा एक महत्त्वाचा फायदा म्हणजे संपूर्ण प्रवाह दराने रहदारीवर प्रक्रिया करण्याची आणि सत्रांची अखंडता राखण्याची क्षमता (समान प्रकारच्या अनेक डीपीआय सिस्टममध्ये रहदारी संतुलित करण्याच्या बाबतीत).

सत्र अखंडता राखण्यासाठी सर्व ट्रान्सपोर्ट लेयर सेशन पॅकेट्स (TCP/UDP/SCTP) एका पोर्टवर प्रसारित करणे समाविष्ट आहे. हे महत्त्वाचे आहे कारण DPI सिस्टीम (सामान्यत: पॅकेट ब्रोकरच्या आउटपुट पोर्टशी कनेक्ट केलेल्या सर्व्हरवर चालणारे सॉफ्टवेअर) ट्रॅफिक सामग्रीचे अॅप्लिकेशन स्तरावर विश्लेषण करतात आणि एका अॅप्लिकेशनने पाठवलेले/मिळवलेले सर्व पॅकेट्स त्याच विश्लेषक उदाहरणावर येणे आवश्यक आहे. जर एकाच सत्रातील पॅकेट्स गहाळ झाली किंवा वेगवेगळ्या DPI उपकरणांमध्ये वितरित केली गेली, तर प्रत्येक वैयक्तिक DPI यंत्र स्वतःला संपूर्ण मजकूर वाचत नसून त्यातील वैयक्तिक शब्द वाचण्यासारख्या परिस्थितीत सापडेल. आणि, बहुधा, मजकूर समजला जाणार नाही.

अशाप्रकारे, माहिती सुरक्षा प्रणालींवर लक्ष केंद्रित केल्यामुळे, नेटवर्क पॅकेट ब्रोकर्सकडे अशी कार्यक्षमता असते जी DPI सॉफ्टवेअर सिस्टमला हाय-स्पीड टेलिकम्युनिकेशन नेटवर्कशी जोडण्यास आणि त्यांच्यावरील भार कमी करण्यास मदत करते: ते पुढील प्रक्रिया सुलभ करण्यासाठी प्राथमिक फिल्टरिंग, वर्गीकरण आणि रहदारीची तयारी करतात.

याव्यतिरिक्त, नेटवर्क पॅकेट ब्रोकर्स मोठ्या प्रमाणात आकडेवारी तयार करतात आणि अनेकदा नेटवर्कवरील विविध बिंदूंशी जोडलेले असतात, नेटवर्क इन्फ्रास्ट्रक्चरच्या कार्यक्षमतेसह समस्यांचे निदान करताना ते त्यांचे स्थान देखील शोधतात.

नेटवर्क पॅकेट ब्रोकर्सची मूलभूत कार्ये

"स्पेशलाइज्ड/मॉनिटरिंग स्विचेस" हे नाव मूळ उद्देशापासून उद्भवले आहे: पायाभूत सुविधांमधून रहदारी गोळा करणे (सामान्यत: निष्क्रिय ऑप्टिकल कप्लर्स TAP आणि/किंवा SPAN पोर्ट वापरणे) आणि विश्लेषण साधनांमध्ये ते वितरित करणे. ट्रॅफिक वेगवेगळ्या प्रकारच्या सिस्टम्समध्ये मिरर केलेले (डुप्लिकेट) असते आणि एकाच प्रकारच्या सिस्टममध्ये संतुलित असते. मूलभूत फंक्शन्समध्ये सामान्यतः L4 (MAC, IP, TCP/UDP पोर्ट, इ.) पर्यंतच्या फील्डद्वारे फिल्टर करणे आणि अनेक हलक्या लोड केलेल्या चॅनेलचे एकत्रीकरण (उदाहरणार्थ, एका DPI सिस्टमवर प्रक्रिया करणे) यांचा समावेश होतो.

