Как анализ пакетов на уровне DPI решает проблемы безопасности данных для операторов?

Безопасность данных все чаще становится одной из самых острых проблем для телекоммуникационных операторов по всему миру. По мере роста сложности и масштабов сетей операторы испытывают всё большее давление, связанное с необходимостью защиты данных абонентов, предотвращения мошенничества, соблюдения нормативных требований и поддержания доверия клиентов. Большинство традиционных решений оказываются неэффективными, поскольку им не хватает детализации, необходимой для выявления сложных угроз, скрытых в кажущемся нормальным сетевом трафике. Глубокий анализ пакетов (DPI) технология решает эти задачи, обеспечивая передовую идентификацию трафика, анализ протоколов и видимость сети возможности, позволяя операторам получать исчерпывающую информацию о своих сетях и одновременно повышать уровень безопасности, оптимизацию и операционную эффективность.

Типичные проблемы в области безопасности данных для операторов

Операторы сталкиваются с уникальными вызовами в области безопасности данных, о которых большинство предприятий не обязаны беспокоиться. Защита данных абонентов — это постоянная проблема: персональные данные, данные о местоположении, записи звонков должны оставаться конфиденциальными и недоступными для любых несанкционированных третьих сторон. Мошенническая деятельность, напрямую влияющая на доходы операторов и качество обслуживания абонентов, включает, например, мошенничество с SIM-боксами (когда международные звонки имитируются как локальные) и другие формы мошенничества, связанного с трафиком. Операторы также всё чаще используются в качестве канала для фишинговых атак и атак с использованием вредоносного программного обеспечения: злоумышленники научились доставлять абонентам электронные письма и вредоносный контент непосредственно через сеть оператора. Эти вызовы усугубились многочисленными новыми и разнообразными регуляторными требованиями к операторам, предписывающими блокировать незаконный контент, предотвращать утечки данных и вести журнал аудита всех инцидентов безопасности. Атаки типа DDOS (распределённого отказа в обслуживании), имеющие две разновидности — объёмную и прикладного уровня, — способны вывести сеть из строя мгновенно. Кроме того, всегда присутствует внутренний риск, связанный с сотрудниками и скомпрометированными учётными данными, который простой сетевой мониторинг не всегда способен обнаружить. Объединяющим фактором всех этих проблем является недостаточная видимость сети и тех данных, которые через неё проходят.

Как DPI решает основные задачи безопасности

Dpi работает с помощью нескольких ключевых функций. Декодирование протоколов выявляет, из какого приложения поступает каждый пакет (например, различает корректный сеанс HTTPS-просмотра веб-страниц и вредоносное ПО, использующее его в качестве защищённого канала). Анализ полезной нагрузки проверяет содержимое пакета на наличие сигнатур эксплойтов или фишинговых URL-адресов, а также трафика команд и управления (C&C). Поведенческий анализ выявляет аномальные пакеты, не соответствующие известным сигнатурам — например, чрезмерный объём исходящего трафика от домашнего пользователя через непривычные порты или характерный трафик C&C, не совпадающий ни с одной известной сигнатурой. Восстановление потока позволяет собрать воедино пакеты, относящиеся к одному и тому же диалогу. Создание метаданных формирует поддающиеся поиску записи всех потоков, чтобы любые инциденты можно было провести судебно-техническое расследование впоследствии. Все эти функции в совокупности преобразуют «сырой» сетевой трафик в осмысленные данные для обеспечения безопасности.

DPI для обнаружения угроз в реальном времени

Знание того, что следует блокировать, имеет небольшую ценность без возможности выполнять такую блокировку в режиме реального времени по мере возникновения угрозы. Глубокий анализ пакетов (DPI) помогает операторам связи обнаруживать угрозы в режиме реального времени, а не спустя часы или дни после инцидента, когда оператору зачастую остаётся лишь уведомить своих абонентов о потенциальной проблеме. Например, когда абонент пытается подключиться к мошеннической фишинговой странице, движок DPI оператора распознаёт URL-адрес фишингового сайта в течение миллисекунд на этапе DNS-запроса или установки HTTP-сессии и может немедленно заблокировать его. Когда устройство, заражённое вредоносным ПО, пытается подключиться к серверу команд и управления (C&C), движок DPI может распознать характерный «маячный» пакет и его целевой IP-адрес на основе данных из источников информации об угрозах и заблокировать соединение мгновенно. Кроме того, это позволяет оператору заранее защитить абонентов от потери данных: обнаружение распространения вредоносных программ (например, EXE, APK) и аномальных сетевых поведений с помощью глубокого восстановления образцов и сопоставления признаков с базой данных. Такое обнаружение в режиме реального времени является ключевым элементом проактивного управления угрозами, а не просто реакцией на инциденты информационной безопасности после их возникновения.

Возможности блокировки и защиты от обнаруженных угроз

Обнаружения угроз недостаточно; способность активно защищать от выявленных угроз и блокировать их имеет решающее значение для решения проблем безопасности. Устройства глубокого анализа пакетов (DPI) включают функции блокировки, позволяющие немедленно локализовать угрозы сразу после их обнаружения. Когда система DPI выявляет попытку фишинга, она может отбросить соответствующий трафик, тем самым предотвращая доступ абонента на мошеннический сайт. При обнаружении вредоносного ПО, пытающегося установить связь, можно заблокировать соединение с сервером управления и командования (C&C) — как для конкретного абонента, так и для всей сети, — что исключает любое дальнейшее взаимодействие. Незаконный контент или любая другая выявленная угроза блокируются в режиме реального времени посредством движка политик. Блокировка может быть столь же целенаправленной или столь же масштабной, сколько определяет политика. Например, система может просто регистрировать трафик для последующего анализа либо осуществлять блокировку только при повторении попытки несколько раз подряд от конкретного абонента или из определённого местоположения.

