Hvordan løser DPI-pakketinspeksjon data sikkerhetsutfordringene for operatører?

Datasikkerhet blir stadig mer en av de mest presserende problemstillingene for teleselskaper over hele verden. Ettersom nettverkets kompleksitet øker og nettverkene blir større, står operatørene under økt press for å beskytte abonnentdata, forebygge svindel og oppfylle reguleringer samt opprettholde kundenes tillit. De fleste konvensjonelle løsningene er utilstrekkelige, fordi de mangler den nødvendige detaljnivået for å oppdage sofistikerte trusler skjult i ellers tilsynelatende normal nettverkstrafikk. Dyp pakket inspeksjon (DPI) teknologien takler disse utfordringene ved å tilby avansert trafikkidentifisering, protokolanalyse og nettverkssynlighet evner, noe som gir operatører omfattende innsikt i nettverkene deres samtidig som sikkerheten, optimaliseringen og driftseffektiviteten forbedres.

Vanlige data sikkerhetsutfordringer for operatører

Operatører står overfor unike utfordringer knyttet til datasikkerhet som de fleste bedrifter ikke trenger å bekymre seg for. Beskyttelse av abonnentdata er et vedvarende problem – personlige data, lokasjonsdata og samtalelogger må holdes fortrolige for alle uautoriserte tredjeparter. Svindelaktiviteter, som direkte påvirker operatørens inntekter og abonnentenes opplevelse, omfatter alt fra SIM-box-svindel (der internasjonale samtaler gjøres til å se ut som lokale samtaler) til andre former for trafikkrelatert svindel. Operatører brukes også i økende grad som kanal av angripere som benytter phishing og skadelig programvare, og som har lært å sende e-post og skadelig innhold til abonnenter ved å bruke operatørens eget nettverk. Disse utfordringene er blitt ytterligere forverret av mange nye og ulike reguleringer som krever at operatører blokkerer ulovlig innhold, forhindrer datainnbrudd og holder en revidert logg over alle sikkerhetsavvik. DDOS-angrep (Distributed Denial of Service), som har to varianter (volumbaserte og applikasjonslagbaserte), kan ta ned et nettverk på sekundet, og til slutt finnes det alltid den interne risikoen fra ansatte og kompromitterte innloggingsdata, som enkel nettverksövervåking ikke alltid klarer å oppdage. Den felles faktoren bak alle disse smertepunktene er mangel på tilstrekkelig innsikt i nettverket og hva som går gjennom det.

Hvordan DPI takler sentrale sikkerhetsutfordringer

Dpi fungerer gjennom flere nøkkelfunksjoner. Protokolldekoding avslører hvilken applikasjon hvert pakket stammer fra (for eksempel ved å skille en gyldig HTTPS-nettsøkssesjon fra skadelig programvare som utnytter den som en sikker kanal). Innholdskontroll undersøker hva som faktisk befinner seg i pakket for å oppdage signaturer på utnyttelser eller phishing-URL-er, eller kommando- og kontrolltrafikk (C&C-trafikk). Atferdsanalyse forsøker å identifisere uvanlige pakker som ikke samsvarer med kjente signaturer – for eksempel en hjemmebruker som genererer svært store mengder utgående trafikk fra usannsynlige porter, eller C&C-trafikkmønstre som ikke samsvarer med noen kjente signaturer. Strømrekonstruksjon gjør det mulig å sette sammen pakker som tilhører samme samtale. Metadatagenerering oppretter søkbare poster for alle strømmer, slik at eventuelle hendelser senere kan etterforskes forensisk. Alle disse funksjonene kombinert transformerer rå trafikk til meningsfull sikkerhetsdata.

DPI for deteksjon av trusler i sanntid

Å vite hva som skal blokkeres er av liten nytte uten evnen til å gjøre det i sanntid mens trusselen oppstår. Pakketinspeksjon med DPI hjelper teleselskaper med å oppdage trusler i sanntid, i stedet for timer eller dager etter at en sikkerhetsbrudd har skjedd – når det ofte er lite operatøren kan gjøre annet enn å informere abonnentene om et potensielt problem. For eksempel når en abonnent prøver å koble seg til en svindelaktig phishing-side, gjenkjenner DPI-motoren phishing-URL-en innen millisekunder under DNS-forespørselen eller opprettelsen av HTTP-sesjonen og kan blokkere den umiddelbart. Når en enhet som styres av skadelig programvare prøver å koble seg til sin kommando- og kontrollserver, kan DPI-motoren gjenkjenne det karakteristiske beacon-pakket og dens destinasjons-IP-adresse fra trusselintelligensdata og blokkere den øyeblikkelig. Det gir også operatøren mulighet til å proaktivt beskytte abonnenter mot tap av data. Oppdagelse av spredning av skadelig programvare (f.eks. EXE-, APK-filer) og unormale trafikkoppføringer via dyp prøvegjenoppretting og sammenligning med funksjonsdatabase. Denne sanntidsoppdagelsen er avgjørende for proaktiv trusselstyring, i stedet for bare å reagere på sikkerhetsinsidenter etter at de har skjedd.

