การตรวจสอบแพ็กเก็ตแบบ DPI ช่วยแก้ไขปัญหาด้านความมั่นคงปลอดภัยของข้อมูลสำหรับผู้ให้บริการอย่างไร

ความปลอดภัยของข้อมูลกำลังกลายเป็นหนึ่งในประเด็นที่เร่งด่วนที่สุดสำหรับผู้ให้บริการโทรคมนาคมทั่วโลก ขณะที่ความซับซ้อนของเครือข่ายเพิ่มขึ้นและขนาดเครือข่ายขยายใหญ่ขึ้น ผู้ให้บริการจึงเผชิญแรงกดดันมากขึ้นในการปกป้องข้อมูลของผู้ใช้บริการ ป้องกันการฉ้อโกง ปฏิบัติตามข้อกำหนดด้านกฎระเบียบ และสร้างความไว้วางใจจากลูกค้า โซลูชันแบบดั้งเดิมส่วนใหญ่ไม่เพียงพอ เนื่องจากขาดความละเอียดในการตรวจจับภัยคุกคามขั้นสูงที่ซ่อนอยู่ภายในปริมาณการรับส่งข้อมูลบนเครือข่ายที่ดูเหมือนปกติ การตรวจสอบแพ็กเก็ตอย่างลึกซึ้ง (DPI) เทคโนโลยีนี้ช่วยแก้ไขปัญหาเหล่านี้ด้วยการให้ความสามารถในการระบุปริมาณการจราจรขั้นสูง การวิเคราะห์โปรโตคอล และ การมองเห็นเครือข่าย ความสามารถต่าง ๆ ซึ่งช่วยให้ผู้ปฏิบัติงานสามารถเข้าใจภาพรวมของเครือข่ายได้อย่างครอบคลุม พร้อมยกระดับความปลอดภัย การปรับปรุงประสิทธิภาพ และประสิทธิผลในการดำเนินงาน

จุดที่เกิดปัญหาด้านความมั่นคงปลอดภัยของข้อมูลที่พบบ่อยสำหรับผู้ให้บริการ

ผู้ให้บริการโทรคมนาคมเผชิญกับความท้าทายด้านความมั่นคงปลอดภัยของข้อมูลที่ไม่เหมือนองค์กรอื่นๆ ส่วนใหญ่ ซึ่งโดยทั่วไปไม่จำเป็นต้องกังวลเรื่องนี้ การปกป้องข้อมูลของผู้ใช้บริการถือเป็นปัญหาที่ต้องจัดการอย่างต่อเนื่อง — ข้อมูลส่วนบุคคล ข้อมูลตำแหน่งที่ตั้ง และประวัติการใช้บริการโทรศัพท์ ล้วนต้องรักษาไว้เป็นความลับไม่ให้บุคคลภายนอกที่ไม่มีสิทธิเข้าถึงได้ ความผิดปกติทางการทุจริตซึ่งส่งผลกระทบโดยตรงต่อรายได้ของผู้ให้บริการและประสบการณ์ของผู้ใช้บริการ ครอบคลุมตั้งแต่การทุจริตแบบ SIM Box (ซึ่งทำให้การโทรระหว่างประเทศดูเหมือนเป็นการโทรในประเทศ) ไปจนถึงรูปแบบการทุจริตอื่นๆ ที่เกี่ยวข้องกับปริมาณการรับส่งข้อมูล นอกจากนี้ ผู้ให้บริการยังถูกใช้เป็นช่องทางในการโจมตีด้วยการหลอกลวง (phishing) และมัลแวร์มากขึ้นเรื่อยๆ โดยผู้โจมตีเหล่านี้ได้เรียนรู้วิธีส่งอีเมลและเนื้อหาที่เป็นอันตรายไปยังผู้ใช้บริการผ่านเครือข่ายของผู้ให้บริการเอง ความท้าทายเหล่านี้ยิ่งทวีความรุนแรงมากขึ้นอีกจากข้อกำหนดระเบียบข้อบังคับใหม่ๆ ที่หลากหลายและเพิ่มขึ้นเรื่อยๆ ซึ่งบังคับให้ผู้ให้บริการต้องบล็อกเนื้อหาที่ผิดกฎหมาย ป้องกันการรั่วไหลของข้อมูล และจัดทำบันทึกการตรวจสอบ (audit trail) สำหรับเหตุการณ์ด้านความมั่นคงปลอดภัยทุกกรณี การโจมตีแบบ DDOS (Distributed Denial of Service) ซึ่งมีสองรูปแบบคือแบบปริมาตร (volumetric) และแบบแอปพลิเคชันเลเยอร์ (application-layer) อาจทำให้เครือข่ายหยุดให้บริการลงได้ทันที ในท้ายที่สุด ยังมีความเสี่ยงภายในที่เกิดจากพนักงานหรือการถูกขโมยข้อมูลประจำตัว (compromised credentials) ซึ่งการตรวจสอบเครือข่ายแบบพื้นฐานอาจไม่สามารถตรวจจับได้เสมอไป ปัจจัยร่วมที่เชื่อมโยงประเด็นปัญหาทั้งหมดนี้เข้าด้วยกันคือ ขาดการมองเห็นเครือข่ายอย่างเพียงพอ และไม่สามารถรับรู้ได้ว่ามีข้อมูลใดบ้างที่กำลังเคลื่อนผ่านเครือข่าย