ही कार्यक्षमता डीपीआय सिस्टमला नेटवर्क इन्फ्रास्ट्रक्चरशी जोडण्याच्या मूलभूत कार्याचे निराकरण करते. विविध निर्मात्यांचे दलाल, मूलभूत कार्यक्षमतेपुरते मर्यादित, प्रति 32U पर्यंत 100 1G इंटरफेसची प्रक्रिया प्रदान करतात (अधिक इंटरफेस 1U फ्रंट पॅनेलवर भौतिकरित्या बसत नाहीत). तथापि, ते विश्लेषण साधनांवरील भार कमी करत नाहीत आणि जटिल पायाभूत सुविधांसाठी ते मूलभूत कार्यासाठी आवश्यकता देखील प्रदान करू शकत नाहीत: अनेक बोगद्यांवर (किंवा MPLS टॅगसह सुसज्ज) वितरीत केलेले सत्र वेगवेगळ्या विश्लेषक उदाहरणांमध्ये असंतुलित होऊ शकते आणि सामान्यतः विश्लेषणातून बाहेर पडणे.

40/100G इंटरफेस जोडण्याव्यतिरिक्त आणि परिणामी, कार्यक्षमतेत वाढ करणे, नेटवर्क पॅकेट ब्रोकर्स मूलभूतपणे नवीन क्षमता प्रदान करण्याच्या दृष्टीने सक्रियपणे विकसित होत आहेत: नेस्टेड टनेल हेडरवर आधारित बॅलेंसिंगपासून ट्रॅफिक डिक्रिप्शनपर्यंत. दुर्दैवाने, अशी मॉडेल्स टेराबिट्समध्ये कामगिरीचा अभिमान बाळगू शकत नाहीत, परंतु ते आपल्याला खरोखर उच्च-गुणवत्तेची आणि तांत्रिकदृष्ट्या "सुंदर" माहिती सुरक्षा प्रणाली तयार करण्यास अनुमती देतात, ज्यामध्ये प्रत्येक विश्लेषण साधनाला सर्वात योग्य स्वरूपात आवश्यक असलेली माहिती प्राप्त करण्याची हमी दिली जाते. विश्लेषणासाठी.

प्रगत नेटवर्क पॅकेट ब्रोकर वैशिष्ट्ये

1. वर उल्लेख केला आहे टनेल ट्रॅफिकमध्ये नेस्टेड हेडरवर आधारित संतुलन.

ते महत्त्वाचे का आहे? चला 3 पैलूंचा विचार करूया जे एकत्र किंवा स्वतंत्रपणे गंभीर असू शकतात:

• कमी संख्येच्या बोगद्यांच्या उपस्थितीत एकसमान संतुलन सुनिश्चित करणे. जर माहिती सुरक्षा प्रणालीच्या कनेक्शन बिंदूवर फक्त 2 बोगदे असतील, तर सत्र संरक्षित करताना 3 सर्व्हर प्लॅटफॉर्मवरील बाह्य शीर्षलेखांनुसार त्यांना असंतुलित करणे शक्य होणार नाही. त्याच वेळी, नेटवर्कमधील रहदारी असमानपणे प्रसारित केली जाते आणि प्रत्येक बोगद्याला वेगळ्या प्रक्रिया सुविधेकडे निर्देशित करण्यासाठी नंतरच्या कार्यक्षमतेची आवश्यकता असेल;
• सत्रांची अखंडता आणि मल्टीसेशन प्रोटोकॉल (उदाहरणार्थ, FTP आणि VoIP) च्या प्रवाहाची खात्री करणे, ज्याचे पॅकेट वेगवेगळ्या बोगद्यांमध्ये संपले. नेटवर्क इन्फ्रास्ट्रक्चरची जटिलता सतत वाढत आहे: रिडंडंसी, आभासीकरण, प्रशासनाचे सरलीकरण इ. एकीकडे, हे डेटा ट्रान्समिशनच्या बाबतीत विश्वासार्हता वाढवते, तर दुसरीकडे, माहिती सुरक्षा प्रणालीच्या ऑपरेशनला गुंतागुंत करते. जरी विश्लेषकांकडे बोगद्यांसह समर्पित चॅनेलवर प्रक्रिया करण्यासाठी पुरेसे कार्यप्रदर्शन असले तरीही, समस्या सोडवता येणार नाही, कारण काही वापरकर्ता सत्र पॅकेट दुसर्‍या चॅनेलवर प्रसारित केले जातात. शिवाय, काही पायाभूत सुविधा अजूनही सत्रांच्या अखंडतेची काळजी घेण्याचा प्रयत्न करत असताना, मल्टीसेशन प्रोटोकॉल पूर्णपणे भिन्न मार्ग घेऊ शकतात;
• MPLS, VLAN, वैयक्तिक उपकरणे टॅग इत्यादींच्या उपस्थितीत संतुलन राखणे. तंतोतंत बोगदे नाहीत, परंतु तरीही, मूलभूत कार्यक्षमतेसह उपकरणे या रहदारीला IP व्यतिरिक्त काहीतरी समजू शकतात आणि MAC पत्त्यांच्या आधारे ते संतुलित करू शकतात, पुन्हा एकदा संतुलन किंवा सत्रांच्या अखंडतेचे उल्लंघन करतात.

