Может ли сеть безопасности DPI создать многомерный защитный барьер?

Устаревшая концепция периметральной безопасности несовместима с современными организациями, а сигнатурные и контент-ориентированные методы защиты неэффективны. Глубокий анализ пакетов (DPI) — ключевая технология, отвечающая на вопрос, который давно беспокоит специалистов по сетевой безопасности: действительно ли сетевая безопасность DPI представляет собой несколько уровней защиты? Современное решение заключается в эволюции технологии DPI, которая теперь выходит за рамки простого «чтения заголовков» и способна понимать содержимое и характер взаимодействий в современных сетях.

Растущая сложность современных сетевых угроз

Спам и простое вредоносное программное обеспечение — не единственные угрозы в современном ландшафте угроз. Основная задача — предоставить администраторам инструмент, необходимый для обнаружения и предотвращения атак — особенно когда речь идёт о зашифрованных туннелях, атаках на уровне приложений, уязвимостях нулевого дня и экфильтрации данных, поскольку всё это выглядит как обычный сетевой трафик. Большинство межсетевых экранов и простых фильтров пакетов не способны предотвратить атаки, использующие зашифрованные протоколы, или атаки, проходящие через порты, отсутствующие в их конфигурации. Площадь потенциальной атаки также значительно расширилась за счёт облачных сервисов, устройств Интернета вещей (IoT) и удалённых сотрудников. Следовательно, необходим многомерный барьер как на уровне заголовков пакетов, так и на уровне полезной нагрузки. Именно здесь на помощь приходит технология глубокого анализа пакетов (DPI) в области сетевой безопасности.

Основные функции DPI в сетевой безопасности

В сети технология глубокого анализа пакетов (DPI) способна обеспечить ряд базовых и необходимых сервисов безопасности. Идентификация приложений имеет важное значение. DPI позволяет определить, какое именно приложение генерирует трафик: веб-браузер, почтовое приложение, программа обмена файлами или загрузчик вредоносного ПО. Такая идентификация возможна даже при отсутствии стандартных портов или при шифровании трафика. Также применяется декодирование протоколов, позволяющее анализировать содержимое каждого прикладного обмена. DPI способна обрабатывать синтаксический разбор сотен различных форматов протоколов, включая HTTP-запросы/ответы, DNS-запросы и SMTP-команды. Анализ полезной нагрузки — это процесс проверки содержимого пакетов на наличие сигнатур угроз, а также определение того, содержит ли пакет эксплойт-код, строки вредоносного кода или URL-адреса фишинга. Поведенческий анализ изучает несколько пакетов на предмет признаков вредоносного поведения, таких как размер пакетов, временные интервалы, направление и шаблоны адресов назначения, не совпадающие с известными сигнатурами. Извлечение метаданных создаёт информацию по каждому потоку, которая может использоваться для поиска, криминалистического анализа и подготовки отчётов по требованиям соответствия.

Как DPI обеспечивает многоуровневую защиту

Для многомерных барьеров защиты не требуется несколько уровней стека сетевых протоколов: всё это обеспечивает технология DPI. На сетевом уровне можно обнаружить подозрительные IP-адреса, сканирование портов и атаки типа DoS. На транспортном уровне возможны обнаружение SYN-флуда, захват соединений и неожиданных изменений состояния TCP. Уникальная ценность DPI на прикладном уровне заключается в мониторинге веб-трафика на наличие SQL-инъекций и XSS-атак, электронной почты — на фишинговые ссылки, а также передачи файлов — на несанкционированную экспортированную информацию; кроме того, DPI выявляет доменные имена, сгенерированные алгоритмически (DGA), в DNS-трафике и туннелирование в том же DNS-трафике. Помимо уровней протоколов, DPI включает поведенческий уровень, способный распознавать шаблоны трафика, указывающие на наличие ботнетов, подготовку данных или трафик команд и управления. Архитектура DPI многоуровневая: если один уровень пропускает угрозу, её обнаруживает другой. Простая проверка может не распознать загрузку вредоносного ПО, встроенную в зашифрованный поток (HTTPS), тогда как DPI способна выявить такую угрозу путём анализа поведения трафика.

