Hvordan løser DPI-pakkeinspektion data sikkerhedens smertepunkter for operatører?

Datasikkerhed bliver mere og mere en af de mest presserende udfordringer for teleselskaber verden over. Da netværkenes kompleksitet stiger og netværkene bliver større, står operatørerne under øget pres for at beskytte abonnentdata, forhindre svindel og opfylde reguleringskrav samt opretholde kundetilliden. De fleste konventionelle løsninger er utilstrækkelige, fordi de mangler den nødvendige granularitet til at opdage avancerede trusler, der skjules i tilsyneladende almindelig netværkstrafik. Dyb pakkeinspektion (DPI) teknologien løser disse udfordringer ved at levere avanceret trafikidentifikation, protokolanalyse og netværkssynlighed funktioner, hvilket giver operatører mulighed for at opnå omfattende indsigt i deres netværk, samtidig med at sikkerheden, optimeringen og den operative effektivitet forbedres.

Almindelige data sikkerhedsmæssige udfordringer for operatører

Operatører står over for unikke udfordringer inden for datasesikkerhed, som de fleste virksomheder ikke behøver at bekymre sig om. Beskyttelse af abonnentdata er et vedvarende problem – personlige data, lokaliseringsdata og opkaldslogge skal holdes fortrolige over for enhver uautoriseret tredjepart. Svindelaktiviteter, som direkte påvirker operatørens indtægter og abonnenternes oplevelse, spænder fra SIM-box-svindel (hvor internationale opkald fremstilles som lokale) til andre former for trafikrelateret svindel. Operatører anvendes også i stigende grad som en kanal af phishings- og malwareangribere, der har lært at sende e-mails og ondsindet indhold til abonnenter via operatørens netværk selv. Disse udfordringer er yderligere forværret af talrige nye og mangfoldige reguleringskrav, som kræver, at operatører blokerer ulovligt indhold, forhindrer dataindbrud og opretholder en revisionsprotokol over eventuelle sikkerhedshændelser. DDOS-angreb (Distributed Denial of Service), som forekommer i to varianter (volumetrisk og applikationslag), kan bringe et netværk ned på et øjeblik, og endelig er der altid den interne risiko fra medarbejdere og kompromitterede adgangskoder, som simpel netværksovervågning ikke altid kan registrere. Den fælles tråd bag alle disse udfordringer er mangel på tilstrækkelig indsigt i netværket og i det, der krydser det.

Hvordan DPI håndterer kerne-sikkerhedsudfordringer

Dpi fungerer gennem flere nøglefunktioner. Protokolafkodning afslører, hvilken applikation hver pakke stammer fra (f.eks. adskillelse af en gyldig HTTPS-browser-session fra malware, der udnytter den som en sikker kanal). Inspektion af nyttelasten undersøger indholdet i selve pakken for at opdage signaturer på udnyttelsesangreb eller phishing-URL'er eller trafik til kommando- og kontrolservere (C&C). Adfærdsanalyse forsøger at identificere unormale pakker, der ikke matcher kendte signaturer – f.eks. en privat bruger, der genererer meget stor mængde udgående trafik fra usandsynlige porte, eller C&C-trafikmønstre, der ikke matcher nogen kendte signaturer. Flow-rekonstruktion gør det muligt at genskabe pakker, der tilhører samme samtale. Oprettelse af metadata genererer gennemsøgelige registreringer af alle flows, så eventuelle hændelser senere kan undersøges forensisk. Alle disse funktioner sammen omdanner rå netværkstrafik til meningsfuld sikkerhedsdata.

DPI til realtidsdetektering af datatrussel

At vide, hvad der skal blokeres, er af lille værdi uden evnen til at gøre det i realtid, mens truslen opstår. Pakkeinspektion med DPI hjælper teleselskaber med at opdage trusler i realtid i stedet for timer eller dage efter en sikkerhedsbrud, hvor operatøren måske kun kan informere sine abonnenter om et potentiel problem. For eksempel, når en abonnent forsøger at oprette forbindelse til en svigagtig phishing-side, genkender operatørens DPI-motor phishing-URL'en inden for millisekunder under DNS-anmodningen eller opsætningen af HTTP-sessionen og kan blokere den øjeblikkeligt. Når en enhed, der kontrolleres af malware, forsøger at oprette forbindelse til dens kommando- og kontrolserver, kan DPI-motoren genkende det karakteristiske beacon-pakke samt dens destinations-IP-adresse fra trusselintelligensfeeds og blokere den øjeblikkeligt. Det giver også operatøren mulighed for proaktivt at beskytte abonnenter mod dataudtab. Det omfatter opdagelse af udbredelse af ondsindede programmer (f.eks. EXE-, APK-filer) og unormale trafikmønstre via dyb prøvegenopretning og sammenligning med funktioner i en database. Denne realtidsdetektion er afgørende for proaktiv truselstyring i stedet for blot at reagere på sikkerhedshændelser, efter at de er sket.

Evne til at blokere og skærme mod opsporede trusler

Det er ikke nok at opdage trusler; evnen til aktivt at skærme mod og blokere identificerede trusler er afgørende for at løse sikkerhedsproblemerne. Enheder til dyb pakkeinspektion (DPI) indeholder blokeringsfunktioner, så truslerne begrænses øjeblikkeligt, når de identificeres. Når DPI identificerer et phishing-forsøg, kan det afbryde trafikken og dermed forhindre abonnenten i nogensinde at nå frem til den svigagtige hjemmeside. Når malware, der forsøger at kommunikere, identificeres, kan forbindelsen til C&C-serveren blokeres – enten for den specifikke abonnent eller for hele netværket – hvilket forhindrer yderligere kommunikation. Ulovlig indhold eller enhver anden identificeret trussel blokeres i realtid af politikmotor. Blokering kan være lige så målrettet eller bred som politikken fastlægger. Den kan simpelthen registrere trafikken til analyse, eller blokere kun, hvis forsøget gentages flere gange i træk fra en bestemt abonnent eller lokation.

