Voiko DPI-verkkoturva rakentaa moniulotteisen puolustusesteän?

Vanha reunaturvallisuuskäsite ei ole yhteensopiva nykyaikaisten organisaatioiden kanssa, eikä allekirjoitus-/sisältöperustainen turvallisuus ole tehokasta. Syvä pakettitarkastus (DPI) on ratkaiseva teknologia, joka vastaa kysymykseen, joka on vaivannut verkkoturva-alaa: Onko DPI-verkkoturva todella useita turvatasoja? Nykyratkaisu perustuu DPI:n kehitykseen, joka keskittyy nyt enemmän kuin vain "otsikon lukemiseen", jotta se pystyy ymmärtämään sisältöä ja viestintää nykyaikaisissa verkoissa.

Nykyisten verkkouhkien kasvava monimutkaisuus

Roskapostit ja yksinkertaiset haittaohjelmat eivät ole ainoat uhkat, jotka kuuluvat uhkakuvioon. Sen tehtävä on tarjoaa järjestelmänvalvojille tarvittavat työkalut – erityisesti silloin, kun kyseessä ovat salatut tunnelit, sovellustasoiset hyökkäykset, nollapäivähyökkäykset ja tietojen poiminta, jotka kaikki näyttävät normaalilta liikenteeltä. Useimmat palomuurit ja yksinkertaiset pakettisuodattimet eivät pysty estämään hyökkäyksiä salattujen protokollien kautta tai silloin, kun käytetään portteja, joita ei ole määritetty niiden asetuksissa. Hyökkäyspinta on myös kasvanut merkittävästi pilvipalveluiden, IoT-laitteiden ja etätyöntekijöiden myötä. Siksi tarvitaan moniulotteista suodatinta sekä pakettien otsakkeiden että hyötykuorman tasolla. Tässä vaiheessa DPI-verkkojen turvallisuus tulee peliin.

DPI:n perustoiminnot verkkojen turvallisuudessa

Verkossa DPI voi tarjota useita perustavanlaatuisia ja välttämättömiä turvallisuuspalveluita. Sovellusten tunnistaminen on tärkeää. DPI voi määrittää, mikä sovellus aiheuttaa liikennettä – esimerkiksi verkkoselain, sähköpostisovellus, tiedostojen jakamiseen käytetty sovellus tai haittaohjelmien latausohjelma. Tämä tunnistaminen on mahdollista myös silloin, kun käytetään epästandardia porttia tai jopa salattua liikennettä. Protokollan purku mahdollistaa sovellusten välisen vaihdon sisällön tarkastelun. DPI voi jäsentää satoja erilaisia protokollamuotoja, mukaan lukien HTTP-pyyntöjä/vastauksia, DNS-kyselyjä ja SMTP-komentoja. Hyötykuorman tarkastelu tarkoittaa pakettien sisällön tarkastelua uhkakuvioita vasten sekä päätöstä siitä, sisältääkö paketti hyökkäyskoodia, haitallisessa koodissa esiintyviä merkkijonoja tai petosverkkosivujen URL-osoitteita. Käyttäytymisanalyysi tutkii useita paketteja etsien viitteitä haitallisesta toiminnasta – esimerkiksi poikkeavia pakettikokoja, ajoituksia, liikenteen suuntia tai kohdekohteiden kaavioita, jotka eivät vastaa tunnettua uhkakuvioita. Metatietojen erottaminen tuottaa jokaisesta liikennevirrasta tietoja, joita voidaan käyttää hakuihin, forensisessä analyysissä ja noudattamisraportoinnissa.

Kuinka DPI muodostaa monitasoiset suojatoimet

Moniulotteisten turvavarjojen toteuttamiseen ei tarvita useita verkkopinojen kerroksia, sillä DPI hoitaa kaiken. Verkkokerros pystyy tunnistamaan epätavallisia IP-osoitteita, porttiskannauksia ja DoS-hyökkäyksiä. Kuljetuskerros pystyy tunnistamaan SYN-tulvat, yhteyksien varkauden ja odottamattomia TCP-tilan muutoksia. DPI:n ainutlaatuinen arvo sovelluskerroksessa on SQL-kyselyihin perustuvien hyökkäysten ja XSS-liikenteen seuranta verkkoliikenteessä, petoslinkkien tunnistaminen sähköpostiliikenteessä sekä luvaton tietojen ulosvirtaus tiedostonsiirroissa, DGA DNS-liikenteessä ja tunnelointi DNS-liikenteessä. Lisäksi DPI sisältää käyttäytymisperusteisen kerroksen, joka pystyy tunnistamaan liikennepatterneja, jotka voivat viitata botnetteihin, tietojen kokoamiseen tai komento- ja ohjausliikenteeseen. Se on suunniteltu monikerroksiseksi: jos yksi kerros ei havaitse uhkaa, toinen kerros tekee sen. Yksinkertainen tarkastus ei välttämättä pysty tunnistamaan haittaohjelman latausta salatun (HTTPS) liikenteen sisällä, mutta DPI voi tunnistaa sen analysoimalla liikennepatternia.

