Jak inspekce paketů na úrovni DPI řeší problémy s bezpečností dat pro provozovatele?

Bezpečnost dat se stává stále naléhavějším problémem pro telekomunikační operátory po celém světě. S rostoucí složitostí a rozsahem sítí jsou operátoři vystaveni vyššímu tlaku, aby chránili data svých zákazníků, předcházeli podvodům, splňovali předpisy a udržovali důvěru zákazníků. Většina tradičních řešení je nedostatečná, protože jim chybí potřebná jemnost pro detekci sofistikovaných hrozeb skrytých v jinak běžném síťovém provozu. Hluboká kontrola paketů (DPI) technologie řeší tyto výzvy poskytnutím pokročilé identifikace provozu, analýzy protokolů a přehled síťové infrastruktury schopností, které umožňují operátorům získat komplexní přehled o svých sítích a zároveň zlepšit bezpečnost, optimalizaci a provozní efektivitu.

Běžné problémy s bezpečností dat pro operátory

Provozovatelé čelí jedinečným výzvám v oblasti bezpečnosti dat, kterým většina podniků nemusí čelit. Ochrana dat předplatitelů je trvalým problémem – osobní údaje, údaje o poloze a záznamy hovorů je třeba uchovávat důvěrně před jakýmkoli neoprávněnými třetími stranami. Podvodné činnosti, které přímo ovlivňují příjmy provozovatele i zkušenosti předplatitelů, se pohybují od podvodů s SIM Boxem (kdy jsou mezinárodní hovory zfalšovány tak, aby vypadaly jako místní), až po jiné formy podvodů souvisejících s provozem. Provozovatelé jsou také stále častěji využíváni jako kanál phishingovými a malwareovými útočníky, kteří se naučili doručovat e-maily a škodlivý obsah předplatitelům právě prostřednictvím sítě provozovatele. Tyto výzvy byly dále zhoršeny řadou nových a různorodých regulačních požadavků, které vyžadují od provozovatelů blokování nelegálního obsahu, předcházení porušení bezpečnosti dat a udržování auditního záznamu všech bezpečnostních incidentů. Útoky typu DDOS (Distributed Denial of Service), které mají dvě varianty (objemové a aplikační vrstvy), mohou síť okamžitě vyřadit z provozu, a nakonec stále přetrvává vnitřní riziko ze strany zaměstnanců a kompromitovaných přihlašovacích údajů, které jednoduché sledování sítě nemusí vždy odhalit. Společným prvkem všech těchto problémových bodů je nedostatečná viditelnost sítě a toho, co jí prochází.

Jak DPI řeší základní bezpečnostní výzvy

Dpi funguje prostřednictvím několika klíčových funkcí. Dekódování protokolu odhaluje, ze které aplikace každý paket pochází (např. rozlišuje platnou relaci HTTPS pro prohlížení webových stránek od škodlivého softwaru, který tento zabezpečený kanál zneužívá). Kontrola obsahu paketu (payload inspection) zkoumá, co se v paketu skutečně nachází, aby byly detekovány signatury útoků nebo phishingové adresy URL či provoz spojený s centrálními řídicími systémy (C&C). Chování analýzy se snaží identifikovat neobvyklé pakety, které neodpovídají žádným známým signaturám – například domácí uživatel, který generuje velmi velké množství odchozího provozu z nepravděpodobných portů, nebo vzory C&C provozu, které neodpovídají žádné známé signatuře. Rekonstrukce toku umožňuje opětovné složení paketů patřících ke stejné komunikaci. Vytváření metadat generuje vyhledávatelné záznamy všech toků, aby bylo možné jakékoli incidenty později forenzně prošetřit. Všechny tyto funkce dohromady přeměňují surový síťový provoz na smysluplná bezpečnostní data.

DPI pro detekci hrozeb v reálném čase

Vědět, co blokovat, je málo užitečné bez možnosti takového blokování v reálném čase, jakmile se hrozba objeví. Kontrola paketů pomocí technologie DPI (Deep Packet Inspection) pomáhá telekomunikačním operátorům detekovat hrozby v reálném čase místo toho, aby o nich zjistili až hodiny nebo dny po úniku dat, kdy již operátor může udělat jen velmi málo – například informovat své zákazníky o potenciálním problému. Například pokud se zákazník pokusí navázat spojení s podvodnou phishingovou stránkou, modul DPI operátora rozpozná phishingovou adresu URL během několika milisekund buď během DNS požadavku, nebo při nastavování HTTP relace a okamžitě ji zablokuje. Pokud zařízení napadené škodlivým softwarem zkusí navázat spojení se serverem pro řízení a ovládání (C&C), modul DPI dokáže na základě informací z databází hrozeb rozpoznat charakteristický signál (beacon packet) a cílovou IP adresu a tento provoz okamžitě zablokovat. Dále umožňuje operátorovi aktivně chránit zákazníky před ztrátou dat – například detekcí šíření škodlivých programů (např. souborů EXE, APK) a neobvyklých chování provozu prostřednictvím hluboké obnovy vzorků a porovnání s funkcemi uloženými v databázi. Tato detekce v reálném čase je klíčová pro aktivní správu hrozeb, nikoli pouze pro reakci na bezpečnostní incidenty až po jejich výskytu.