Evner til å blokkere og skjerme mot oppdagede trusler

Det er ikke nok å oppdage trusler; evnen til å aktivt skjerme mot og blokkere identifiserte trusler er avgjørende for å løse sikkerhetsutfordringene. Enheter for dyp pakketinspeksjon (DPI) inkluderer blokkeringsfunksjoner slik at truslene begrenses umiddelbart når de blir identifisert. Når DPI identifiserer et forsøk på phishing, kan trafikken avvises, noe som forhindrer abonnenten i å nå den svindelaktige nettsiden. Når malware som prøver å kommunisere blir identifisert, kan tilkoblingen til kommandosentralen (C&C-serveren) blokkeres – enten for den spesifikke abonnenten eller for hele nettverket – og dermed forhindre ytterligere kommunikasjon. Ulovlige innhold eller andre identifiserte trusler blokkeres i sanntid av policymotoren. Blokkering kan være like målrettet eller like omfattende som policyen bestemmer. Den kan enten bare logge trafikken for analyse, eller blokkere kun hvis forsøket skjer flere ganger på rad fra en spesifikk abonnent eller lokasjon.

Forenkle sikkerhetsstyring med DPI

En av de viktigste utfordringene for et sikkerhetssenter (SOC) i et telekommunikasjonsnettverk er at antallet sikkerhetsvarsler kan være enormt, og mange av dem kan være falske positive. Dyb pakket inspeksjon gir intelligens til varsler ved å skille mellom virkelig nettverkstrafikk og skadelig innhold, slik at sikkerhetsteam ikke kaster bort tid på hendelser som utgjør liten eller ingen sikkerhetsrisiko for abonnenten eller nettverksinfrastrukturen. For eksempel er et varsel på operatørens nettverk om trafikk rettet mot en nettside for distribusjon av skadevare mye mer alvorlig enn det samme varselet fra en automatisk sårbarhetsscanner under en godkjent testøkt. Automatiserte responsmekanismer lar operatøren konfigurere policyer for å automatisk blokkere kjent skadelig trafikk så snart den oppdages, uten behov for menneskelig inngripning. Konsolidering av varsler gjør at mange hendelser som henger sammen med samme underliggende trussel kan grupperes til ett enkelt sikkerhetsvarsel, slik at operatørens sikkerhetsteam blir mer effektive og produktive.

Reduser sikkerhetsrisikoer i daglige operasjoner

Telekommunikasjonsnettverk er komplekse miljøer der mange menneskedrevne aktiviteter – som konfigurasjonsendringer, programvareoppdateringer og leverandørstøttetjenester – innfører driftsrisiko. Dyb pakket inspeksjon (DPI) hjelper til med å håndtere disse risikoen. En endring av nettverkskonfigurasjoner blir mindre risikofylt når nettverksingeniører er sikre på at sikkerhetskonsekvensene har blitt forstått og håndtert på riktig måte. Aktiviteter og tilganger knyttet til leverandørstøtte kan overvåkes for å sikre at ingen uautoriserte endringer utføres og at ingen private opplysninger eksfiltreres fra operatørens nettverk. Tjenestedeployeringer utgjør også en risiko, siden det ofte er vanskelig å forutsi virkningen og sikkerhetsutsattheten til en ny tjeneste, og det er avgjørende å sikre at den nye tjenesten ikke innfører nye angrepsvektorer. Håndtering av hendelser blir betydelig enklere når en operatør kan bruke informasjonen fra DPIs etterforskningslogger til å raskt forstå nøyaktig hva som skjedde under en tidligere hendelse, slik at den kan rettes ordentlig i mye kortere tid.

Praktisk DPI-verdi for operatørsikkerhet

Fordelene for operatører som bruker DPI for nettverkssikkerhet kan oppsummeres i følgende hovedanvendelsesområder.

Motfalskning bruker dyb pakket inspeksjon (DPI) til å oppdage SIM-box-falskning ved å korrelere ulike data, som samtaledata, lokasjonsdata og signaliseringsmønstre, for å identifisere internasjonale samtaler som avsluttes på nettverket, men som er maskert som lokale samtaler, for å stanse direkte inntekts tap.

Mot-phishing bruker DPI til å umiddelbart blokkere kjente skadelige phishing-nettsteder og dermed redusere tap av påloggingsinformasjon for abonnenter og redusere antallet henvendelser til operatørens støttelinjer angående svindelaktivitet.

Mot-skadelig programvare bruker DPI til å oppdage kommunikasjon fra skadelig programvare i sanntid med kommando- og kontroll-servere (C&C), og redusere antallet enheter som er infisert med skadelig programvare på deres nettverk.

Datatappprevenasjon identifiserer ikke-krypterte følsomme data som overføres over nettverket, og som operatøren er pålagt å beskytte i henhold til regulatoriske krav, og håndhever eller muliggjør håndheving av sikkerhetspolitikker knyttet til konfidensialiteten til de følsomme dataene.

Pålitelige DPI-løsninger for databeskyttelse

Sino-Telecom tilbyr fullt integrerte løsninger for dyp pakketjeneste (DPI) for å takle sikkerhetsutfordringene til operatører. Sino-Telecoms DPI-løsninger behandler nettverkstrafikk i sanntid med online-hastigheter fra 1 Gbps til 100 Gbps og tilbyr omfattende trusselintelligensdatabaser, inkludert signaturer for flere tusen applikasjoner og kjente, nye trusler. Sino-Telecoms DPI-løsninger behandler nettverkstrafikk i enorm skala og leverer opp til 120 Gbps per 1U-appliance for 5G-mobilnettverk, samt skalering til bransjens ledende 1200 Gbps med innebygd støtte for 400GE for fast bredbånd. Drevet av en ekstremt effektiv UCPP-motor har våre løsninger en svært stor svartelistekapasitet på 4 millioner poster og omfattende blokkeringsmekanismer – inkludert TCP-tilkoblingsavslutning, UDP-pakketap og HTTP-omdirigering. Ved å gjenkjenne over 3 500 underkategorier av applikasjoner og korrelere 5G/IoT-trafikk, Sino-Telecom leverer det trusselintelligensen på operatørnivå som operatørene trenger.