Todellisen ajan riskien tunnistus ja varhainen varoitus

DPI-verkkoturvallisuus on erinomainen kyky tunnistaa riskejä todellisessa ajassa. Kun paketteja kuljetetaan verkon läpi, DPI-moottorit jatkuvasti rakentavat paketit uudelleen ja tarkistavat niitä, vertaillen niiden ominaisuuksia uhkaintelligenssityökaluihin, käyttäytymisperustoihin ja mukautettuihin sääntöihin. Jos anomalia havaitaan, järjestelmä lähettää automaattisesti varoituksia, esimerkiksi silloin, kun suuri määrä salattua liikennettä lähetetään korkean riskin alueelle tai kun käyttäjä yrittää kirjautua useaan palvelimeen peräkkäin. Näitä varoituksia voidaan käyttää mahdollisten uhkien rajoittamiseen ennen kuin ne kasvavat laajemmiksi tunkeutumisiksi. Tämä on keskeinen ominaisuus DCI- ja palveluntarjoajan verkoissa.

Yksinkertaista päivittäistä turvallisuustyötä operaattoreille

DPI-verkkoturvaan perustuen hälytysmelu tasataan, tavanomaisiin hälytyksiin vastataan automaattisesti ja käyttökelpoinen toimintatieto tarjoaa tukea arkipäiväisten turvallisuustehtävien sujuvoittamiseen. Turvallisuustuotteita käyttäen päivittäin voi syntyä tuhansia hälytyksiä, joista monet ovat vääriä tai merkityksettömiä. Tämän melun poistamiseksi DPI soveltaa kontekstia sovelluksen tasolla. Esimerkiksi tunnetusta pahallisesta verkkotunnuksesta tuleva liikenne saa korkean prioriteetin, ellei se tule automatisoidusta turvallisuus skannerista – silloin sille annetaan alhainen prioriteetti. Tämä konteksti tarjoadaan automaattisesti DPI:n avulla. Tavallisilla uhkatekijöillä selvitään automaattisilla vastatoimilla. DPI voi esimerkiksi estää automaattisesti virranteen, jossa havaitaan kalastelulinkki, mikä antaa turvallisuusanalyytikoille enemmän aikaa monimutkaisempien tapahtumien käsittelyyn. DPI:n yksityiskohtaiset virtatiedot tukevat nopeampaa forensistä tutkintaa. Analyytikot voivat nyt käyttää DPI:n metatietoja tunnistamaan tarkasti, mitä tapahtumia esiintyi incidentin ennen, aikana ja sen jälkeen ilman, että heidän tarvitsee yhdistellä tapahtumia useista eri lokitiedostoista. Pienille turvallisuustiimeille nämä sujuvoittavat hyödyt eivät ole luksusta, vaan välttämättömyys.

Sino-Telecomin DPI-turvallisuusratkaisujen vahvuudet

Moniulotteisten turvallisuusesteiden luomiseksi Sino-Telecom tarjoaa DPI-verkkoturvallisuusratkaisuja. Nämä DPI-alustat tukevat järjestelmäkohtaisesti jopa 1200 Gbps:n liikenneprosessointia, niissä on natiivituki 400GE-porteille ja niiden DPI-allekirjoitustiedostot voivat käsitellä tuhansia sovelluksia sekä päivittyvät jatkuvasti tukeakseen uusimpia sovelluksia ja protokollia. Reaaliaikainen tunnistus ilmoittaa ja estää uhkia millisekunnin kuluessa. Käyttäytymisanalyysi pystyy tunnistamaan salattuja uhkia ja nollapäivän hyökkäyksiä ilman allekirjoituksia. Linjassa tapahtuva esto (inline blocking) sisältää laitteistopohjaisen ohitustavan, ulkopuolisen valvontatoiminnon (out-of-band monitoring) ja virtualisoituja instansseja joustavaan skaalaukseen. Sino-Telecomin DPI-turvallisuusratkaisut perustuvat yli 240 patenttiin ja yli 150 ohjelmistojen tekijänoikeuteen. Niitä on käytetty yli 30 maassa, mukaan lukien Ranska, Indonesia, Brasilia ja Australia, mikä osoittaa niiden suorituskykyä erilaisissa operaattoriympäristöissä.

Johtopäätös

Onko mahdollista rakentaa monitasoinen turvallisuuseste DPI:n avulla? Kyllä, täysin. DPI tunkeutuu syvälle pakettien hyötykuormaan, korrelloi useita protokollatasoja, tarjoaa reaaliaikaisen varhaisvaroituksen ja yksinkertaistaa arkipäivän tehtäviä, mikä muuttaa passiivisen verkon aktiiviseksi, älykkääksi vartijaksi. Sen tehokkuus riippuu kuitenkin erittäin paljon taustajärjestelmän suorituskyvystä, tarkkuudesta ja integraatiosta. Sino-Telecomin DPI-ratkaisut on suunniteltu korkean nopeuden optisille verkoille, datakeskusten välisten yhteyksien (DCI) suojaamiseen ja operaattoripalvelujen tarjoajien käyttöön, ja ne tarjoavat vankkaa, moniulotteista suojaa näille verkoille nykyaikaisia uhkia vastaan. Pyydä tarjous Jos haluat tietää lisää siitä, kuinka Sino-Telecomin DPI-verkkoturvallisuusratkaisuilla voidaan turvata infrastruktuuriasi, ota yhteyttä myyntitiimiimme tuotetiedotteen, tarjouksen, käyttötapauksen tai livenäytöksen saamiseksi. Laajasta DCI-turvallisuusratkaisusta yksittäisiin DPI-asennuksiin Sino-Telecom auttaa sinua määrittämään puolustusalueesi.