In che modo l'ispezione dei pacchetti DPI risolve i problemi di sicurezza dei dati per gli operatori?

La sicurezza dei dati sta diventando sempre più una delle questioni più urgenti per gli operatori di telecomunicazioni in tutto il mondo. Con l’aumento della complessità e delle dimensioni delle reti, gli operatori sono sottoposti a una pressione crescente per proteggere i dati degli abbonati, prevenire le frodi, rispettare la normativa e mantenere la fiducia dei clienti. La maggior parte delle soluzioni tradizionali si rivela inadeguata, poiché manca della granularità necessaria per rilevare minacce sofisticate celate all’interno di traffico di rete apparentemente normale. Ispezione approfondita dei pacchetti (DPI) la tecnologia affronta queste sfide fornendo identificazione avanzata del traffico, analisi dei protocolli e visibilità della Rete funzionalità che consentono agli operatori di ottenere informazioni complete sulle proprie reti, migliorando al contempo sicurezza, ottimizzazione ed efficienza operativa.

Principali problemi di sicurezza dei dati per gli operatori

Gli operatori si confrontano con sfide uniche in materia di sicurezza dei dati, che la maggior parte delle aziende non deve affrontare. La protezione dei dati degli abbonati rappresenta un problema costante: i dati personali, i dati sulla posizione e i registri delle chiamate devono essere mantenuti riservati rispetto a qualsiasi terza parte non autorizzata. Le attività fraudolente, che incidono direttamente sui ricavi degli operatori e sull’esperienza degli abbonati, spaziano dalla frode tramite SIM Box (in cui le chiamate internazionali vengono mascherate da chiamate locali) ad altre forme di frode legate al traffico. Gli operatori vengono inoltre sempre più utilizzati come canale da attaccanti specializzati in phishing e malware, i quali hanno imparato a inviare email e contenuti dannosi agli abbonati sfruttando direttamente la rete dell’operatore. Queste sfide sono state ulteriormente aggravate da numerose nuove e variegate normative che impongono agli operatori di bloccare contenuti illegali, prevenire violazioni dei dati e conservare un registro cronologico di ogni incidente di sicurezza. Gli attacchi DDoS (Distributed Denial of Service), che presentano due varianti (volumetrici e a livello di applicazione), possono mettere fuori servizio una rete in un istante; infine, esiste sempre il rischio interno derivante da dipendenti o da credenziali compromesse, che un semplice monitoraggio della rete non riesce sempre a rilevare. Il fattore comune a tutti questi problemi è la mancanza di una visibilità sufficiente sulla rete e su ciò che la attraversa.

Come il DPI affronta le principali sfide in materia di sicurezza

Dpi opera attraverso diverse funzioni chiave. La decodifica dei protocolli rivela da quale applicazione proviene ciascun pacchetto (ad esempio, distinguendo una sessione di navigazione HTTPS legittima da un malware che ne sfrutta il canale sicuro). L’ispezione del payload analizza il contenuto effettivo del pacchetto per rilevare firme di exploit o URL di phishing, oppure traffico di comando e controllo (C&C). L’analisi comportamentale cerca di identificare pacchetti anomali che non corrispondono a firme note: ad esempio, un utente domestico che genera quantità eccezionalmente elevate di traffico in uscita da porte improbabili, oppure schemi di traffico C&C che non corrispondono a nessuna firma nota. La ricostruzione del flusso consente di ricomporre i pacchetti appartenenti alla stessa conversazione. La creazione di metadati genera record ricercabili di tutti i flussi, in modo che eventuali incidenti possano essere indagati in maniera forense in un secondo momento. Tutte queste funzioni, combinate tra loro, trasformano il traffico grezzo in dati di sicurezza significativi.

DPI per il rilevamento in tempo reale delle minacce ai dati

Conoscere cosa bloccare è di scarsa utilità senza la capacità di farlo in tempo reale non appena la minaccia emerge. L'ispezione dei pacchetti mediante DPI aiuta gli operatori telefonici a rilevare le minacce in tempo reale, anziché ore o giorni dopo un attacco, quando spesso l’operatore può fare ben poco oltre a informare gli abbonati di un potenziale problema. Ad esempio, quando un abbonato tenta di connettersi a una pagina fraudolenta di phishing, il motore DPI dell’operatore riconosce l’URL di phishing entro millisecondi durante la richiesta DNS o la fase di impostazione della sessione HTTP e può bloccarlo immediatamente. Quando un dispositivo controllato da malware tenta di connettersi al proprio server di comando e controllo, il motore DPI può riconoscere il pacchetto beacon caratteristico e l’indirizzo IP di destinazione proveniente da feed di intelligence sulle minacce e bloccarlo istantaneamente. Ciò consente inoltre all’operatore di proteggere proattivamente gli abbonati dalla perdita di dati, rilevando la propagazione di programmi dannosi (ad es. EXE, APK) e comportamenti anomali del traffico mediante ripristino approfondito dei campioni e confronto con database di caratteristiche. Questo rilevamento in tempo reale è essenziale per una gestione proattiva delle minacce, anziché limitarsi a reagire agli incidenti di sicurezza solo dopo che si sono verificati.

