सूचना सुरक्षा प्रणाली निर्माणका लागि आधुनिक समाधानहरू - नेटवर्क प्याकेट ब्रोकरहरू (नेटवर्क प्याकेट ब्रोकर)

सूचना सुरक्षाले दूरसञ्चारबाट स्वतन्त्र उद्योगमा यसको आफ्नै विशिष्टता र आफ्नै उपकरणहरूको साथ अलग गरेको छ। तर त्यहाँ टेलिकम र सूचना सुरक्षाको चौराहेमा उभिएको उपकरणहरूको एक सानो ज्ञात वर्ग छ - नेटवर्क प्याकेट दलालहरू (नेटवर्क प्याकेट ब्रोकर), जसलाई लोड ब्यालेन्सरहरू, विशेष/निगरानी स्विचहरू, ट्राफिक एग्रीगेटरहरू, सुरक्षा डेलिभरी प्लेटफर्म, नेटवर्क भिजिबिलिटी, र यस्तै अन्य रूपमा पनि चिनिन्छ। र हामी, एक रूसी विकासकर्ता र त्यस्ता उपकरणहरूको निर्माताको रूपमा, वास्तवमा तपाईलाई तिनीहरूको बारेमा थप बताउन चाहन्छौं।

दायरा र कार्यहरू समाधान गर्न

नेटवर्क प्याकेट ब्रोकरहरू विशेष उपकरणहरू हुन् जसले सूचना सुरक्षा प्रणालीहरूमा सबैभन्दा ठूलो अनुप्रयोग फेला पारेको छ। जस्तै, स्विचहरू, राउटरहरू, इत्यादिको तुलनामा मुख्यधारा नेटवर्क पूर्वाधारमा उपकरणहरूको यो वर्ग अपेक्षाकृत नयाँ र सानो छ। यस प्रकारको उपकरणको विकासमा अग्रगामी अमेरिकी कम्पनी गिगामोन थियो। हाल, यस बजारमा उल्लेखनीय रूपमा धेरै खेलाडीहरू छन् (परीक्षण प्रणालीहरूको प्रख्यात निर्माता, IXIA कम्पनी सहित, समान समाधानहरू छन्), तर पेशेवरहरूको एक संकीर्ण सर्कललाई अझै पनि त्यस्ता उपकरणहरूको अस्तित्वको बारेमा थाहा छ। माथि उल्लेख गरिएझैं, शब्दावली पनि स्पष्ट छैन: नामहरू "नेटवर्क पारदर्शिता प्रणाली" देखि "ब्यालेन्सरहरू" सम्मका हुन्छन्।

नेटवर्क प्याकेट ब्रोकरहरू विकास गर्दा, हामीले यस तथ्यको सामना गर्‍यौं कि, प्रयोगशालाहरू/परीक्षण क्षेत्रहरूमा कार्यक्षमता र परीक्षणको विकासको लागि निर्देशनहरू विश्लेषण गर्नुको साथै, यस वर्गको उपकरणको अस्तित्वको बारेमा सम्भावित उपभोक्ताहरूलाई एकै साथ व्याख्या गर्न आवश्यक छ, किनकि सबैलाई यसको बारेमा थाहा छैन।

केवल 15-20 वर्ष पहिले नेटवर्कमा थोरै ट्राफिक थियो, र यो प्रायः महत्वहीन डाटा थियो। तर निल्सनको कानून व्यावहारिक रूपमा दोहोर्याउँछ मूरको कानून: इन्टरनेट जडान गति वार्षिक रूपमा 50% बढ्छ। ट्राफिकको मात्रा पनि लगातार बढिरहेको छ (ग्राफले सिस्कोबाट २०१७ को पूर्वानुमान देखाउँछ, स्रोत सिस्को भिजुअल नेटवर्किङ इन्डेक्स: फरकास्ट र ट्रेन्ड्स, २०१७–२०२२):

गतिको साथसाथै, सूचना प्रवाह गर्ने महत्त्व (यो दुबै व्यापार गोप्य र कुख्यात व्यक्तिगत डाटा हो) र पूर्वाधारको समग्र प्रदर्शन बढ्छ।

