Kann die Deep-Packet-Inspection die Sicherheits-Sichtbarkeit von Telekommunikationsnetzwerken verbessern?

Telekommunikationsnetze sind hochgradig anfällig für Angriffe durch bösartige Nutzer. Da Telekommunikationsnetze immer mehr Dienste anbieten, wächst ihre Angriffsfläche stetig. Herkömmliche Lösungen wie Firewalls, IDS und Antiviren-Gateways nutzen Signaturdaten bekannter Angriffe, um zwischen „schädlichem“ und „sicherem“ Datenverkehr zu unterscheiden. Solche signaturbasierten Lösungen sind jedoch nur begrenzt effektiv bei der Erkennung ausgeklügelter Angriffe, die sich innerhalb „normalen“ Datenverkehrs „verstecken“. Tiefen-Paket-Inspektion (DPI) hilft dabei, diese Sicherheitslücke zu schließen, indem der Inhalt, der Kontext und das Verhalten von Paketen analysiert werden, während sie das Netzwerk durchlaufen.

Der wachsende Bedarf an Sicherheit für Telekommunikationsnetzwerke

Das Sicherheitsoperations-Team eines Telekommunikationsnetzwerks steht vor zahlreichen Herausforderungen. Das Abonnenten-Datenverkehrsvolumen mit Millionen gleichzeitiger Sitzungen erschwert es, bei einer derart riesigen Angriffsfläche eine konsistente Sicherheit aufrechtzuerhalten. Neben einer wachsenden Nutzerzahl müssen auch Milliarden unterschiedlicher Geräte – von Smartphones bis hin zu Geräten des Internets der Dinge (IoT) – überwacht werden. Mit der zunehmenden Nutzung von Verschlüsselung wird die Erkennung von Bedrohungen im Abonnenten-Datenverkehr immer schwieriger. Sicherheit ist für Telekommunikationsanbieter mittlerweile eine immer wichtigere Priorität, da sie erhebliche rechtliche und finanzielle Konsequenzen zu befürchten haben, falls sie Betrug, Phishing und illegale Inhalte nicht erkennen und darauf reagieren. Auch der Markenruf ist von großer Bedeutung, da das Image des Anbieters mit jedem einzelnen Abonnenten verbunden ist. Diese Bedrohungen belegen, dass eine bessere Sicherheits-Sichtbarkeit im Telekommunikationsnetz erforderlich ist, als sie durch Flow-Daten zur Verfügung gestellt wird.

Kernfunktionen der Deep-Packet-Inspection

DPI bietet mehrere zentrale Funktionen, die den Sicherheitsbetrieb unterstützen: Protokolldecodierung, Mustererkennung, Verhaltensanalyse, Flow-Reassembly und Metadatenextraktion. DPI ermöglicht die Untersuchung von Tausenden verschiedener Netzwerkprotokolle – unabhängig von ihren zugewiesenen Ports – von einfachen HTTP- und DNS-Transaktionen bis hin zu komplexen Peer-to-Peer-Protokollen. Sie identifiziert Signaturen, die mit Malware, Command-and-Control-Servern und Phishing-Betrug in Verbindung stehen. Zudem erkennt sie unbekannte Bedrohungen anhand von Abweichungen vom normalen Verhalten. DPI rekonstruiert gesamte Sitzungen, wodurch Webseiten und Dateiübertragungen vollständig inspiziert werden können. Schließlich generiert sie durchsuchbare Protokolle der Kommunikation zwischen Teilnehmern, einschließlich der verwendeten Protokolle und der übertragenen Datentypen.

Wie DPI die Sichtbarkeit des Datenverkehrs verbessert

Es gibt keine Sicherheitssichtbarkeit ohne Verkehrssichtbarkeit. DPI (Deep Packet Inspection) verbessert die Sichtbarkeit, die Sicherheitsoperatoren in ihr Netzwerk haben. Während eine grundlegende Verkehrsanalyse lediglich Quell- und Ziel-IP-Adressen von Datenströmen bereitstellt, ermöglicht DPI den Operatoren, bestimmte Anwendungen zu identifizieren und zu überwachen – beispielsweise einen WhatsApp-Anruf, einen YouTube-Stream oder ein Botnetz, das Befehle über einen verschlüsselten Kanal sendet. Herkömmliche Überwachung liefert lediglich Statistiken wie die Anzahl der übertragenen Bytes, während DPI zusätzliche Informationen darüber bereitstellt, welche Art von Daten übertragen wird – etwa ob die Daten verschlüsselt sind. Fortgeschrittene DPI nutzt Verkehrsverhaltensanalysen sowie maschinelles Lernen, um verschlüsselte Datenströme zu untersuchen und Bedrohungen zu erkennen, ohne die Privatsphäre der Abonnenten pauschal zu beeinträchtigen. Diese Sicherheitsfunktionen helfen den Operatoren dabei, zentrale Fragen zu beantworten: Welcher Abonnent kommuniziert mit einer bekannten Phishing-Domain? Werden große Mengen sensibler Daten außerhalb der Geschäftszeiten übertragen? Ist ein Command-and-Control-Kanal über einen verschlüsselten Kanal geöffnet? DPI bietet Antworten, auf die Sicherheitsoperatoren innerhalb eines Telekommunikationsnetzwerks andernfalls möglicherweise keinen Zugriff hätten.