Forenkle sikkerhedsstyring med DPI

En af de største udfordringer for sikkerhedsoperationscenteret i et teleselskabs netværk er, at antallet af sikkerhedsadvarsler kan være enormt, og mange af dem kan være falske positive. Dyb pakkeinspektion tilfører intelligens til advarslerne ved at skelne mellem rigtig netværksaktivitet og ondsindet indhold, så sikkerhedsholdene ikke spilder tid på hændelser, der udgør en minimal eller ingen sikkerhedstrussel for abonnenten eller netværksinfrastrukturen. For eksempel er en advarsel på operatørens netværk om trafik, der retter sig mod et site til distribution af malware, langt mere betydningsfuld end den samme advarsel, der stammer fra en automatisk sårbarhedsscanner under en godkendt testsession. Automatiserede reaktioner giver operatøren mulighed for at konfigurere politikker til automatisk at blokere kendt ondsindet trafik, så snart den registreres, uden behov for menneskelig indgriben. Konsolidering af advarsler gør det muligt at gruppere mange hændelser, der vedrører samme underliggende trussel, til én enkelt sikkerhedsadvarsel, så operatørens sikkerhedshold bliver mere effektive og produktive.

Reducer sikkerhedsrisici i daglige driftsprocesser

Telekommunikationsnetværk er komplekse miljøer, hvor mange menneskedrevne aktiviteter – såsom konfigurationsændringer, softwareopdateringer og leverandørstøtteaktiviteter – introducerer driftsrisici. Dyb pakkeinspektion (DPI) hjælper med at håndtere disse risici. En ændring af netværkskonfigurationer bliver mindre risikofyldt, når netværksingeniører er sikre på, at sikkerhedsmæssige konsekvenser er blevet korrekt forstået og håndteret. Aktiviteter og adgange relateret til leverandørstøtte kan overvåges for at sikre, at uautoriserede ændringer ikke foretages, og at der ikke udfiltreres privat information fra operatørens netværk. Serviceimplementeringer udgør også en risiko, da det kan være svært at forudsige indflydelsen og sikkerhedsudposeringen af en ny service, og det er afgørende at sikre, at den nye service ikke introducerer nogen nye angrebsscenarier. Incidentsrespons bliver betydeligt nemmere, når en operatør kan bruge de forensiske optegnelser fra DPI til hurtigt at forstå præcis, hvad der skete ved den tidligere hændelse, så den kan rettes korrekt i meget kortere tid.

Praktisk DPI-værdi til operatørens sikkerhed

Fordele for operatører, der bruger DPI til netværkssikkerhed, kan opsummeres i følgende primære anvendelsestilfælde.

Anti-fraud-brug af deep packet inspection (DPI) påviser SIM-box-belønning ved at korrelere forskellige data, såsom opkaldsdataregistreringer, lokaliseringsdata og signaleringsmønstre, for at identificere internationale opkald, der afsluttes på netværket, men som er skjult som lokale opkald, og dermed forhindre direkte indtægtsudfald.

Anti-phishing-brug af DPI blokerer øjeblikkeligt kendte ondsindede phishing-websteder og reducerer dermed antallet af mistede legitimationsoplysninger hos abonnenter samt antallet af opkald til operatørens supportlinjer angående svindelaktivitet.

Anti-malware-brug af DPI påviser malwarekommunikation i realtid med kommando-og-kontrol-websteder (C&C) og reducerer antallet af malware-inficerede enheder på deres netværk.

Dataindsættelsesforebyggelse identificerer ikke-krypterede følsomme data, der overføres via netværket, og som operatøren er forpligtet til at beskytte i henhold til reguleringsmæssige krav, og gennemfører enten eller muliggør gennemførelsen af sikkerhedspolitikkerne vedrørende fortroligheden af de følsomme data.

Pålidelige DPI-løsninger til databeskyttelse

Sino-Telecom tilbyder fuldt integrerede løsninger til dyb pakkeinspektion (DPI) til at håndtere operatørernes sikkerhedsudfordringer. Sino-Telecoms DPI-løsninger behandle netværksdata i realtid med online-hastigheder fra 1 Gbps til 100 Gbps og tilbyde omfattende trusselsintelligensdatabaser, herunder signaturer for flere tusinde applikationer og kendte, nye trusler. Sino-Telecoms DPI-løsninger behandler netværksdata i massiv skala og leverer op til 120 Gbps pr. 1U-apparat til 5G-mobilnetværk samt skalerer op til en brancheledende 1200 Gbps med indbygget 400GE-understøttelse til fast bredbånd. Drevet af en ekstremt effektiv UCPP-motor har vores løsninger en omfattende sortliste med plads til op til fire millioner poster samt omfattende blokeringsmekanismer – herunder TCP-forbindelsesafslutning, UDP-pakkedræbning og HTTP-omdirigering. Ved at genkende over 3.500 applikationsunderkategorier og korrelere 5G/IoT-trafik Sino-Telecom udbyder løsningen den operatørgradede trusselsintelligens, som operatørerne har brug for.