तदनुसार, सूचना सुरक्षा उद्योगको उदय भयो। उद्योगले यसलाई गहिरो ट्राफिक विश्लेषण (DPI) यन्त्रहरूको सम्पूर्ण दायराको उदयको साथ प्रतिक्रिया दियो: DDOS आक्रमण रोकथाम प्रणालीहरू देखि IDS, IPS, DLP, NBA, SIEM, Antimailware र यस्तै जानकारी सुरक्षा घटना व्यवस्थापन प्रणालीहरू सम्म। सामान्यतया, यी प्रत्येक उपकरण सर्भर प्लेटफर्ममा स्थापित सफ्टवेयर हो। यसबाहेक, प्रत्येक प्रोग्राम (विश्लेषण उपकरण) यसको आफ्नै सर्भर प्लेटफर्ममा स्थापना गरिएको छ: सफ्टवेयर निर्माताहरू फरक छन्, र L7 मा विश्लेषण धेरै कम्प्युटिङ स्रोतहरू चाहिन्छ।

सूचना सुरक्षा प्रणाली निर्माण गर्दा, धेरै मुख्य समस्याहरू समाधान गर्न आवश्यक छ:

• ट्राफिकलाई पूर्वाधारबाट विश्लेषण प्रणालीमा कसरी स्थानान्तरण गर्ने? (आधुनिक पूर्वाधारमा यस उद्देश्यका लागि मूल रूपमा विकसित स्प्यान पोर्टहरू मात्रा वा कार्यसम्पादनमा पर्याप्त छैनन्)
• विभिन्न विश्लेषण प्रणालीहरू बीच ट्राफिक कसरी वितरण गर्ने?
• एउटा विश्लेषक उदाहरणको कार्यसम्पादनले प्रवेश गर्ने ट्राफिकको सम्पूर्ण भोल्युमलाई प्रशोधन गर्न पर्याप्त नभएमा प्रणालीहरूलाई कसरी मापन गर्ने?
• 40G/100G इन्टरफेसहरू कसरी निगरानी गर्ने (र निकट भविष्यमा 200G/400G), विश्लेषण उपकरणहरूले हाल मात्र 1G/10G/25G इन्टरफेसहरूलाई समर्थन गर्दछ?

र निम्न सम्बन्धित कार्यहरू:

• हामी कसरी अलक्षित ट्राफिकलाई कम गर्न सक्छौं जुन प्रशोधन गर्न आवश्यक छैन, तर विश्लेषण उपकरणहरूमा पुग्छ र तिनीहरूको स्रोतहरू खपत गर्दछ?
• इन्क्याप्सुलेटेड प्याकेटहरू र उपकरणहरूको सेवा ट्यागहरूसँग प्याकेटहरू कसरी प्रशोधन गर्ने, जसको विश्लेषणको लागि तयारी या त स्रोत-गहन वा कार्यान्वयन गर्न असम्भव हुन्छ?
• सुरक्षा नीति (उदाहरणका लागि, प्रबन्धकको ट्राफिक) द्वारा विनियमित नभएका केही ट्राफिकहरूलाई विश्लेषणबाट कसरी बहिष्कार गर्ने।

सबैलाई थाहा छ, मागले आपूर्ति सिर्जना गर्दछ, र नेटवर्क प्याकेट दलालहरू यी आवश्यकताहरूको प्रतिक्रियामा विकास गर्न थाले।