วิธีที่ DPI จัดการกับความท้าทายด้านความปลอดภัยหลัก

Dpi ทำงานผ่านฟังก์ชันสำคัญหลายประการ ได้แก่ การถอดรหัสโปรโตคอล ซึ่งเปิดเผยแอปพลิเคชันที่แพ็กเก็ตแต่ละชุดมาจาก (เช่น แยกแยะเซสชันการท่องเว็บ HTTPS ที่ถูกต้องออกจากมัลแวร์ที่ใช้ช่องทางนี้เป็นช่องทางที่ปลอดภัย) การตรวจสอบเพย์โหลด (Payload inspection) ตรวจสอบเนื้อหาภายในแพ็กเก็ตเพื่อตรวจจับลายเซ็นของช่องโหว่หรือ URL ที่ใช้ในการโจมตีแบบฟิชชิง หรือทราฟฟิกแบบสั่งการและควบคุม (C&C) การวิเคราะห์พฤติกรรมพยายามระบุแพ็กเก็ตที่ผิดปกติซึ่งไม่ตรงกับลายเซ็นที่รู้จัก — ตัวอย่างเช่น ผู้ใช้ทั่วไปที่สร้างทราฟฟิกขาออกจำนวนมากผ่านพอร์ตที่ไม่น่าจะเกิดขึ้น หรือรูปแบบทราฟฟิก C&C ที่ไม่ตรงกับลายเซ็นใดๆ ที่รู้จัก การสร้างลำดับการไหลใหม่ (Flow reconstruction) ทำให้สามารถนำแพ็กเก็ตที่เกี่ยวข้องกับการสนทนาเดียวกันมาเรียงต่อกันใหม่ได้ การสร้างเมตาดาต้าสร้างระเบียนที่ค้นหาได้สำหรับการไหลทั้งหมด เพื่อให้สามารถสอบสวนเหตุการณ์ต่างๆ ได้อย่างละเอียดในภายหลัง ฟังก์ชันทั้งหมดเหล่านี้ร่วมกันเปลี่ยนทราฟฟิกดิบให้กลายเป็นข้อมูลด้านความปลอดภัยที่มีความหมาย

