Kan Deep Packet Inspection forbedre sikkerhedsovervågningen af telekommunikationsnetværk?

Telekommunikationsnetværk er yderst sårbare over for angreb fra ondsindede brugere. Da telekommunikationsnetværk tilbyder en stadig større bredde af tjenester, udvides deres angrebsflade konstant. Konventionelle løsninger såsom firewalls, IDS og antivirusgateways anvender signaturer på kendte angreb for at skelne mellem "ondt" og "godt". Sådanne signaturbaserede løsninger er ikke særlig effektive til at opdage avancerede angreb, der "skjuler sig" i "normal" trafik. Dyb pakkeinspektion (DPI) hjælper med at lukke denne sikkerhedsgap ved at analysere indholdet, konteksten og adfærdsmønstrene for pakker, mens de passerer gennem netværket.

Den stigende behov for sikkerhed i telekommunikationsnetværk

Der er mange udfordringer, som sikkerhedsvirksomhedsteamet står over for i et teleselskabsnetværk. Abonnenternes trafikmængde med millioner af samtidige sessioner gør det svært at opretholde en konsekvent sikkerhed for en så omfattende angrebsflade. Ud over et stigende antal brugere skal også milliarder af forskellige enheder – fra smartphones til Internet of Things-enheder (IoT-enheder) – overvåges. Med den stigende anvendelse af kryptering bliver det stadig sværere at identificere trusler i abonnenttrafikken. Sikkerhed er blevet en stigende prioritet for teleselskaber, som står over for betydelige juridiske og finansielle konsekvenser, hvis de ikke kan identificere og reagere på svindel, phishing og ulovlig indhold. Mærkeværdiens omdømme er ligeledes meget vigtigt, da operatørens image er knyttet til hver enkelt abonnent. Disse trusler er et tegn på, at der bør være bedre sikkerhedsoversigt over teleselskabsnetværket end den, der er tilgængelig via flowdata.

Kernefunktioner for Deep Packet Inspection

Der findes flere nøglefunktioner for DPI, der gavner sikkerhedsoperationer: protokolafkodning, mønstermatchning, adfærsanalyse, flowgenopbygning og metadataudtrækning. DPI understøtter inspektion af tusindvis af forskellige netværksprotokoller, uanset hvilke porte de er tildelt, fra simple HTTP- og DNS-transaktioner til avancerede peer-to-peer-protokoller. Den identificerer signaturer, der er kendt for at være forbundet med malware, kommando-og-kontrol-servere samt phishing-svindel. Den identificerer også ukendte trusler ved at registrere afvigelser fra normal adfærd. DPI genopbygger hele sessioner, hvilket muliggør inspektion af web sider og filoverførsler i deres helhed. Endelig genererer den gennemsøgelige logfiler over kommunikationen mellem abonnenter, herunder protokoller og typer af overført data.

Hvordan DPI forbedrer trafiksynlighed

Der er ingen sikkerhedsovervågning uden netværksstrømsynlighed. DPI transformerer den synlighed, som sikkerhedsoperatører har på deres netværk. Mens grundlæggende trafikanalyse giver kilde- og destinations-IP-adresser for datastrømme, giver DPI operatørerne mulighed for at identificere og overvåge specifikke applikationer, såsom et WhatsApp-opkald, en YouTube-stream eller en botnet, der sender instruktioner via en krypteret kanal. Traditionel overvågning giver kun statistikker såsom antallet af overførte bytes, mens DPI giver yderligere information om, hvilken type data der overføres, herunder om dataene er krypterede. Avanceret DPI anvender adfærsanalyse af trafik samt maskinlæring til at inspicere krypterede datastrømme og identificere trusler uden at kompromittere abonnenternes privatliv på en bred skala. Disse sikkerhedsfunktioner hjælper operatører med at besvare centrale spørgsmål: Hvilken abonnent kommunikerer med en kendt phishing-domæne? Overføres store mængder følsomme data uden for almindelige forretningsåbningstider? Er en kommando- og kontrolkanal åben på en krypteret kanal? DPI giver svar, som sikkerhedsoperatører i et telekommunikationsnetværk ellers ikke har adgang til.

