Kan DPI-nettverkssikkerhet bygge en flerdimensjonal forsvarsmur?

Den foreldede ideen om perimetersikkerhet passer ikke lenger til dagens organisasjoner, og sikkerhet basert på signaturer eller innhold er ineffektiv. Dyp pakketjeneste (Deep Packet Inspection, DPI) er en avgjørende teknologi som svarer på et spørsmål som har plåget nettverkssikkerhetsfellesskapet: Er DPI-nettverkssikkerhet virkelig flerlaget forsvar? Løsningen i dag ligger i utviklingen av DPI, som nå går langt utover å bare «lese headeren», for å forstå innholdet og kommunikasjonen i dagens nettverk.

Økende kompleksitet i moderne nettverkstrusler

Spam og enkle skadevare er ikke de eneste trusselene i trusselbildet. Oppgaven er å gi administratorer verktøyene de trenger – spesielt når det gjelder krypterte tunneler, angrep på applikasjonslaget, zero-day-angrep og datautskilling, som alle ser ut som vanlig trafikk. De fleste brannmurer og enkle pakkefiltere klarer ikke å forhindre angrep i krypterte protokoller eller når porter som ikke er konfigurert i dem blir brukt. Angrepsflaten har også vokst betydelig på grunn av skytjenester, IoT-enheter og hjemmekontorbrukere. Derfor bør det også være en flerdimensjonal barriere på pakkehode-nivå og i nyttelasten. Det er her DPI-nettverkssikkerhet kommer inn i bildet.

Grunnleggende funksjoner til DPI i nettverkssikkerhet

I et nettverk kan DPI tilby en rekke grunnleggende og nødvendige sikkerhetstjenester. Identifisering av applikasjoner er viktig. DPI kan avgjøre hvilken applikasjon som forårsaker en datastrøm, for eksempel en nettleser, e-postapplikasjon, en fil-delingsapplikasjon eller en «dropper» for skadelig programvare. Denne identifiseringen er mulig selv om standardporter ikke brukes, eller selv ved kryptering. Det finnes også protokolldekoding, som brukes for å se hva som er inneholdt i hver enkelt applikasjonsutveksling. DPI kan håndtere tolking av hundrevis av ulike protokollformater, inkludert HTTP-forespørsler/svar, DNS-spørringer og SMTP-kommandoer. Inspeksjon av nyttelasten innebærer å analysere innholdet i pakker for å oppdage trussel-signaturer, samt å avgjøre om en pakke inneholder utnyttelseskoder, skadelige kodestrenger eller phishing-URL-er. Atferdsanalyse undersøker flere pakker for indikasjoner på skadelig atferd, for eksempel pakkestørrelse, tidsmønster, retning og destinasjonsmønstre som ikke samsvarer med kjente signaturer. Ekstraksjon av metadata genererer informasjon for hver datastrøm som kan brukes til søk, etterforskningsanalyse og etterlevelsesrapportering.

Hvordan DPI danner flerlags beskyttelse

For flerdimensjonale forsvarshindringer er det ikke nødvendig med flere lag i nettverksstacken – DPI dekker alt. Laget for nettverk vil kunne oppdage uvanlige IP-adresser, portscanning og DoS-angrep. Transportlaget har evne til å oppdage SYN-overløp, påtvinging av tilkoblinger og uventede endringer i TCP-status. Den unike verdien av DPI på applikasjonslaget er overvåking av SQL-injeksjons- og XSS-trafikk i webtrafikk, fiske-lenker i e-posttrafikk samt uautorisert dataeksportering i filoverføringer, DGA i DNS-trafikk og tunneleringsaktivitet i DNS-trafikk. I tillegg til protokollagene inkluderer DPI også et atferdslag som kan oppdage trafikkmønstre som kan indikere botnettaktivitet, dataforberedelse eller kommando- og kontrolltrafikk. Det er designet for å være flerlaget: hvis ett lag går glipp av en trussel, vil et annet lag oppdage den. En enkel inspeksjon vil kanskje ikke kunne gjenkjenne nedlasting av skadelig programvare som er integrert i en kryptert (HTTPS) strøm, men DPI kan gjenkjenne den ved å analysere trafikkens atferdsmønster.