Capacità di blocco e protezione contro le minacce rilevate

Rilevare le minacce non è sufficiente; la capacità di proteggere attivamente contro di esse e di bloccarle una volta identificate è fondamentale per risolvere i principali problemi di sicurezza. I dispositivi per l’ispezione approfondita dei pacchetti (DPI) includono funzionalità di blocco, in modo che le minacce vengano contenute immediatamente dopo il loro rilevamento. Quando un tentativo di phishing viene identificato tramite DPI, il traffico può essere scartato, impedendo così all’utente di raggiungere mai il sito fraudolento. Quando viene rilevato del malware che tenta di stabilire una connessione, è possibile bloccare la comunicazione con il server C&C (Command and Control), sia per l’utente specifico sia per l’intera rete, impedendo qualsiasi ulteriore scambio di dati. Contenuti illegali o qualsiasi altra minaccia identificata vengono bloccati in tempo reale dal motore delle policy. Il blocco può essere tanto mirato quanto ampio, a seconda di quanto stabilito dalla policy: ad esempio, il sistema può semplicemente registrare il traffico ai fini dell’analisi oppure procedere al blocco solo se il tentativo si verifica più volte consecutivamente da parte di un determinato utente o da una specifica posizione.

Semplifica la gestione della sicurezza con DPI

Una delle principali sfide per il centro operativo per la sicurezza (SOC) in una rete telecom è rappresentata dal numero enorme di allarmi di sicurezza, molti dei quali potrebbero essere falsi positivi. L'ispezione approfondita dei pacchetti (Deep Packet Inspection) fornisce intelligenza agli allarmi distinguendo il traffico di rete legittimo da contenuti dannosi, consentendo così ai team di sicurezza di non sprecare tempo su eventi che presentano un rischio minimo o nullo per l’abbonato o per l’infrastruttura di rete. Ad esempio, un allarme sulla rete dell’operatore relativo a traffico diretto verso un sito di distribuzione di malware è molto più significativo dello stesso allarme generato da uno scanner automatico di vulnerabilità durante una sessione di test autorizzata. Le risposte automatizzate consentono all’operatore di configurare politiche per bloccare automaticamente, al momento del rilevamento, il traffico notoriamente dannoso, senza alcun intervento umano. La consolidazione degli allarmi consente di raggruppare in un singolo allarme di sicurezza numerosi eventi correlati alla stessa minaccia sottostante, rendendo i team di sicurezza dell’operatore più efficienti e produttivi.

Ridurre i rischi per la sicurezza nelle operazioni quotidiane

Le reti telecom sono ambienti complessi in cui numerose attività gestite dall’uomo, quali modifiche delle configurazioni, aggiornamenti software e operazioni di assistenza da parte dei fornitori, introducono rischi operativi. L’ispezione approfondita dei pacchetti (DPI) contribuisce a gestire tali rischi. Una modifica alle configurazioni di rete diventa meno rischiosa quando gli ingegneri di rete sono certi che le implicazioni per la sicurezza siano state adeguatamente comprese e affrontate. Le attività di supporto dei fornitori e gli accessi possono essere monitorati per garantire che non vengano effettuate modifiche non autorizzate e che nessuna informazione privata venga estratta dalla rete dell’operatore. Anche il rilascio di nuovi servizi comporta un rischio, poiché può risultare difficile prevedere l’impatto e le vulnerabilità in termini di sicurezza associate a un nuovo servizio; è pertanto essenziale assicurarsi che il nuovo servizio non introduca nuovi vettori di attacco. La risposta agli incidenti diventa significativamente più semplice quando un operatore può utilizzare le informazioni fornite dai registri forensi della DPI per comprendere rapidamente con precisione quanto accaduto durante l’incidente precedente, consentendo così di risolverlo correttamente in un tempo molto più breve.

Valore pratico di DPI per la sicurezza dell’operatore

I vantaggi offerti agli operatori dall’uso del DPI per la sicurezza della rete possono essere riassunti nei seguenti casi d’uso principali.

La lotta alle frodi utilizza l’ispezione approfondita dei pacchetti (DPI) per rilevare le frodi legate alle SIM Box, correlando diversi tipi di dati – quali i record delle chiamate, i dati di localizzazione e i modelli di segnalazione – al fine di identificare le chiamate internazionali che terminano sulla rete ma sono mascherate come chiamate locali, prevenendo così una perdita diretta di ricavi.

La lotta al phishing utilizza il DPI per bloccare istantaneamente i noti siti malevoli di phishing, riducendo così il numero di credenziali rubate agli abbonati e le chiamate alle linee di assistenza dell’operatore relative a attività fraudolente.

La lotta ai malware utilizza il DPI per rilevare in tempo reale le comunicazioni tra malware e i relativi server di comando e controllo (C&C), riducendo il numero di dispositivi infettati da malware presenti sulla rete.

La prevenzione della perdita di dati identifica i dati sensibili non crittografati in transito sulla rete, che l'operatore è tenuto, ai sensi dei requisiti normativi, a proteggere, e applica o abilita l'applicazione delle politiche di sicurezza relative alla riservatezza dei dati sensibili.

Soluzioni DPI affidabili per la protezione dei dati

Sino-Telecom offre soluzioni integrate di ispezione approfondita dei pacchetti (DPI) per affrontare le sfide di sicurezza degli operatori. Le soluzioni DPI di Sino-Telecom elabora il traffico di rete in tempo reale con velocità in linea da 1 Gbps a 100 Gbps, offrendo database completi di intelligence sulle minacce, inclusi firme per migliaia di applicazioni e minacce emergenti note. Le soluzioni DPI di Sino-Telecom elaborano il traffico di rete su larga scala, raggiungendo fino a 120 Gbps per singolo appliance da 1U per le reti mobili 5G e scalando fino a un record di settore di 1200 Gbps con supporto nativo 400GE per la banda larga fissa. Alimentate da un motore UCPP estremamente efficiente, le nostre soluzioni dispongono di una capacità di blacklist di 4 milioni di voci e di meccanismi completi di blocco, tra cui la terminazione delle connessioni TCP, l’eliminazione dei pacchetti UDP e il reindirizzamento HTTP. Riconoscendo oltre 3.500 sottocategorie di applicazioni e correlando il traffico 5G/IoT, Sino-Telecom fornisce l’intelligence sulle minacce di livello carrier necessaria agli operatori.