Opdag skjulte trusler med DPI-teknologi

Mange cybersikkerhedstrusler skjuler sig blandt "uskyldig" netværkstrafik. DPI er fremragende til at identificere skjulte trusler i netværkstrafikken. DNS-tunneling, hvor data skjules i DNS-trafik, fremstår som almindelige DNS-forespørgsler og -svar for et standardovervågningsystem, men et DPI-system kan analysere forespørgselsmængden, domæneentropien og svardataene for at opdage denne skjulte trussel. Kommando- og kontrolkanaler, der skjuler deres aktivitet i HTTPS-trafik, kan identificeres ud fra adfærdsmønstre såsom rutinemæssige forbindelsesforespørgsler og små pakkestørrelser, som et DPI-system kan genkende. Langsigtede trafikmønstre, f.eks. langsom dataudtrækning fra et netværk, er en anden type trussel, som et DPI-system kan identificere ved at analysere unormale trafikmængder over tid. Avancerede vedvarende trusler (APTs) anvender alle disse teknikker effektivt, men DPI giver sikkerhedsprofessionelle et forspring.

Forenkle daglig netværkssikkerhedshåndtering

Security Operations Centers (SOC'er) er plaget af hundrede millioner advarsler dagligt, hvor de fleste har lav prioritet. DPI forenkler sikkerhedsstyringen ved at bruge trafikanalyse og adfærsanalyse til at filtrere og prioritere advarsler intelligent. Ved at identificere intelligently, hvilken type trafik der faktisk udgør en sikkerhedstrussel, kan operatører koncentrere deres ressourcer, hvor de har størst brug for dem. For eksempel får en forbindelse til et malware-site højere prioritet end en forbindelse til et kendt sikkerhedstest-domæne. DPI understøtter også automatiserede reaktioner på opsporede trusler. Når DPI identificerer trafik, der stemmer overens med en bestemt angrebstype, kan den automatisk afslutte sessionen, isolere abonnenten eller eskalere en advarsel. Dette reducerer mængden af manuel efterforskning, der kræves for at håndtere angreb.

Praktisk DPI-værdi for telekommunikationsoperatører

Dyb pakkeinspektion har bred værdi inden for flere områder af telekommunikationsdrift. Fordele ved bedragsbekæmpelse er uantægtelige, da løsningen hjælper operatører med at identificere SIM-boks-bedrageri, for eksempel, og værdien i forbindelse med phishing-angreb er tydelig, idet adgang til falske websteder blokeres. Evnen til at opdage DDoS-trafik hjælper operatører med at skelne mellem ægte trafik og angrebstrafik, og overholdelse af reglerne om lovlig aflytning bliver meget enklere med et DPI-system, der kan levere de nødvendige pakkeoptagelser. Netværksplanlægning drager fordel af den indsigt, der opnås om nuværende trusler og nye angrebsvektorer. For alle disse anvendelsesområder leverer DPI handlingsorienteret indsigt.

Tilpassede DPI-løsninger til telekommunikations-scenarier

Sino-Telecom udvikler løsninger til dyb pakkeinspektion, der opfylder teleoperatørernes specifikke behov. Disse løsninger kan håndtere linjehastigheder op til 100 Gbps med minimal indvirkning på netværkslatensen. De giver også adgang til et omfattende og løbende opdateret bibliotek med applikationssignaturer til genkendelse af aktuelle trusler. Administrationsgrænsefladerne kan tilpasses med sikkerhedsdashboards, automatiserede reaktionspolitikker og integration med SIEM-systemer til indsamling af sikkerhedshændelsesdata. Disse DPI-løsninger tilbydes i en række forskellige implementeringskonfigurationer, der passer operatørernes behov.

Konklusion

Dyb pakkeinspektion transformerer, hvordan teleoperatører tilnærmer sig netværkssikkerhed. Ved at give en applikationsbevidst, sikkerhedscentreret inspektionsmetode afslører DPI skjulte trusler, giver klar trafikoversigt og hjælper med at forhindre phishing, svindel og malware —og sikrer samtidig abonnenternes sikkerhed samt overholdelse af reguleringskrav. Kontakt Sino-Telecom-sales for at aftale en konsultation eller downloade datablad, der beskriver løsningerne.