Echtidig risikogjenkjenning og tidlig advarsel

DPI-nettverkssikkerheten har en fremragende evne til å gjenkjenne risiko i sanntid. Mens pakker reiser gjennom nettverket, gjenoppbygger og undersøker DPI-motorer kontinuerlig pakkene og sammenligner mønstrene med trusselintelligensdata, atferdsgrunnlinjer og egendefinerte regler. Hvis avvik oppdages, sender systemet automatisk varsler – for eksempel når en stor mengde kryptert trafikk sendes til en geografisk område med høy risiko, eller når en bruker prøver å logge inn på flere servere på rad. Disse varslingene kan brukes til å begrense potensielle trusler, siden de kommer før truslene utvikler seg til større innbrytninger. Dette er en viktig funksjon i DCI- og tjenesteleverandørnettverk.

Forenkle daglig forsvarsarbeid for operatører

Med DPI-nettverkssikkerhet reduseres alarmstøy, respons på vanlige alarmer automatiseres og nyttig, handlingsorientert innsikt leveres for å forenkle daglige forsvarstasker. Tusenvis av alarmer kan genereres hver dag, og mange av dem er falske eller uten betydning, selv om de bruker de samme sikkerhetsproduktene. For å eliminere denne støyen anvender DPI konteksten til applikasjonen. For eksempel får trafikk fra en kjent skadelig domene høy prioritet, med mindre den kommer fra en automatisk sikkerhetsskanner – da får den lav prioritet. Denne konteksten leveres automatisk av DPI. Vanlige trusler håndteres av automatiserte responsmekanismer. En datastrøm med en oppdaget phishing-URL kan automatisk blokkeres av DPI, slik at sikkerhetsanalytikere får mer tid til å arbeide med mer komplekse hendelser. DPIs detaljerte strømregistreringer støtter raskere etterforskningsundersøkelser. Analytikere kan nå bruke DPIs metadata til å identifisere nøyaktig hvilken rekkefølge av hendelser som fant sted før, under og etter en hendelse, uten å måtte koble sammen hendelser fra flere logger. For operatører med små sikkerhetsteam er disse effektiviseringsfordelene ikke en luksus, men en nødvendighet.

Sino-Telecoms styrker ved implementering av DPI-sikkerhet

For flerdimensjonale forsvarshindre tilbyr Sino-Telecom DPI-nettverkssikkerhetsløsninger. Disse DPI-plattformene støtter opp til 1200 Gbps trafikkbehandling per system, med innebygd støtte for 400GE-porter, og deres DPI-signaturfiler kan behandle flere tusen apper – og oppdateres kontinuerlig for å støtte nyeste apper og protokoller. Echtid-deteksjon varsler og blokkerer umiddelbart, innen millisekunder. Atferdsanalyse kan oppdage krypterte trusler og zero-day-utnyttelser uten signaturer. Inline-blokkering med hardware-bypass, out-of-band-overvåking og virtualiserte instanser for elastisk skalerbarhet er tilgjengelige alternativer. Sino-Telecoms DPI-sikkerhetsløsninger bygger på mer enn 240+ patenter og 150+ programvarecopyrights. De har vært i bruk i over 30 land, inkludert Frankrike, Indonesia, Brasil og Australia, for å demonstrere ytelsen i ulike operatormiljøer.

Konklusjon

Er det mulig å bygge en flerlags sikkerhetsbarriere med DPI? Absolutt. DPI går dypt inn i pakkenes nyttelast, korrelaterer flere protokollag, gir varsling i sanntid og forenkler daglige oppgaver – og gjør dermed et passivt nettverk til en aktiv, intelligent vakt. Men effektiviteten avhenger sterkt av ytelse, nøyaktighet og integrasjon på underliggende plattform. Sino-Telecoms DPI-løsninger er utviklet for høyhastighets optiske nettverk, datacenterinterkoblinger (DCI) og tjenesteleverandører i telekommunikasjonsbransjen, og gir robust, flerdimensjonal beskyttelse mot moderne trusler som disse nettverkene står overfor. Be om et tilbud Hvis du vil vite mer om hvordan du kan sikre din infrastruktur med Sino-Telecoms DPI-nettverkssikkerhetsløsninger, kontakt vårt salgsteam for tekniske dataark, tilbud, implementeringsstudier eller en live-demonstrasjon. Fra omfattende DCI-sikkerhetsløsninger til enkelt DPI-deployments – Sino-Telecom kan hjelpe deg med å etablere din forsvarsperimeter.