नेटवर्क प्याकेट दलालहरूको सामान्य विवरण

नेटवर्क प्याकेट ब्रोकरहरू प्याकेट स्तरमा काम गर्छन्, र यसरी तिनीहरू नियमित स्विचहरू जस्तै छन्। स्विचहरूबाट मुख्य भिन्नता भनेको नेटवर्क प्याकेट ब्रोकरहरूमा ट्राफिक वितरण र एकत्रीकरणका लागि नियमहरू सेटिङहरूद्वारा पूर्ण रूपमा निर्धारण गरिन्छ। नेटवर्क प्याकेट ब्रोकरहरूसँग फर्वार्डिङ टेबलहरू (MAC टेबलहरू) र अन्य स्विचहरू (जस्तै STP) सँग प्रोटोकलहरू आदानप्रदान गर्ने मापदण्डहरू छैनन्, र त्यसैले तिनीहरूमा सम्भावित सेटिङहरू र बुझिएका क्षेत्रहरूको दायरा धेरै फराकिलो छ। ब्रोकरले आउटपुट लोड सन्तुलन सुविधाको साथ आउटपुट पोर्टहरूको निर्दिष्ट दायरामा एक वा बढी इनपुट पोर्टहरूबाट ट्राफिकलाई समान रूपमा वितरण गर्न सक्छ। तपाईंले प्रतिलिपि, फिल्टर, वर्गीकरण, डुप्लिकेशन र ट्राफिक परिमार्जनका लागि नियमहरू सेट गर्न सक्नुहुन्छ। यी नियमहरू नेटवर्क प्याकेट ब्रोकर इनपुट पोर्टहरूको विभिन्न समूहहरूमा लागू गर्न सकिन्छ, र यन्त्रमा पनि एक पछि अर्को क्रमशः लागू गर्न सकिन्छ। प्याकेट ब्रोकरको महत्त्वपूर्ण फाइदा भनेको पूर्ण प्रवाह दरमा ट्राफिक प्रशोधन गर्ने र सत्रहरूको अखण्डता कायम राख्ने क्षमता हो (एउटै प्रकारका धेरै DPI प्रणालीहरूमा ट्राफिक सन्तुलनको अवस्थामा)।

सत्र अखण्डता कायम राख्न सबै यातायात तह सत्र प्याकेटहरू (TCP/UDP/SCTP) एक पोर्टमा प्रसारण गर्न समावेश छ। यो महत्त्वपूर्ण छ किनभने DPI प्रणालीहरू (सामान्यतया प्याकेट ब्रोकरको आउटपुट पोर्टमा जडान भएको सर्भरमा चल्ने सफ्टवेयर) अनुप्रयोग स्तरमा ट्राफिक सामग्रीको विश्लेषण गर्दछ, र एउटै अनुप्रयोगद्वारा पठाइएका/प्राप्त गरिएका सबै प्याकेटहरू एउटै विश्लेषक उदाहरणमा आइपुग्नु पर्छ। यदि एउटै सत्रका प्याकेटहरू हराएका छन् वा विभिन्न DPI यन्त्रहरू बीच वितरित छन् भने, त्यसपछि प्रत्येक व्यक्तिगत DPI यन्त्रले सम्पूर्ण पाठ होइन, तर यसबाट व्यक्तिगत शब्दहरू पढ्ने जस्तै स्थितिमा फेला पार्नेछ। र, सम्भवतः, पाठ बुझिने छैन।

तसर्थ, सूचना सुरक्षा प्रणालीहरूमा केन्द्रित भई, नेटवर्क प्याकेट ब्रोकरहरूसँग कार्यक्षमता छ जसले DPI सफ्टवेयर प्रणालीहरूलाई उच्च-गति दूरसञ्चार नेटवर्कहरूमा जडान गर्न र तिनीहरूमा भार कम गर्न मद्दत गर्दछ: तिनीहरूले प्रारम्भिक फिल्टरिङ, वर्गीकरण र ट्राफिकको तयारी पछिको प्रक्रियालाई सरल बनाउनका लागि गर्छन्।

थप रूपमा, नेटवर्क प्याकेट ब्रोकरहरूले तथ्याङ्कको विस्तृत दायरा उत्पादन गर्ने र प्राय: नेटवर्कमा विभिन्न बिन्दुहरूमा जडान भएको हुनाले, तिनीहरूले नेटवर्क पूर्वाधारको कार्यसम्पादनमा समस्याहरूको निदान गर्दा तिनीहरूको स्थान पनि फेला पार्छन्।

नेटवर्क प्याकेट ब्रोकरहरूको आधारभूत कार्यहरू

नाम "विशेष/निगरानी स्विचहरू" आधारभूत उद्देश्यबाट उत्पन्न भयो: पूर्वाधारबाट ट्राफिक सङ्कलन गर्न (सामान्यतया निष्क्रिय अप्टिकल कप्लरहरू TAP र/वा SPAN पोर्टहरू प्रयोग गरेर) र विश्लेषण उपकरणहरू बीच वितरण गर्न। ट्राफिक विभिन्न प्रकारका प्रणालीहरू बीच मिरर गरिएको (डुप्लिकेट) हुन्छ, र समान प्रकारका प्रणालीहरू बीच सन्तुलित हुन्छ। आधारभूत प्रकार्यहरूमा सामान्यतया L4 (MAC, IP, TCP/UDP पोर्ट, आदि) सम्मको फिल्डहरूद्वारा फिल्टर गर्ने र धेरै हल्का लोड गरिएका च्यानलहरूको एकीकरण (उदाहरणका लागि, एउटा DPI प्रणालीमा प्रशोधनका लागि) समावेश हुन्छ।

