Jaké jsou nejlepší nástroje pro inspekci paketů v globálních telekomunikačních scénářích?

Telekomunikační sítě nabízejí neobvyklé měřítko a složitost, které jen velmi málo jiných sítí dokáže dosáhnout. Miliony současných relací uživatelů, široká škála typů zařízení, rychle se měnící aplikace a stále složitější bezpečnostní hrozby vyžadují viditelnost sítě, kterou běžné nástroje pro monitorování nedokážou poskytnout. Inspekce paketů se proto stala nezbytnou součástí pro globální telekomunikační poskytovatele, avšak ne všechny nástroje pro inspekci jsou navrženy podle standardů platných pro poskytovatele služeb.

Jedinečné výzvy globálních telekomunikačních sítí

Globální telekomunikační sítě mají výzvy, které podnikové a sítě datových center se s nimi setkávají jen zřídka. Rozdíl spočívá pouze ve velikosti: nejlepší poskytovatelé mohou zpracovávat stovky Gbit/s nebo Tbit/s přes svůj páteřní síť a zároveň musí kontrolovat miliony současných toků. Geografický rozsah přidává složitost, protože sítě sahají do mnoha zemí, kde se liší regulační standardy i kvalita infrastruktury. Další výzvou je rozmanitost protokolů – od starších systémů SS7 po současné protokoly HTTP/3 a šifrovaný peer-to-peer provoz. Chování uživatelů se mění podle regionu, časového pásma i kulturních zvyků, což znamená, že nástroje pro kontrolu provozu musí být dostatečně dynamické, aby se přizpůsobily měnícím se vzorům provozu. Součástí hrozby jsou také cílené bezpečnostní útoky – od phishingu prostřednictvím SMS a podvodů s SIM boxy až po útoky založené na signálních protokolech, které ohrožují síť SS7. Všechny tyto výzvy musí vybraný nástroj pro inspekci paketů řešit současně, což efektivně vylučuje mnoho univerzálních řešení.

Základní požadavky na nástroje pro inspekci telekomunikační třídy

Existuje několik funkcí, které musí mít všechny nástroje pro inspekci paketů určené pro telekomunikační účely. Na prvním místě je výkon; nástroj musí být schopen inspektovat provoz v rychlosti linky bez negativního dopadu na zážitek uživatele nebo přidané latence v řádu milisekund. Ztráta paketů či zavedení zpoždění je pro hlasové a video služby naprosto nepřijatelné. Stejně důležitá je spolehlivost. Telekomunikační poskytovatelé obvykle vyžadují velmi vysokou úroveň spolehlivosti – 99,999 %. Požadavky na spolehlivost zahrnují: bezvýpadkové přepínání mezi aktivními a záložními komponentami, synchronizaci stavu, aby nedošlo k přerušení provozu při přepínání, a podporu redundantního hardware a napájení. Škálovatelnost vyžaduje jak škálování výkonu – systém nasazený dnes se tedy musí snadno škálovat až na 400 Gbit/s v budoucnu – tak škálování funkcí. Nové dekodéry protokolů musí být snadno nasaditelné prostřednictvím softwaru. Dalším požadavkem na inspekční nástroj je soulad s předpisy. Mnoho zemí má specifické zákony týkající se právního zachycování (lawful intercept), uchovávání dat, standardů pro hlášení atd. Inspekční nástroj musí být schopen splnit širokou škálu těchto norem.

Provozní požadavky: Telekomunikační síť je extrémně složité prostředí, což znamená, že jakoukoli dodatečnou složitost způsobenou nástrojem pro inspekci paketů je nutné zpracovat co nejefektivněji. Provozní požadavky se zaměřují na správu a provoz nástrojů pro inspekci; to může zahrnovat monitorování prostřednictvím stávajícího OSS (Operační podporovací systém) nebo SIEM (Systém pro zabezpečení informací a správu událostí).

Klíčové funkce důvěryhodných řešení pro inspekci paketů

Důvěryhodné nástroje pro inspekci paketů v telekomunikacích nabízejí následující funkce: více než 3 500 protokolů aplikační vrstvy a podkategorií, stejně jako analýzu zašifrovaného provozu prostřednictvím chování založeného na digitálních otiscích, pokud není možné provést dešifrování. Podporují opětovné sestavení úplných transakcí napříč několika pakety, aby bylo možné obnovit škodlivé vzorky, rekonstruovat soubory a provádět hlubokou extrakci metadat pro bezpečnostní audit a dodržování předpisů. Extrahuje metadata pro každý tok zvlášť. Tato metadata budou zahrnovat identifikátor aplikace, objem přenesených dat, dobu přenosu a pole specifická pro daný protokol, například názvy DNS a adresy URL protokolu HTTP. Správa signatur by měla být okamžitě aktualizovatelná bez výpadku služby, což umožňuje sledovat nově spuštěné aplikace nebo nové signatury škodlivého softwaru během několika hodin místo týdnů či měsíců. Funkce dostupnosti pro nástroje pro inspekci zahrnují stavové převzetí služby (stateful failover), které synchronizuje provoz mezi aktivními a záložními zařízeními pro inspekci, čímž je zajištěno, že při přepnutí nedojde ke ztrátě žádných paketů. Rozhraní pro správu. Mnoho operátorů potřebuje jak možnost sledování v reálném čase prostřednictvím živých nástěnek (live Dashboards), tak i možnost exportu protokolů (logů) pro použití v datovém skladu nebo systémech SIEM.

