Как DPI пакетната инспекция решава проблемите със сигурността на данните за операторите?

Сигурността на данните все повече става един от най-насъщните проблеми за телекомуникационните оператори по целия свят. С увеличаването на сложността и мащабите на мрежите операторите изпитват по-голям натиск да защитават данните на абонатите, да предотвратяват измами, да изпълняват регулаторните изисквания и да удовлетворяват доверието на клиентите. Повечето традиционни решения са недостатъчни, тъй като липсва необходимата детайлизираност за откриване на сложни заплахи, скрити в иначе нормалния мрежов трафик. Дълбоко инспектиране на пакетите (DPI) технологията решава тези предизвикателства, като осигурява напреднала идентификация на трафика, анализ на протоколите и мрежова видимост възможности, което позволява на операторите да получават изчерпателни прозрения в своите мрежи, като по този начин подобряват сигурността, оптимизацията и ефективността на експлоатацията.

Чести проблеми със сигурността на данните за операторите

Операторите са изправени пред уникални предизвикателства, свързани със сигурността на данните, с които повечето предприятия не се нуждаят да се занимават. Защитата на данните на абонатите е непрекъснат проблем – личните данни, данните за местоположение и записите от разговори трябва да се пазят в тайна от всички неупълномощени трети страни. Измамната дейност, която директно засяга приходите на операторите и потребителския опит на абонатите, варира от измама чрез SIM-кутии (когато международните разговори се правят да изглеждат като местни) до други форми на измама, свързани с трафика. Операторите все по-често се използват и като канал от атакуващи, целящи фишинг и злонамерени програми, които са научили как да изпращат имейли и злонамерено съдържание до абонатите чрез самата мрежа на оператора. Тези предизвикателства са още повече усилени от многобройните нови и разнообразни регулаторни изисквания, които налагат на операторите задължението да блокират незаконно съдържание, да предотвратяват нарушения на сигурността на данните и да поддържат аудитна следа от всички инциденти, свързани с киберсигурността. Атаките тип DDOS (разпределена атака от отказ в услугата), които имат два варианта (обемна и на приложният слой), могат да доведат до спиране на мрежата в миг, а накрая винаги съществува и вътрешният риск от служители и компрометирани учётни данни, който простият мониторинг на мрежата не винаги може да открие. Обединяващият фактор зад всички тези болезнени точки е липсата на достатъчна видимост в мрежата и в това какво преминава през нея.

Как DPI решава основните предизвикателства в областта на сигурността

Dpi работи чрез няколко ключови функции. Декодирането на протокола разкрива приложението, от което произлиза всеки пакет (напр. различаване на валидна HTTPS-сесия за търсене в интернет от зловреден софтуер, който използва този протокол като защитен канал). Инспекцията на полезния товар анализира съдържанието на самия пакет, за да се откриват сигнатури на експлоити или фишинг URL-адреси, както и трафик за команда и контрол (C&C). Поведенческият анализ се опитва да идентифицира аномални пакети, които не съответстват на известни сигнатури – например домашен потребител, който генерира изключително голям обем изходящ трафик през малко вероятни портове, или трафик за команда и контрол с шаблони, които не съвпадат с никоя известна сигнатура. Възстановяването на потока позволява пакетите, принадлежащи към една и съща комуникация, да бъдат събрани отново. Създаването на метаданни генерира търсимите записи за всички потоци, така че по-късно да могат да се извършват форензични разследвания при инциденти. Всички тези функции заедно превръщат суровия трафик в смислени данни за сигурност.

DPI за детектиране на заплахи в реално време

Знаейки какво да блокира, е от малка полза, ако няма възможност за това в реално време, докато заплахата се разкрива. Инспекцията на пакетите чрез DPI помага на телекомуникационните оператори да откриват заплахи в реално време, вместо часове или дни след нарушаване на сигурността, когато операторът често може да направи малко повече от това да информира абонатите си за потенциален проблем. Например, когато абонат се опита да се свърже с фалшив уебсайт за фишинг, DPI-двигателят на оператора разпознава URL-адреса на фишинговата страница в рамките на няколко милисекунди по време на DNS-заявката или установяването на HTTP-сесия и може незабавно да я блокира. Когато устройство, контролирано от зловреден софтуер, се опита да се свърже със своя сървър за командване и контрол, DPI-двигателят може да разпознае характерния „маяк“-пакет и IP-адреса на неговата цел, използвайки данни от хранилища с информация за заплахи, и да го блокира моментално. Това също така позволява на оператора да защитава проактивно абонатите си от загуба на данни. Откриването на разпространението на зловредни програми (напр. EXE, APK) и аномалното поведение в трафика чрез дълбоко възстановяване на проби и съпоставяне с база данни от характеристики. Това откриване в реално време е от съществено значение за проактивно управление на заплахите, а не само за реакция след настъпването на инциденти в областта на информационната сигурност.

Възможности за блокиране и защита срещу открити заплахи

Само откриването на заплахите не е достатъчно; способността активно да се осъществява защита и блокиране на установените заплахи е от решаващо значение за решаването на проблемите в областта на сигурността. Устройствата за дълбоко инспектиране на пакетите включват възможности за блокиране, така че заплахите да се ограничават незабавно след тяхното идентифициране. Когато системата DPI идентифицира опит за фишинг, тя може да прекъсне трафика, като по този начин предотврати абоната да достигне до измамния уебсайт. Когато бъде идентифицирано злонамерено ПО, което се опитва да установи връзка, връзката с командния и контролен (C&C) сървър може да бъде блокирана – както за конкретния абонат, така и за цялата мрежа – за да се предотврати всяка по-нататъшна комуникация. Незаконно съдържание или друга идентифицирана заплаха се блокира в реално време от двигателите за политики. Блокирането може да бъде толкова целенасочено или всеобхватно, колкото определя политиката. То може просто да регистрира трафика за анализ или да блокира само при повторение на опита няколко пъти последователно от конкретен абонат или местоположение.