नेटवर्क पॅकेट ब्रोकर बाह्य शीर्षलेखांचे विश्लेषण करतो आणि अनुक्रमे नेस्टेड आयपी शीर्षलेखापर्यंतच्या पॉइंटर्सचे अनुसरण करतो आणि त्यावर शिल्लक ठेवतो. परिणामी, लक्षणीयरीत्या अधिक प्रवाह आहेत (त्यानुसार, ते अधिक समान रीतीने आणि मोठ्या संख्येने प्लॅटफॉर्मवर असंतुलित केले जाऊ शकते), आणि डीपीआय प्रणाली सर्व सत्र पॅकेट्स आणि मल्टीसेशन प्रोटोकॉलची सर्व संबंधित सत्रे प्राप्त करते.

2. वाहतूक बदल.
त्याच्या क्षमतेच्या दृष्टीने सर्वात विस्तृत कार्यांपैकी एक, त्यांच्या अनुप्रयोगासाठी अनेक उपकार्ये आणि पर्याय आहेत:

• पेलोड हटवताना, या प्रकरणात केवळ पॅकेट शीर्षलेख विश्लेषण साधनामध्ये प्रसारित केले जातात. हे विश्लेषण साधनांसाठी किंवा ट्रॅफिकच्या प्रकारांसाठी संबंधित आहे ज्यामध्ये पॅकेटमधील सामग्री एकतर फरक पडत नाही किंवा त्यांचे विश्लेषण केले जाऊ शकत नाही. उदाहरणार्थ, एन्क्रिप्टेड ट्रॅफिक पॅरामेट्रिक एक्सचेंज डेटासाठी (कोण, कोणासह, केव्हा आणि किती) स्वारस्य असू शकते, परंतु पेलोड हा कचरा आहे जो विश्लेषकाचे चॅनेल आणि संगणकीय संसाधने घेतो. दिलेल्या ऑफसेटपासून पेलोड ट्रिम केल्यावर बदल शक्य आहेत - हे विश्लेषण साधनांसाठी अतिरिक्त वाव प्रदान करते;
• डिटनेलिंग, म्हणजे बोगदे दर्शवणारे आणि ओळखणारे शीर्षलेख काढून टाकणे. विश्लेषण साधनांवरील भार कमी करणे आणि त्यांची कार्यक्षमता वाढवणे हे उद्दिष्ट आहे. डिटनेलिंग निश्चित ऑफसेटवर आधारित असू शकते किंवा प्रत्येक पॅकेटसाठी डायनॅमिक हेडर विश्लेषण आणि ऑफसेट निर्धारासह असू शकते;
• पॅकेट शीर्षलेखांचा भाग काढून टाकणे: MPLS टॅग, VLAN, तृतीय-पक्ष उपकरणांचे विशिष्ट फील्ड;
• हेडरचा भाग मास्क करणे, उदाहरणार्थ, रहदारी निनावीकरण सुनिश्चित करण्यासाठी IP पत्ते मास्क करणे;
• पॅकेटमध्ये सेवा माहिती जोडणे: टाइमस्टॅम्प, इनपुट पोर्ट, ट्रॅफिक क्लास लेबल इ.