यो कार्यक्षमताले DPI प्रणालीहरूलाई नेटवर्क पूर्वाधारमा जडान गर्ने आधारभूत कार्यको समाधान प्रदान गर्दछ। आधारभूत कार्यक्षमतामा सीमित विभिन्न निर्माताहरूका ब्रोकरहरूले प्रति 32U 100 1G इन्टरफेसहरू (अधिक इन्टरफेसहरू 1U फ्रन्ट प्यानलमा भौतिक रूपमा फिट हुँदैनन्) सम्मको प्रशोधन प्रदान गर्छन्। यद्यपि, तिनीहरूले विश्लेषण उपकरणहरूमा भार कम गर्दैनन्, र जटिल पूर्वाधारको लागि तिनीहरूले आधारभूत प्रकार्यको लागि आवश्यकताहरू पनि प्रदान गर्न सक्दैनन्: धेरै सुरुङहरूमा वितरित सत्र (वा MPLS ट्यागहरूसँग सुसज्जित) विभिन्न विश्लेषक उदाहरणहरू बीच असन्तुलित हुन सक्छ र सामान्यतया। विश्लेषणबाट झर्नु।

40/100G इन्टरफेसहरू थप्नुका साथै, परिणाम स्वरूप, बढ्दो कार्यसम्पादन, नेटवर्क प्याकेट ब्रोकरहरू मौलिक रूपमा नयाँ क्षमताहरू प्रदान गर्ने सन्दर्भमा सक्रिय रूपमा विकास गर्दैछन्: नेस्टेड टनेल हेडरहरूमा आधारित सन्तुलनबाट ट्राफिक डिक्रिप्शनसम्म। दुर्भाग्यवश, त्यस्ता मोडेलहरूले टेराबिटहरूमा प्रदर्शनको घमण्ड गर्न सक्दैनन्, तर तिनीहरूले तपाईंलाई वास्तवमै उच्च-गुणस्तर र प्राविधिक रूपमा "सुन्दर" सूचना सुरक्षा प्रणाली निर्माण गर्न अनुमति दिन्छ, जसमा प्रत्येक विश्लेषण उपकरणले मात्र आवश्यक जानकारी प्राप्त गर्ने ग्यारेन्टी दिन्छ। विश्लेषणको लागि।

उन्नत नेटवर्क प्याकेट ब्रोकर सुविधाहरू

1. माथि उल्लेख गरिएको छ टनेल ट्राफिकमा नेस्टेड हेडरहरूमा आधारित सन्तुलन।

यो किन महत्त्वपूर्ण छ? 3 पक्षहरू विचार गरौं जुन सँगै वा अलग रूपमा महत्वपूर्ण हुन सक्छ:

• थोरै संख्यामा सुरुङहरूको उपस्थितिमा समान सन्तुलन सुनिश्चित गर्दै। यदि सूचना सुरक्षा प्रणालीको जडान बिन्दुमा केवल 2 टनेलहरू छन् भने, सत्र सुरक्षित गर्दा 3 सर्भर प्लेटफर्महरूमा बाह्य हेडरहरू अनुसार तिनीहरूलाई असंतुलन गर्न सम्भव छैन। एकै समयमा, नेटवर्कमा ट्राफिक असमान रूपमा प्रसारित हुन्छ, र प्रत्येक सुरुङलाई छुट्टै प्रशोधन सुविधामा निर्देशित गर्न पछिको अत्यधिक प्रदर्शन आवश्यक पर्दछ;
• सत्रहरूको अखण्डता र मल्टिसेसन प्रोटोकलहरूको प्रवाह सुनिश्चित गर्दै (उदाहरणका लागि, FTP र VoIP), जसको प्याकेटहरू विभिन्न सुरुङहरूमा समाप्त भयो। नेटवर्क पूर्वाधारको जटिलता निरन्तर बढ्दै गएको छ: अनावश्यकता, भर्चुअलाइजेशन, प्रशासनको सरलीकरण, र यस्तै। एकातिर, यसले डाटा ट्रान्समिशनको सन्दर्भमा विश्वसनीयता बढाउँछ, अर्कोतर्फ, यसले सूचना सुरक्षा प्रणालीहरूको सञ्चालनलाई जटिल बनाउँछ। यदि विश्लेषकहरूसँग टनेलहरूसँग समर्पित च्यानल प्रशोधन गर्न पर्याप्त प्रदर्शन छ भने पनि, समस्या समाधान गर्न नसकिने हुन सक्छ, किनभने केही प्रयोगकर्ता सत्र प्याकेटहरू अर्को च्यानलमा प्रसारित हुन्छन्। यसबाहेक, केही पूर्वाधारहरूले अझै पनि सत्रहरूको पूर्णताको ख्याल राख्ने प्रयास गर्दा, बहु-सत्र प्रोटोकलहरूले पूर्ण रूपमा फरक मार्गहरू लिन सक्छन्;
• MPLS, VLAN, व्यक्तिगत उपकरण ट्याग, आदि को उपस्थिति मा सन्तुलन। ठ्याक्कै टनेलहरू होइन, तर जे होस्, आधारभूत कार्यक्षमता भएका उपकरणहरूले यो ट्राफिकलाई IP बाहेक अरू कुराको रूपमा बुझ्न सक्छ र यसलाई MAC ठेगानाहरूमा आधारित सन्तुलन गर्न सक्छ, एक पटक फेरि सन्तुलनको एकरूपता वा सत्रहरूको अखण्डता उल्लङ्घन गर्दछ।

सञ्जाल प्याकेट ब्रोकरले बाह्य हेडरहरू पार्स गर्दछ र क्रमशः नेस्टेड आईपी हेडर र यसमा ब्यालेन्सहरू सम्मका संकेतहरूलाई पछ्याउँछ। नतिजाको रूपमा, त्यहाँ उल्लेखनीय रूपमा धेरै प्रवाहहरू छन् (तदनुसार, यो अधिक समान रूपमा र प्लेटफर्महरूको ठूलो संख्यामा असंतुलित हुन सक्छ), र DPI प्रणालीले सबै सत्र प्याकेटहरू र बहुसत्र प्रोटोकलहरूको सबै सम्बन्धित सत्रहरू प्राप्त गर्दछ।

2. ट्राफिक परिमार्जन।
यसको क्षमताहरूको सन्दर्भमा फराकिलो प्रकार्यहरू मध्ये एक, त्यहाँ धेरै उपकार्यहरू र तिनीहरूको अनुप्रयोगको लागि विकल्पहरू छन्:

• पेलोड मेटाउँदै, यस अवस्थामा मात्र प्याकेट हेडरहरू विश्लेषण उपकरणमा स्थानान्तरण गरिन्छ। यो विश्लेषण उपकरणहरू वा ट्राफिकका प्रकारहरूको लागि सान्दर्भिक छ जसमा प्याकेटहरूको सामग्री या त फरक पर्दैन वा विश्लेषण गर्न सकिँदैन। उदाहरणका लागि, एन्क्रिप्टेड ट्राफिक प्यारामेट्रिक एक्सचेन्ज डाटाको लागि (कसले, कससँग, कहिले र कति) चासोको हुन सक्छ, तर पेलोड वास्तवमा फोहोर हो जसले विश्लेषकको च्यानल र कम्प्युटिङ स्रोतहरू लिन्छ। भिन्नताहरू सम्भव हुन्छन् जब पेलोडलाई दिइएको अफसेटबाट सुरु गरेर ट्रिम गरिन्छ - यसले विश्लेषण उपकरणहरूको लागि थप स्कोप प्रदान गर्दछ;
• डिटनेलिङ, अर्थात् टनेलहरू संकेत गर्ने र पहिचान गर्ने हेडरहरू हटाउने। लक्ष्य विश्लेषण उपकरणहरूमा लोड कम गर्न र तिनीहरूको दक्षता बढाउनु हो। Detunneling एक निश्चित अफसेट वा गतिशील हेडर विश्लेषण र प्रत्येक प्याकेटको लागि अफसेट दृढतामा आधारित हुन सक्छ;
• प्याकेट हेडरहरूको भाग हटाउँदै: MPLS ट्यागहरू, VLAN, तेस्रो-पक्ष उपकरणहरूको विशिष्ट क्षेत्रहरू;
• हेडरको भाग मास्क गर्दै, उदाहरणका लागि, ट्राफिक अज्ञातता सुनिश्चित गर्न आईपी ठेगानाहरू मास्किङ;
• प्याकेटमा सेवा जानकारी थप्दै: टाइमस्ट्याम्प, इनपुट पोर्ट, ट्राफिक वर्ग लेबल, आदि।