DPI สำหรับการตรวจจับภัยคุกคามจากข้อมูลแบบเรียลไทม์

การรู้ว่าควรบล็อกสิ่งใดนั้นมีประโยชน์น้อยมาก หากไม่มีความสามารถในการดำเนินการดังกล่าวแบบเรียลไทม์ ขณะที่ภัยคุกคามกำลังเกิดขึ้น การตรวจสอบแพ็กเก็ตด้วยเทคโนโลยี DPI (Deep Packet Inspection) ช่วยให้ผู้ให้บริการโทรคมนาคมสามารถตรวจจับภัยคุกคามได้แบบเรียลไทม์ แทนที่จะต้องรอหลายชั่วโมงหรือหลายวันหลังจากเกิดการละเมิดความปลอดภัย ซึ่งในเวลานั้น ผู้ให้บริการอาจทำอะไรได้น้อยมากนอกจากแจ้งผู้ใช้บริการเกี่ยวกับปัญหาที่อาจเกิดขึ้นเท่านั้น ตัวอย่างเช่น เมื่อผู้ใช้บริการพยายามเชื่อมต่อกับหน้าเว็บปลอมที่ใช้หลอกลวง (phishing page) เครื่องมือ DPI ของผู้ให้บริการจะสามารถระบุ URL ที่ใช้ในการโจมตีได้ภายในไม่กี่มิลลิวินาที ระหว่างกระบวนการร้องขอ DNS หรือการตั้งค่าเซสชัน HTTP และสามารถบล็อกการเชื่อมต่อนั้นได้ทันที นอกจากนี้ เมื่ออุปกรณ์ที่ถูกควบคุมโดยมัลแวร์พยายามเชื่อมต่อกับเซิร์ฟเวอร์ควบคุมและสั่งการ (command and control server) เครื่องมือ DPI ก็สามารถระบุแพ็กเก็ตสัญญาณเตือน (beacon packet) ที่มีลักษณะเฉพาะ รวมทั้งที่อยู่ IP ปลายทางจากแหล่งข้อมูลด้านภัยคุกคาม (threat intelligence feeds) และบล็อกการเชื่อมต่อได้ทันที อีกทั้งยังช่วยให้ผู้ให้บริการสามารถปกป้องผู้ใช้บริการจากการสูญเสียข้อมูลได้อย่างรุก โดยการตรวจจับการแพร่กระจายของโปรแกรมที่เป็นอันตราย (เช่น ไฟล์ EXE, APK) และพฤติกรรมการรับ-ส่งข้อมูลที่ผิดปกติ ผ่านการกู้คืนตัวอย่างข้อมูลอย่างลึกซึ้ง (deep sample restoration) และการจับคู่กับฐานข้อมูลคุณลักษณะ (feature database matching) การตรวจจับแบบเรียลไทม์นี้จึงมีความสำคัญยิ่งต่อการจัดการภัยคุกคามอย่างรุก แทนที่จะเพียงแค่ตอบสนองต่อเหตุการณ์ด้านความปลอดภัยหลังจากที่เกิดขึ้นแล้ว

ความสามารถในการป้องกันและบล็อกภัยคุกคามที่ตรวจจับได้

การตรวจจับภัยคุกคามเพียงอย่างเดียวไม่เพียงพอ ความสามารถในการป้องกันและบล็อกภัยคุกคามที่ระบุได้อย่างแข็งขันนั้นสำคัญยิ่งต่อการแก้ไขจุดบกพร่องด้านความมั่นคงปลอดภัย อุปกรณ์ตรวจสอบแพ็กเก็ตแบบลึก (Deep packet inspection devices) มีความสามารถในการบล็อก เพื่อควบคุมภัยคุกคามทันทีที่ตรวจพบได้ ตัวอย่างเช่น เมื่อระบบ DPI ตรวจพบการโจมตีแบบฟิชชิง (phishing) จะสามารถยกเลิกการรับส่งข้อมูลนั้นทันที ซึ่งจะป้องกันไม่ให้ผู้ใช้เข้าถึงเว็บไซต์ปลอมแปลงแต่อย่างใด เมื่อตรวจพบมัลแวร์ที่พยายามสื่อสาร ระบบสามารถบล็อกการเชื่อมต่อกับเซิร์ฟเวอร์ควบคุมและสั่งการ (C&C server) ได้—ไม่ว่าจะเป็นสำหรับผู้ใช้รายบุคคลหรือทั้งเครือข่าย—เพื่อป้องกันไม่ให้มีการสื่อสารเพิ่มเติมใดๆ เนื้อหาที่ผิดกฎหมายหรือภัยคุกคามอื่นใดที่ระบุได้ จะถูกบล็อกแบบเรียลไทม์โดยเอนจินนโยบาย (policy engine) การบล็อกสามารถทำได้ทั้งแบบเจาะจงหรือกว้างขวางตามที่นโยบายกำหนด เช่น อาจบันทึกการรับส่งข้อมูลเพื่อวิเคราะห์เท่านั้น หรือบล็อกเฉพาะเมื่อมีการพยายามเข้าถึงซ้ำๆ กันหลายครั้งจากผู้ใช้หรือสถานที่เดียวกัน