3. डुप्लिकेशन - विश्लेषण साधनांमध्ये प्रसारित केलेल्या डुप्लिकेट ट्रॅफिक पॅकेटची साफसफाई. डुप्लिकेट पॅकेट्स बहुतेकदा पायाभूत सुविधांच्या कनेक्शनच्या स्वरूपामुळे उद्भवतात - रहदारी अनेक विश्लेषण बिंदूंमधून जाऊ शकते आणि त्या प्रत्येकातून मिरर केली जाऊ शकते. अयशस्वी TCP पॅकेट पुन्हा पाठवणे देखील सामान्य आहे, परंतु जर ते बरेच असतील, तर या नेटवर्कच्या गुणवत्तेवर लक्ष ठेवण्याशी संबंधित समस्या आहेत, त्यामध्ये माहिती सुरक्षिततेऐवजी.

4. प्रगत फिल्टरिंग वैशिष्ट्ये - दिलेल्या ऑफसेटवर विशिष्ट मूल्ये शोधण्यापासून ते संपूर्ण पॅकेटच्या स्वाक्षरी विश्लेषणापर्यंत.

5. NetFlow/IPFIX जनरेशन - पासिंग ट्रॅफिक आणि विश्लेषण साधनांमध्ये त्याचे हस्तांतरण यावर विस्तृत आकडेवारीचे संकलन.

6. SSL रहदारीचे डिक्रिप्शन, प्रमाणपत्र आणि कळा प्रथम नेटवर्क पॅकेट ब्रोकरमध्ये लोड केल्या गेल्या असतील तर कार्य करते. तरीसुद्धा, हे आपल्याला विश्लेषण साधने लक्षणीयरीत्या आराम करण्यास अनुमती देते.

आणखी बरीच फंक्शन्स, उपयुक्त आणि मार्केटिंग आहेत, परंतु मुख्य कदाचित सूचीबद्ध आहेत.

डिटेक्शन सिस्टम (घुसखोरी, डीडीओएस हल्ले) यांना रोखण्यासाठी सिस्टममध्ये विकसित करणे, तसेच सक्रिय डीपीआय टूल्सच्या परिचयासाठी स्विचिंग स्कीममध्ये निष्क्रिय (टॅप किंवा स्पॅन पोर्टद्वारे) सक्रिय ("अंतरात) बदल करणे आवश्यक आहे. ”). या परिस्थितीमुळे विश्वासार्हतेची आवश्यकता वाढली (कारण या प्रकरणात अयशस्वी झाल्यामुळे संपूर्ण नेटवर्कमध्ये व्यत्यय येतो आणि केवळ माहितीच्या सुरक्षेवरील नियंत्रण गमावले जात नाही) आणि ऑप्टिकल बायपाससह ऑप्टिकल कप्लर्सची जागा बदलली (या समस्येचे निराकरण करण्यासाठी) सिस्टम माहिती सुरक्षेच्या कार्यक्षमतेवर नेटवर्क कार्यक्षमतेचे अवलंबित्व), परंतु मुख्य कार्यक्षमता आणि त्याची आवश्यकता समान राहते.

आम्ही डिझाईन आणि सर्किट डिझाइनपासून फर्मवेअरपर्यंत 100G, 40G आणि 10G इंटरफेससह DS इंटिग्रिटी नेटवर्क पॅकेट ब्रोकर्स विकसित केले आहेत. शिवाय, इतर पॅकेट ब्रोकर्सच्या विपरीत, नेस्टेड टनेल हेडरचे बदल आणि संतुलन कार्य हार्डवेअरमध्ये पूर्ण पोर्ट वेगाने लागू केले जातात.

स्त्रोत: www.habr.com