3. डुप्लिकेशन - विश्लेषण उपकरणहरूमा प्रसारित डुप्लिकेट ट्राफिक प्याकेटहरूको सफाई। डुप्लिकेट प्याकेटहरू प्रायः पूर्वाधारमा जडानको प्रकृतिको कारणले उत्पन्न हुन्छ - ट्राफिक धेरै विश्लेषण बिन्दुहरू मार्फत जान सक्छ र ती प्रत्येकबाट मिरर हुन सक्छ। असफल TCP प्याकेटहरू पुन: पठाउने पनि सामान्य छ, तर यदि तिनीहरू धेरै छन् भने, यी अधिक सम्भावित मुद्दाहरू नेटवर्कको गुणस्तर निगरानीसँग सम्बन्धित छन्, यसको सट्टा सूचना सुरक्षा।

4. उन्नत फिल्टरिङ सुविधाहरू - दिइएको अफसेटमा विशिष्ट मानहरू खोजीदेखि सम्पूर्ण प्याकेटको हस्ताक्षर विश्लेषणसम्म।

5. NetFlow/IPFIX पुस्ता - ट्राफिक पास गर्ने र विश्लेषण उपकरणहरूमा यसको स्थानान्तरणमा तथ्याङ्कहरूको विस्तृत दायराको सङ्कलन।

6. SSL ट्राफिकको डिक्रिप्शन, सर्टिफिकेट र कुञ्जीहरू पहिले नेटवर्क प्याकेट ब्रोकरमा लोड गरिन्छ भनी काम गर्दछ। जे होस्, यसले तपाईंलाई विश्लेषण उपकरणहरूलाई महत्त्वपूर्ण रूपमा राहत दिन अनुमति दिन्छ।

त्यहाँ धेरै प्रकार्यहरू छन्, उपयोगी र मार्केटिङहरू, तर मुख्यहरू सम्भवतः सूचीबद्ध छन्।

तिनीहरूलाई रोक्नको लागि प्रणालीहरूमा पत्ता लगाउने प्रणालीहरू ( घुसपैठ, DDOS आक्रमणहरू) को विकास, साथै सक्रिय DPI उपकरणहरूको परिचयले स्विचिङ योजनालाई निष्क्रिय (ट्याप वा स्प्यान पोर्टहरू मार्फत) सक्रिय ("अन्तरमा) मा परिवर्तन गर्न आवश्यक छ। ")। यस परिस्थितिले विश्वसनीयताका लागि आवश्यकताहरू बढायो (यस अवस्थामा असफलताले सम्पूर्ण नेटवर्कको अवरोध निम्त्याउँछ, र सूचना सुरक्षामा नियन्त्रण गुमाउने मात्र होइन) र अप्टिकल कप्लरहरूलाई अप्टिकल बाइपासको साथ प्रतिस्थापन गर्न नेतृत्व गर्‍यो (समस्या समाधान गर्न। प्रणाली सूचना सुरक्षा को अपरेबिलिटी मा नेटवर्क अपरेबिलिटी को निर्भरता), तर मुख्य कार्यक्षमता र यसको लागि आवश्यकताहरु उस्तै रहन्छ।

हामीले डिजाइन र सर्किट डिजाइनदेखि फर्मवेयरसम्म 100G, 40G र 10G इन्टरफेसहरू भएका DS Integrity Network Packet Brokers विकास गरेका छौं। यसबाहेक, अन्य प्याकेट ब्रोकरहरूको विपरीत, नेस्टेड टनेल हेडरहरूको परिमार्जन र सन्तुलन कार्यहरू पूर्ण पोर्ट गतिमा हार्डवेयरमा लागू गरिन्छ।

स्रोत: www.habr.com