Опростете управлението на сигурността с DPI

Един от основните предизвикателства за центъра за сигурност в телекомуникационна мрежа е, че броят на сигнализациите за сигурност може да бъде огромен, а много от тях могат да са фалшиви положителни резултати. Дълбоката инспекция на пакетите добавя интелигентност към сигнализациите, като разграничава истинския мрежов трафик от злонамерено съдържание, така че екипите по сигурност не губят време върху събития, които представляват малък или изобщо никакъв риск за сигурността на абоната или мрежовата инфраструктура. Например сигнализация в мрежата на оператора за трафик, насочен към уебсайт за разпространение на зловреден софтуер, е далеч по-значима от същата сигнализация, получена от автоматизиран скенер за уязвимости по време на одобрен тестов сесия. Автоматизираните отговори позволяват на оператора да конфигурира политики за автоматично блокиране на известен злонамерен трафик веднага щом бъде открит, без нужда от човешко намесване. Консолидацията на сигнализациите позволява множество събития, свързани с една и съща основна заплаха, да се групират заедно в една единствена сигнализация за сигурност, така че екипите по сигурност на оператора да работят по-ефективно и продуктивно.

Намаляване на рисковете за сигурност в ежедневните операции

Телекомуникационните мрежи са сложни среди, където много дейности, извършвани от хора – като промени в конфигурацията, актуализации на софтуера и поддръжка от доставчици, – пораждат операционни рискове. Дълбоката инспекция на пакетите (DPI) помага за управление на тези рискове. Промяната в конфигурацията на мрежата става по-малко рискована, когато мрежовите инженери са уверени, че последствията за сигурността са били надлежно разбрани и отстранени. Дейностите по поддръжка от доставчици и достъпите до мрежата могат да се наблюдават, за да се гарантира, че няма да бъдат извършени неоторизирани промени и няма да бъде извлечена частна информация от мрежата на оператора. Разпространяването на услуги също представлява риск, тъй като може да е трудно да се предвиди влиянието и сигурността при внедряването на нова услуга; затова е от съществено значение да се осигури, че новата услуга не въвежда допълнителни вектори за атака. Реагирането при инциденти става значително по-лесно, когато операторът може да използва информацията от форензичните записи на DPI, за да разбере бързо и точно какво се е случило при предишния инцидент, така че той да бъде отстранен правилно за много по-кратко време.

Практична стойност на DPI за сигурността на операторите

Предимствата за операторите при използване на DPI за сигурността на мрежата могат да се обобщят в следните основни случаи на употреба.

Борбата с измамите използва дълбока инспекция на пакетите (DPI), за да открие измама чрез SIM-кутия, като корелира различни данни, като например записи за телефонни разговори, данни за местоположение и сигнализационни модели, за да идентифицира международни обаждания, които завършват в мрежата, но са маскирани като местни обаждания, за да се спре директната загуба на приходи.

Борбата с фишинга използва DPI, за да блокира незабавно известни злонамерени фишингови сайтове и по този начин намали загубата на поверителни данни от абонатите и намали броя на обажданията към линиите за поддръжка на оператора, свързани с оплаквания за измамна дейност.

Борбата със зловреден софтуер използва DPI, за да открива комуникацията на зловреден софтуер в реално време с командни и контролни (C&C) сайтове и намали броя на заразените устройства в мрежата.

Предотвратяването на загуба на данни идентифицира чувствителни данни, преминаващи по мрежата без шифриране, които операторът е задължен по регулаторни изисквания да защити, и прилага или осигурява прилагането на политиките за сигурност, свързани с поверителността на чувствителните данни.

Надеждни решения за дълбоко анализиране на пакетите за защита на данните

Sino-Telecom предлага напълно интегрирани решения за дълбоко анализиране на пакетите, за да отговори на предизвикателствата в областта на сигурността пред операторите. Решенията за дълбоко анализиране на пакетите на Sino-Telecom обработва мрежовия трафик в реално време онлайн със скорости от 1 Gbps до 100 Gbps и предлага всеобхватни бази данни за интелигентно разпознаване на заплахи, включително сигнатури за хиляди приложения и известни нововъзникващи заплахи. DPI-решенията на Sino-Telecom обработват мрежовия трафик в мащабен обем и осигуряват до 120 Gbps на 1U апарат за 5G мобилни мрежи и достигат водещата в отрасъла скорост от 1200 Gbps с нативна поддръжка на 400GE за фиксиран широколентов достъп. Задвижвани от изключително ефективния UCPP двигател, нашите решения разполагат с гигантска черна листа от 4 милиона записи и всеобхватни механизми за блокиране – включително прекратяване на TCP връзки, отхвърляне на UDP пакети и HTTP препращане. Чрез разпознаване на над 3500 подкатегории на приложения и корелация на трафика от 5G/ IoT Sino-Telecom предоставят операторите с интелигентна информация за заплахи на ниво мрежови оператор.