Přizpůsobitelné nástroje pro nasazení v různých regionech

Globální telekomunikační poskytovatelé potřebují nasadit nástroje pro inspekci paketů, které lze přizpůsobit regionálním požadavkům bez nutnosti používat samostatné produkty nebo SKU. Přizpůsobitelnost má dvě klíčové formy: podporu různých jazyků – samozřejmě – ale také hlubší regionální povědomí, například schopnost rozpoznávat aplikace specifické pro daný region a splňovat místní předpisy. Evropští poskytovatelé například musí sledovat konkrétní aplikace vyvinuté v Evropě, zatímco operátoři v Asii musí monitorovat konkrétní asijské aplikace (např. WeChat nebo Line), pokud jsou v daném regionu široce využívány. Druhou úrovní přizpůsobitelnosti jsou regulační a technické požadavky: může nástroj pro inspekci splnit požadavky na zákonné odposlechy dané země? Je schopen fungovat jak v centrálně spravovaném, tak v distribuovaném režimu inspekce, aby vyhovoval různorodým infrastrukturám a místním zákonům o ochraně soukromí?

Vyvážení výkonu, nákladů a uživatelského komfortu

Telekomunikační poskytovatelé se ocitají mezi kladivem a kovadlinou – musí splnit cíle týkající se výkonu i rozpočtu a zároveň zajistit uživatelům dobré celkové uživatelské prostředí. Opravdu výkonný nástroj pro inspekci, který je natolik složitý, že vyžaduje specializované odborníky pro jeho správu, zvyšuje náklady díky nutnosti zaměstnat další personál. Na druhé straně levný nástroj pro inspekci může na první pohled vypadat jako výhodná investice – dokud nezjistíte, že provádí inspekci pouze části provozu a to pomalu, což vás nutí zakoupit více zařízení, než by bylo jinak nezbytné. Ideální řešení představuje nástroj pro inspekci, který se lineárně škáluje jak z hlediska výkonu, tak z hlediska nákladů a který vyžaduje minimální školení pro plné využití. Je třeba vzít v úvahu ukazatele, jako je cena za gigabajt, a zohlednit přitom náklady na hardware, softwarové licence, poplatky za údržbu, ale také náklady na energii, chlazení a plochu pro umístění zařízení. Uživatelská přívětivost se netýká tolik základní funkce inspekce provozu, ale spíše jednoduchosti správy, konfigurace a generování sestav.

Stabilní nástroje pro inspekci pro dlouhodobý provoz

Telekomunikační síť je investicí na velmi dlouhou dobu, někdy plánovanou na desetiletí. Proto musí být nástroj pro inspekci paketů velmi stabilní. Pod pojmem „stabilita“ rozumíme, že po počátečním nasazení a konfiguraci vyžaduje minimální úpravy a restartování. Znamená to konzistentní chování napříč verzemi softwaru. Spolehlivý hardware s rozumnou životností a udržitelná podpora. Nástroj nesmí také zavádět problémy se zpětnou kompatibilitou. Starší konfigurační soubor musí fungovat s novou verzí softwaru a naopak. Funkce musí mít dokumentovanou životnost. A co je zásadní, všechny nové signatury nebo aplikace musí být zpětně kompatibilní.

Přizpůsobená řešení pro globální potřeby telekomunikací

Společnost Sino-Telecom poskytuje řešení pro inspekci paketů, která jsou speciálně navržena tak, aby vyhovovala potřebám globálních telekomunikačních poskytovatelů. Naše řešení využívají pokročilé korelace roviny řízení a roviny uživatele (včetně rozhraní GTP-U a 5GC N1–N40), hardwarově urychlené dešifrování zpráv NAS a dynamické doplňování identifikátorů uživatele (SUPI/PEI). Naše 1U mobilní zařízení pro hlubokou inspekci paketů (DPI) zpracovávají až 120 Gbit/s provozu 5G, zatímco naše platformy pro pevné sítě dosahují škálovatelnosti až na průmyslově vedoucích 1200 Gbit/s na systém s nativní podporou portů 400GE a s robustní spolehlivostí na úrovni telekomunikačních operátorů, včetně redundantního napájení, hardwaru s možností výměny za chodu a bezvýpadkového přepínání mezi aktivními a záložními jednotkami. Naše DPI dekódují tisíce aplikací s podporou signatur, které jsou  jedinečné pro asijské, latinskoamerické, evropské a africké sítě. Funkce exportu metadat podporují standard IETF IPFIX a specifikace toků, jako je NetFlow, a poskytují také REST API pro integraci do stávajících řešení OSS a SIEM. Naše řešení DPI lze nasadit ve formě specializovaného zařízení, virtuálního počítače nebo kontejnerizovaného prostředí.

Závěr

Výběr řešení pro inspekci paketů pro globální telekomunikační operátory je složitý. Jedinečné výzvy globální sítě vyžadují stejně jedinečná řešení. Existuje přesahující množství důležitých funkcí, které je třeba zvážit u jakéhokoli skutečně robustního a použitelného telekomunikačního řešení pro inspekci paketů. Klíčové je vyvážit náklady a výkon v použitelném řešení. Stabilita je zásadní pro zajištění dlouhodobé provozuschopnosti a nízkých celkových nákladů na vlastnictví. Další informace získáte bez váhání kontaktujte společnost Sino-Telecom .