Schopnost blokovat a chránit před detekovanými hrozbami

Detekce hrozeb nestačí; klíčové je aktivně se proti identifikovaným hrozbám bránit a blokovat je, což je nezbytné pro řešení bezpečnostních problémů. Zařízení pro hlubokou analýzu paketů (DPI) zahrnují funkci blokování, která umožňuje okamžité obsazení hrozeb ihned po jejich identifikaci. Pokud DPI detekuje pokus o phishing, může příslušný provoz zahodit, čímž zabrání uživateli vůbec dosáhnout podvodného webu. Pokud je detekován malware, který se pokouší navázat komunikaci, lze blokovat spojení se serverem C&C – buď pro konkrétního uživatele, nebo pro celou síť – a tím zabránit jakékoli další komunikaci. Nelegální obsah nebo jiná identifikovaná hrozba jsou v reálném čase blokovány prostřednictvím modulu pro správu zásad (policy engine). Blokování může být tak cílené nebo tak rozsáhlé, jak určuje daná zásada. Může například pouze zaznamenat provoz pro následnou analýzu nebo blokovat pouze v případě, že se pokus opakuje několikrát za sebou od konkrétního uživatele nebo z konkrétního umístění.

Zjednodušte správu zabezpečení pomocí DPI

Jednou z hlavních výzev pro centrum bezpečnostních operací v telekomunikační síti je obrovský počet bezpečnostních upozornění, z nichž mnohá mohou být falešně pozitivní. Hluboká inspekce paketů poskytuje upozorněním inteligenci tím, že rozlišuje skutečný síťový provoz od škodlivého obsahu, čímž bezpečnostní týmy neztrácí čas na události, které představují pro uživatele nebo infrastrukturu sítě jen minimální nebo žádné bezpečnostní riziko. Například upozornění na síti operátora na provoz směřující k webu šířícímu škodlivý software je mnohem významnější než stejné upozornění pocházející z automatického nástroje pro testování zranitelností v rámci schválené testovací relace. Automatické reakce umožňují operátorovi nastavit zásady pro automatické blokování známého škodlivého provozu v okamžiku jeho detekce bez nutnosti jakéhokoli lidského zásahu. Sloučení upozornění umožňuje seskupit do jediného bezpečnostního upozornění mnoho událostí souvisejících se stejnou základní hrozbou, čímž se bezpečnostní týmy operátora stávají efektivnějšími a produktivnějšími.

Snížení bezpečnostních rizik v běžných provozních činnostech

Telekomunikační sítě jsou složitá prostředí, kde mnoho činností prováděných lidmi – například změny konfigurace, aktualizace softwaru a podporové operace dodavatelů – přináší provozní rizika. Analýza obsahu paketů (DPI) pomáhá tato rizika řídit. Změna konfigurace sítě je méně riskantní, pokud síťoví inženýři mají jistotu, že bezpečnostní důsledky byly správně pochopeny a vyřešeny. Činnosti a přístupy dodavatelů podpory lze monitorovat, aby se zajistilo, že nebudou provedeny neoprávněné změny ani nebudou z operační sítě unikat soukromé informace. Nasazení nových služeb rovněž představuje riziko, protože je často obtížné předvídat jejich dopad a bezpečnostní zranitelnosti; je proto nezbytné zajistit, aby nová služba nepřinášela žádné nové vektory útoku. Reakce na incidenty se stává výrazně jednodušší, pokud operátor může využít forenzní záznamy získané analýzou obsahu paketů (DPI) k rychlému pochopení toho, co se při minulém incidentu skutečně odehrálo, a tak jej může správně odstranit v mnohem kratším čase.

Praktická hodnota DPI pro bezpečnost operátora

Výhody používání technologie DPI pro bezpečnost sítě pro operátory lze shrnout do následujících hlavních případů použití.

Ochrana proti podvodům využívá technologii DPI k detekci podvodů pomocí SIM Boxů tím, že koreluje různé typy dat, jako jsou záznamy hovorů, polohová data a signální vzory, aby identifikovala mezinárodní hovory ukončené v síti, které jsou však zamaskovány jako místní hovory, a tak zabránila přímé ztrátě příjmů.

Ochrana proti phishingu využívá technologii DPI k okamžitému blokování známých škodlivých phishingových webů, čímž snižuje počet ztracených přihlašovacích údajů u zákazníků a také počet hovorů na linku podpory operátora kvůli stížnostem na podvodnou činnost.

Ochrana proti škodlivým programům využívá technologii DPI k detekci komunikace škodlivých programů v reálném čase se servery C&C (Command and Control) a snižuje tak počet zařízení infikovaných škodlivými programy v jejich síti.

Prevence ztráty dat identifikuje citlivá data přenášená po síti bez šifrování, která je provozovatel povinen chránit na základě regulačních požadavků, a buď vynucuje, nebo umožňuje vynucení bezpečnostních politik týkajících se důvěrnosti těchto citlivých dat.

Spolehlivá řešení DPI pro ochranu dat

Sino-Telecom nabízí plně integrovaná řešení pro hlubokou analýzu paketů (DPI), která řeší bezpečnostní výzvy provozovatelů. Řešení DPI od Sino-Telecom zpracovává síťový provoz v reálném čase online rychlostmi od 1 Gbps do 100 Gbps a nabízí komplexní databáze hrozeb, včetně signatur pro tisíce aplikací a známých nově vznikajících hrozeb. DPI řešení společnosti Sino-Telecom zpracovává síťový provoz v masivním měřítku a dosahuje výkonu až 120 Gbps na zařízení formátu 1U pro mobilní sítě 5G a škáluje až na průmyslově vedoucích 1200 Gbps s nativní podporou 400GE pro pevné širokopásmové připojení. Poháněno ultraefektivním jádrem UCPP, naše řešení disponuje obrovskou kapacitou černého seznamu o 4 milionech položek a komplexními mechanismy blokování – včetně ukončení TCP připojení, zahazování UDP paketů a přesměrování HTTP. Díky rozpoznávání více než 3 500 podkategorií aplikací a korelaci provozu 5G/IoT Sino-Telecom poskytuje operátorům bezpečnostní inteligenci na úrovni telekomunikačních operátorů.