Распознавание рисков в реальном времени и раннее предупреждение

Сеть безопасности DPI обладает выдающейся способностью распознавать риски в режиме реального времени. По мере прохождения пакетов через сеть движки DPI постоянно воссоздают и анализируют их, сопоставляя шаблоны с данными угроз, поведенческими эталонами и пользовательскими правилами. При выявлении аномалий система автоматически отправляет оповещения — например, при передаче большого объёма зашифрованного трафика в геолокацию с высоким уровнем риска или при попытке пользователя последовательно войти на несколько серверов. Такие оповещения позволяют ограничить потенциальные угрозы ещё до того, как они перерастут в масштабные вторжения. Эта функция имеет решающее значение для сетей DCI и операторов связи.

Оптимизация ежедневной работы операторов по защите

С сетевой безопасностью DPI шум от оповещений снижается, реакции на рутинные оповещения автоматизируются, а полезная оперативная информация помогает оптимизировать ежедневные задачи защиты. Ежедневно может генерироваться тысячи оповещений, многие из которых ложные или несущественные, даже при использовании одних и тех же средств безопасности. Чтобы устранить этот шум, DPI применяет анализ в контексте приложения. Например, трафик с известного вредоносного домена получает высокий приоритет, за исключением случаев, когда он исходит от автоматизированного сканера безопасности — тогда ему присваивается низкий приоритет. Такой контекст автоматически обеспечивается DPI. Рутинные угрозы устраняются автоматическими реакциями. Трафик с обнаруженным фишинговым URL может быть автоматически заблокирован DPI, освобождая время аналитиков безопасности для работы со сложными инцидентами. Подробные записи потоков DPI ускоряют проведение цифровой криминалистической экспертизы. Аналитики теперь могут использовать метаданные DPI, чтобы точно определить последовательность событий до, во время и после инцидента, не прибегая к ручному сопоставлению записей из нескольких журналов. Для операторов с небольшими командами безопасности такие преимущества оптимизации — не роскошь, а необходимость.

Преимущества развертывания решений безопасности Sino-Telecom на основе DPI

Для создания многомерных защитных барьеров Sino-Telecom предлагает решения сетевой безопасности на основе DPI. Эти платформы DPI обеспечивают обработку трафика до 1200 Гбит/с на одну систему, поддерживают порты 400GE «из коробки», а их сигнатуры DPI способны обрабатывать тысячи приложений и постоянно обновляются для поддержки новейших приложений и протоколов. Обнаружение в реальном времени позволяет мгновенно уведомлять и блокировать угрозы за миллисекунды. Анализ поведения позволяет выявлять зашифрованные угрозы и эксплойты «нулевого дня» без использования сигнатур. В качестве опций доступны инлайн-блокировка с аппаратным байпасом, внеочередный мониторинг и виртуализированные экземпляры для масштабируемости по требованию. Решения безопасности Sino-Telecom на основе DPI основаны более чем на 240 патентах и более чем на 150 программных лицензиях. Они применяются более чем в 30 странах, включая Францию, Индонезию, Бразилию и Австралию, что подтверждает их эффективность в различных операторских средах.

Заключение

Возможно ли создать многоуровневый барьер безопасности с помощью DPI? Безусловно. DPI глубоко анализирует полезную нагрузку пакетов, коррелирует несколько уровней протоколов, обеспечивает раннее предупреждение в реальном времени и упрощает повседневные задачи, превращая пассивную сеть в активную интеллектуальную систему защиты. Однако её эффективность в значительной степени зависит от производительности, точности и степени интеграции базовой платформы. Решения DPI от Sino-Telecom разработаны специально для высокоскоростных оптических сетей, межцентровых соединений (DCI) и сетей операторов связи, обеспечивая надёжную многомерную защиту от современных угроз, с которыми сталкиваются такие сети. Запросить коммерческое предложение. Если вы хотите узнать больше о защите вашей инфраструктуры с помощью возможностей сетевой безопасности DPI от Sino-Telecom, свяжитесь с нашей командой продаж, чтобы получить техническую документацию на продукт, коммерческое предложение, пример внедрения или живую демонстрацию. От комплексного решения безопасности DCI до отдельных решений DPI — Sino-Telecom поможет вам определить и укрепить периметр вашей защиты.