Hoe lost DPI-pakketinspectie de knelpunten op het gebied van gegevensbeveiliging voor operators op?

Gegevensbeveiliging wordt steeds meer een van de meest urgente kwesties voor telecomoperators wereldwijd. Naarmate netwerken complexer worden en groter worden, staan operators onder toenemende druk om abonneegegevens te beschermen, fraude te voorkomen, aan regelgeving te voldoen en het vertrouwen van klanten te behouden. De meeste conventionele oplossingen zijn ontoereikend, omdat ze de nodige fijnmazigheid ontberen om geavanceerde bedreigingen te detecteren die verborgen zijn in ogenschijnlijk normaal netwerkverkeer. Diepe pakketinspectie (DPI) technologie biedt oplossing voor deze uitdagingen door geavanceerde verkeersidentificatie, protocolanalyse en netwerkzichtbaarheid mogelijkheden, waardoor operators uitgebreide inzichten in hun netwerken verkrijgen, terwijl de beveiliging, optimalisatie en operationele efficiëntie worden verbeterd.

Veelvoorkomende knelpunten op het gebied van gegevensbeveiliging voor operators

Operatoren staan voor unieke uitdagingen op het gebied van gegevensbeveiliging waar de meeste ondernemingen zich normaal gesproken geen zorgen over hoeven te maken. Het beschermen van abonneesgegevens is een voortdurend probleem – persoonlijke gegevens, locatiegegevens en oproepgegevens moeten vertrouwelijk blijven voor alle niet-geautoriseerde derden. Fraudeuze activiteiten, die direct van invloed zijn op de inkomsten van de operator en de ervaring van de abonnee, variëren van SIM-boxfraude (waarbij internationale oproepen worden gefingeerd als lokale oproepen) tot andere vormen van verkeersgerelateerde fraude. Operatoren worden ook steeds vaker gebruikt als kanaal door phishing- en malwareaanvallers, die hebben geleerd om e-mails en schadelijke inhoud via het netwerk van de operator zelf aan abonnees te bezorgen. Deze uitdagingen zijn verder versterkt door talloze nieuwe en uiteenlopende wettelijke vereisten waaraan operatoren moeten voldoen, zoals het blokkeren van illegale inhoud, het voorkomen van gegevenslekken en het bijhouden van een audittrail van alle beveiligingsincidenten. DDOS-aanvallen (Distributed Denial of Service), die in twee varianten bestaan (volumetrisch en applicatielaag), kunnen een netwerk binnen een fractie van een seconde lamleggen. Ten slotte bestaat er altijd het interne risico van medewerkers en gecompromitteerde inloggegevens, wat eenvoudige netwerkmonitoring niet altijd kan detecteren. De gemeenschappelijke factor achter al deze knelpunten is het gebrek aan voldoende inzicht in het netwerk en in de gegevens die erdoorheen gaan.

Hoe DPI kernveiligheidsuitdagingen aanpakt

Dpi werkt via verschillende belangrijke functies. Protocoldecodering onthult van welke toepassing elk pakket afkomstig is (bijvoorbeeld het onderscheid maken tussen een geldige HTTPS-bladsessie en malware die deze als veilig kanaal misbruikt). Payloadinspectie onderzoekt de inhoud van het pakket zelf om kenmerken van exploits of phishing-URL's, of command-and-control-verkeer (C&C) te detecteren. Gedragsanalyse probeert afwijkende pakketten te identificeren die niet overeenkomen met bekende handtekeningen – bijvoorbeeld een thuissitegebruiker die zeer grote hoeveelheden uitgaand verkeer genereert via onwaarschijnlijke poorten, of C&C-verkeerspatronen die niet overeenkomen met enige bekende handtekening. Flowreconstructie maakt het mogelijk om pakketten die bij dezelfde conversatie horen opnieuw samen te voegen. Metadatageneratie produceert doorzoekbare records van alle flows, zodat eventuele incidenten later forensisch kunnen worden onderzocht. Al deze functies samen zetten ruw netwerkverkeer om in betekenisvolle beveiligingsdata.