Упростите управление безопасностью с помощью DPI

Одной из главных задач центра управления безопасностью в телекоммуникационной сети является то, что количество предупреждений о безопасности может быть чрезвычайно большим, причём многие из них могут оказаться ложными срабатываниями. Глубокий анализ пакетов повышает информативность предупреждений, позволяя отличать реальный сетевой трафик от вредоносного контента, благодаря чему специалисты по безопасности не тратят время на события, которые практически не представляют угрозы для абонента или инфраструктуры сети. Например, предупреждение об обнаружении трафика, направленного к сайту распространения вредоносного программного обеспечения, имеет гораздо большее значение, чем аналогичное предупреждение, полученное от автоматизированного сканера уязвимостей в ходе утверждённой тестовой сессии. Автоматические реакции позволяют оператору настраивать политики для автоматической блокировки известного вредоносного трафика сразу после его обнаружения без какого-либо вмешательства человека. Консолидация предупреждений позволяет объединять множество событий, связанных с одной и той же базовой угрозой, в единое предупреждение о безопасности, что повышает эффективность и продуктивность команд оператора, отвечающих за обеспечение безопасности.

Снижение рисков безопасности в повседневной эксплуатации

Телекоммуникационные сети представляют собой сложные среды, в которых множество операций, выполняемых людьми — такие как изменения конфигурации, обновления программного обеспечения и действия по технической поддержке со стороны поставщиков, — создают операционные риски. Глубокий анализ пакетов (DPI) помогает управлять этими рисками. Изменения в сетевой конфигурации становятся менее рискованными, когда инженеры-сетевики уверены, что последствия для безопасности были должным образом проанализированы и учтены. Деятельность поставщиков и их доступ к сети могут контролироваться, чтобы гарантировать отсутствие несанкционированных изменений и предотвратить утечку конфиденциальной информации из сети оператора. Развертывание новых сервисов также сопряжено с рисками, поскольку бывает сложно спрогнозировать влияние и уязвимости в области безопасности, связанные с новым сервисом; поэтому крайне важно убедиться, что новый сервис не создает дополнительных векторов атаки. Реагирование на инциденты становится значительно проще, когда оператор может использовать данные, полученные с помощью функций цифровой фиксации событий (forensic records) DPI, чтобы быстро и точно установить, что именно произошло при предыдущем инциденте, и устранить проблему за гораздо более короткое время.

Практическое значение DPI для обеспечения безопасности операторов

Преимущества использования DPI операторами для обеспечения сетевой безопасности можно свести к следующим основным сценариям применения.

Борьба с мошенничеством: глубокий анализ пакетов (DPI) используется для выявления мошенничества с использованием SIM-коробок путем корреляции различных данных, таких как данные о звонках, данные о местоположении и сигнальные шаблоны, с целью обнаружения международных звонков, завершающихся в сети, но маскирующихся под локальные звонки, что позволяет предотвратить прямые потери доходов.

Борьба с фишингом: DPI используется для немедленной блокировки известных вредоносных фишинговых сайтов, что снижает количество утерянных учетных данных абонентов и уменьшает количество обращений в службу поддержки оператора по поводу мошеннической активности.

Борьба с вредоносным ПО: DPI используется для обнаружения в реальном времени коммуникаций вредоносного программного обеспечения с серверами управления и командования (C&C), что снижает количество зараженных устройств в сети оператора.

Предотвращение утечек данных выявляет передачу по сети незашифрованных конфиденциальных данных, защита которых обязательна для оператора в соответствии с нормативными требованиями, и обеспечивает применение или возможность применения политик безопасности, связанных с конфиденциальностью таких данных.

Надежные решения DPI для защиты данных

Компания Sino-Telecom предлагает полностью интегрированные решения глубокого анализа пакетов (DPI) для решения задач безопасности операторов. Решения DPI компании Sino-Telecom обрабатывает сетевой трафик в режиме реального времени со скоростями онлайн-передачи от 1 Гбит/с до 100 Гбит/с, обеспечивая всесторонние базы данных угроз, включая сигнатуры для тысяч приложений и известных новых угроз. Решения Sino-Telecom для глубокого анализа пакетов (DPI) обрабатывают сетевой трафик в масштабах, недостижимых ранее, обеспечивая производительность до 120 Гбит/с на 1U-устройство для мобильных сетей 5G и масштабируясь до рекордных 1200 Гбит/с с поддержкой интерфейса 400GE по умолчанию для фиксированных широкополосных сетей. Благодаря сверхэффективному движку UCPP наши решения обладают огромной емкостью чёрного списка — до 4 миллионов записей — и комплексными механизмами блокировки, включая принудительное завершение TCP-соединений, отбрасывание UDP-пакетов и перенаправление HTTP-трафика. Распознавая более 3500 подкатегорий приложений и коррелируя трафик 5G/Internet of Things (IoT), Sino-Telecom обеспечивает операторов телекоммуникационного класса необходимой информацией об угрозах.