Versteckte Bedrohungen mit DPI-Technologie erkennen

Viele Cyber-Bedrohungen tarnen sich inmitten sogenannter „harmloser“ Netzwerkverkehr. DPI eignet sich hervorragend, um versteckte Bedrohungen innerhalb des Netzwerkverkehrs zu identifizieren. DNS-Tunneling – bei dem Daten im DNS-Verkehr versteckt werden – erscheint für herkömmliche Überwachungssysteme als normaler DNS-Abfrage- und Antwortverkehr; ein DPI-System kann jedoch das Abfragevolumen, die Domain-Entropie und die Antwortdaten analysieren, um diese versteckte Bedrohung zu erkennen. Kommando-und-Steuerverbindungen (Command-and-Control-Kanäle), die ihre Aktivität im HTTPS-Verkehr verschleiern, lassen sich an Verhaltensmerkmalen wie regelmäßigen Verbindungsanfragen und kleinen Paketgrößen erkennen, die ein DPI-System identifizieren kann. Langfristige Verkehrsmuster, beispielsweise das langsame Ausschleusen von Daten aus einem Netzwerk, stellen eine weitere Bedrohungsart dar, die ein DPI-System durch ungewöhnliche Datenmengen über einen längeren Zeitraum hinweg erkennen kann. Fortgeschrittene, persistente Bedrohungen (Advanced Persistent Threats, APTs) nutzen all diese Techniken effektiv; DPI bietet Sicherheitsexperten jedoch einen entscheidenden Vorteil.

Tägliche Netzwerksicherheitsverwaltung vereinfachen

Security Operations Centers werden täglich mit Hunderten von Millionen von Warnmeldungen konfrontiert, von denen die meisten eine niedrige Priorität aufweisen. DPI vereinfacht das Sicherheitsmanagement, indem es mittels Verkehrsanalyse und Verhaltensanalyse Warnmeldungen intelligent filtert und priorisiert. Durch die intelligente Identifizierung des Verkehrstyps, der tatsächlich ein Sicherheitsrisiko darstellt, können Betreiber ihre Ressourcen gezielt dort einsetzen, wo sie am dringendsten benötigt werden. Beispielsweise erhält ein Datenstrom zu einer Malware-Website eine höhere Priorität als ein Datenstrom zu einer bekannten Domain für Sicherheitstests. DPI unterstützt zudem automatisierte Reaktionen auf erkannte Bedrohungen. Sobald DPI einen Datenverkehr identifiziert, der mit einem bestimmten Angriff übereinstimmt, kann es die Sitzung automatisch beenden, den Teilnehmer isolieren oder die Warnmeldung eskalieren. Dadurch verringert sich der Aufwand an manueller Untersuchung zur Bewältigung von Angriffen.

Praktischer DPI-Mehrwert für Telekommunikationsanbieter

Die Deep-Packet-Inspection (DPI) bietet einen breiten Nutzen in mehreren Bereichen der Telekommunikationsbetriebsführung. Die Vorteile im Bereich Betrugsbekämpfung sind unbestreitbar, beispielsweise bei der Identifizierung von SIM-Box-Betrug; zudem ist der Nutzen bei Phishing-Angriffen offensichtlich, da der Zugriff auf gefälschte Websites blockiert wird. Die Fähigkeit zur Erkennung von DDoS-Verkehr unterstützt Betreiber dabei, echten Verkehr von Angriffsverkehr zu unterscheiden, und die Einhaltung gesetzlicher Abhörvorschriften wird durch ein DPI-System, das die erforderlichen Paket-Aufzeichnungen bereitstellen kann, erheblich vereinfacht. Bei der Netzwerkplanung profitiert man von den gewonnenen Erkenntnissen über aktuelle Bedrohungstrends sowie neu auftretende Angriffsvektoren. Für all diese Anwendungsfälle liefert DPI handlungsrelevante Informationen.

Maßgeschneiderte DPI-Lösungen für Telekommunikationsszenarien

Sino-Telecom entwickelt Deep-Packet-Inspection-Lösungen, die speziell auf die Anforderungen von Telekommunikationsanbietern zugeschnitten sind. Diese Lösungen bewältigen Linienraten bis zu 100 Gbps mit nur geringem Einfluss auf die Netzwerklatenz. Zudem bieten sie Zugriff auf eine umfangreiche und kontinuierlich aktualisierte Bibliothek von Anwendungssignaturen zur Erkennung aktueller Bedrohungen. Die Verwaltungsoberflächen können individuell mit Sicherheits-Dashboards, automatisierten Reaktionsrichtlinien und SIEM-Integration zur Erfassung von Sicherheitsereignisdaten angepasst werden. Diese DPI-Lösungen werden in einer Vielzahl von Bereitstellungskonfigurationen angeboten, um den Anforderungen der Anbieter gerecht zu werden.

Fazit

Deep Packet Inspection verändert die Art und Weise, wie Telekommunikationsanbieter den Netzwerkschutz gestalten. Durch eine anwendungsorientierte, sicherheitszentrierte Inspektionsmethode enthüllt DPI verborgene Bedrohungen, bietet klare Verkehrssichtbarkeit und hilft dabei, Phishing, Betrug und Malware zu verhindern —und gleichzeitig die Sicherheit der Abonnenten sowie die Einhaltung gesetzlicher Vorschriften sicherzustellen. Kontaktieren Sie Sino-Telecom-Vertriebsmitarbeiter um ein Beratungsgespräch zu vereinbaren oder Datenblätter mit Beschreibungen der Lösungen herunterzuladen.