DPI voor real-time detectie van gegevensbedreigingen

Weten wat je moet blokkeren is weinig nuttig zonder de mogelijkheid om dat in real time te doen zodra de bedreiging zich voordoet. Pakketinspectie met DPI helpt telecomoperators bedreigingen in real time te detecteren, in plaats van uren of dagen nadat een beveiligingsincident heeft plaatsgevonden, wanneer de operator vaak weinig meer kan doen dan zijn abonnees informeren over een mogelijke problematiek. Bijvoorbeeld: wanneer een abonnee probeert verbinding te maken met een frauduleuze phishingpagina, herkent de DPI-engine van de operator de phishing-URL binnen milliseconden tijdens de DNS-aanvraag of de opzet van de HTTP-sessie en kan deze onmiddellijk blokkeren. Wanneer een door malware gecontroleerd apparaat probeert verbinding te maken met zijn command-and-controlserver, kan de DPI-engine het kenmerkende ‘beacon’-pakket en het bestemmings-IP-adres herkennen op basis van bedreigingsintelligentiemeldingen en dit direct blokkeren. Daarnaast stelt het de operator in staat om abonnees proactief te beschermen tegen gegevensverlies, bijvoorbeeld door het detecteren van de verspreiding van kwaadaardige programma’s (zoals EXE- of APK-bestanden) en afwijkend netwerkverkeersgedrag via diepe steekproefherstel en overeenkomst met een functiedatabase. Deze real-time detectie is essentieel voor proactief bedreigingsbeheer, in plaats van uitsluitend te reageren op beveiligingsincidenten nadat ze zich hebben voorgedaan.

Blokkering- en afschermingsmogelijkheden tegen gedetecteerde bedreigingen

Het is niet voldoende om bedreigingen te detecteren; het vermogen om actief te beschermen tegen en gedetecteerde bedreigingen te blokkeren, is cruciaal voor het oplossen van veiligheidsproblemen. Apparaten voor diepe pakketinspectie (DPI) zijn uitgerust met blokkermogelijkheden, zodat bedreigingen onmiddellijk worden ingeperkt zodra ze zijn geïdentificeerd. Wanneer DPI een phishingpoging identificeert, kan het verkeer worden verworpen, waardoor de abonnee nooit de frauduleuze website bereikt. Wanneer malware wordt geïdentificeerd die probeert te communiceren, kan de verbinding met de command-and-controlserver (C&C-server) worden geblokkeerd—hetzij voor de specifieke abonnee, hetzij voor het gehele netwerk—waardoor verdere communicatie wordt voorkomen. Illegale inhoud of andere geïdentificeerde bedreigingen worden in realtime geblokkeerd door de beleidsengine. Blokkering kan zo gericht of zo breed zijn als het beleid bepaalt. Het kan bijvoorbeeld simpelweg het verkeer registreren voor analyse, of alleen blokkeren wanneer de poging meerdere keren achter elkaar plaatsvindt vanaf een specifieke abonnee of locatie.

Beveiligingsbeheer vereenvoudigen met DPI

Een van de belangrijkste uitdagingen voor het security operations center (SOC) in een telecommunicatienetwerk is dat het aantal securitywaarschuwingen enorm kan zijn, en veel daarvan kunnen valse positieven zijn. Diepe pakketinspectie (Deep packet inspection) voegt intelligentie toe aan de waarschuwingen door te onderscheiden wat echte netwerkverkeer is en wat schadelijke inhoud, zodat securityteams geen tijd verspillen aan gebeurtenissen die weinig of geen beveiligingsrisico vormen voor de abonnee of de netwerkinfrastructuur. Bijvoorbeeld: een waarschuwing op het netwerk van de operator over verkeer richting een website voor malware-distributie is veel significanter dan dezelfde waarschuwing die afkomstig is van een geautomatiseerde kwetsbaarheidsscanner tijdens een goedgekeurde testsessie. Geautomatiseerde reacties stellen de operator in staat om beleidsregels te configureren waarmee bekend schadelijk verkeer automatisch wordt geblokkeerd zodra het wordt gedetecteerd, zonder dat menselijke tussenkomst nodig is. Waarschuwingsconsolidatie maakt het mogelijk om meerdere gebeurtenissen die betrekking hebben op dezelfde onderliggende bedreiging samen te voegen tot één enkele securitywaarschuwing, zodat de securityteams van de operator efficiënter en productiever zijn.

Beveiligingsrisico's in dagelijkse operaties verminderen

Telecomnetwerken zijn complexe omgevingen waar veel menselijke activiteiten, zoals configuratiewijzigingen, software-updates en ondersteuningsactiviteiten van leveranciers, operationele risico’s met zich meebrengen. Deep packet inspection (DPI) helpt deze risico’s te beheren. Een wijziging in netwerkconfiguraties wordt minder riskant wanneer netwerkengineers er vertrouwen in hebben dat de beveiligingsimplicaties adequaat zijn begrepen en aangepakt. Activiteiten en toegangen van leveranciers kunnen worden bewaakt om te garanderen dat geen ongeautoriseerde wijzigingen worden aangebracht en dat geen persoonlijke informatie wordt buitengeleid uit het netwerk van de operator. Ook de implementatie van diensten brengt risico’s met zich mee, omdat het vaak moeilijk is de impact en beveiligingskwetsbaarheden van een nieuwe dienst te voorspellen; het is essentieel om ervoor te zorgen dat de nieuwe dienst geen nieuwe aanvalspaden introduceert. Incidentrespons wordt aanzienlijk eenvoudiger wanneer een operator de informatie uit de forensische registers van DPI kan gebruiken om snel precies te begrijpen wat er bij een eerder incident is gebeurd, zodat dit correct en binnen een veel kortere tijd kan worden opgelost.

Praktische DPI-waarde voor beveiliging van operators

De voordelen voor operators die DPI gebruiken voor netwerkbeveiliging kunnen worden samengevat in de volgende primaire gebruiksscenario's.

Fraudebestrijding maakt gebruik van deep packet inspection (DPI) om SIM-boxfraude te detecteren door verschillende gegevens, zoals oproepgegevensrecords, locatiegegevens en signaalpatronen, met elkaar te correleren om internationale oproepen te identificeren die op het netwerk eindigen maar worden vermomd als lokale oproepen, waardoor directe inkomensverliezen worden voorkomen.

Phishingbestrijding maakt gebruik van DPI om onmiddellijk bekende schadelijke phishingwebsites te blokkeren, waardoor het verlies van inloggegevens door abonnees wordt verminderd en het aantal oproepen naar de ondersteuningslijn van de operator over fraudegerelateerde klachten wordt teruggebracht.

Malwarebestrijding maakt gebruik van DPI om malwarecommunicatie in realtime met command-and-control-sites (C&C) te detecteren en het aantal met malware besmette apparaten op hun netwerk te verminderen.

Data loss prevention identificeert niet-gecodeerde gevoelige gegevens die over het netwerk worden verzonden en die de operator wettelijk verplicht is te beschermen; daarnaast handhaaft of ondersteunt het de naleving van beveiligingsbeleid met betrekking tot de vertrouwelijkheid van deze gevoelige gegevens.

Betrouwbare DPI-oplossingen voor gegevensbescherming

Sino-Telecom biedt volledig geïntegreerde deep packet inspection-oplossingen om de beveiligingsuitdagingen van operators aan te pakken. De DPI-oplossingen van Sino-Telecom netwerkverkeer in realtime verwerken met online snelheden van 1 Gbps tot 100 Gbps, met uitgebreide dreigingsintelligentiadatabases die handtekeningen bevatten voor duizenden toepassingen en bekende, opkomende bedreigingen. De DPI-oplossingen van Sino-Telecom verwerken netwerkverkeer op zeer grote schaal en leveren tot 120 Gbps per 1U-apparaat voor 5G-mobiele netwerken, met schaalbaarheid tot een brancheleidende 1200 Gbps met native ondersteuning voor 400GE voor vaste breedband. Aangedreven door een uiterst efficiënte UCPP-engine, beschikken onze oplossingen over een enorme blacklistcapaciteit van 4 miljoen vermeldingen en uitgebreide blokkeringmechanismen, waaronder TCP-verbindingsterminatie, UDP-pakketverwijdering en HTTP-omleiding. Door meer dan 3.500 toepassingsondersoorten te herkennen en 5G/IoT-verkeer te correleren, Sino-Telecom biedt het de carrier-grade dreigingsintelligentie die netwerkexploitanten nodig hebben.