เรียบง่ายการจัดการความปลอดภัยด้วย DPI

หนึ่งในความท้าทายหลักของศูนย์ปฏิบัติการด้านความมั่นคงปลอดภัย (Security Operations Center) ภายในเครือข่ายโทรคมนาคม คือ จำนวนการแจ้งเตือนด้านความมั่นคงปลอดภัยอาจมีจำนวนมากอย่างยิ่ง และหลายรายการอาจเป็นการแจ้งเตือนที่ผิดพลาด (False Positives) การตรวจสอบแพ็กเก็ตอย่างลึกซึ้ง (Deep Packet Inspection) ช่วยเพิ่มความฉลาดให้กับการแจ้งเตือนเหล่านี้ โดยแยกแยะระหว่างทราฟฟิกเครือข่ายที่แท้จริงกับเนื้อหาที่เป็นอันตราย ทำให้ทีมงานด้านความมั่นคงปลอดภัยไม่ต้องสูญเสียเวลาไปกับเหตุการณ์ที่ก่อให้เกิดภัยคุกคามต่อผู้ใช้บริการหรือโครงสร้างพื้นฐานของเครือข่ายน้อยมาก หรือไม่มีเลย เช่น การแจ้งเตือนบนเครือข่ายของผู้ให้บริการเกี่ยวกับทราฟฟิกที่กำลังมุ่งหน้าไปยังเว็บไซต์ที่แจกจ่ายมัลแวร์ มีความสำคัญมากกว่าการแจ้งเตือนแบบเดียวกันที่เกิดขึ้นจากเครื่องสแกนหาช่องโหว่โดยอัตโนมัติ ซึ่งใช้ในการทดสอบที่ได้รับอนุมัติแล้ว ระบบตอบสนองอัตโนมัติช่วยให้ผู้ให้บริการสามารถกำหนดนโยบายเพื่อทำการบล็อกทราฟฟิกที่เป็นอันตรายซึ่งตรวจพบได้ทันทีโดยอัตโนมัติ โดยไม่จำเป็นต้องมีการเข้ามาดำเนินการของมนุษย์แต่อย่างใด การรวมการแจ้งเตือน (Alert Consolidation) ช่วยให้เหตุการณ์หลายรายการที่เกี่ยวข้องกับภัยคุกคามพื้นฐานเดียวกันสามารถถูกจัดกลุ่มเข้าด้วยกันเป็นการแจ้งเตือนด้านความมั่นคงปลอดภัยเพียงหนึ่งรายการ ทำให้ทีมงานด้านความมั่นคงปลอดภัยของผู้ให้บริการสามารถทำงานได้อย่างมีประสิทธิภาพและมีผลผลิตมากยิ่งขึ้น

ลดความเสี่ยงด้านความมั่นคงปลอดภัยในการดำเนินงานประจำวัน

เครือข่ายโทรคมนาคมเป็นสิ่งแวดล้อมที่ซับซ้อน ซึ่งกิจกรรมต่างๆ ที่ดำเนินการโดยมนุษย์ เช่น การเปลี่ยนแปลงการกำหนดค่า การอัปเดตซอฟต์แวร์ และการให้บริการสนับสนุนจากผู้ให้บริการภายนอก ล้วนก่อให้เกิดความเสี่ยงในการดำเนินงาน การตรวจสอบแพ็กเก็ตอย่างลึกซึ้ง (Deep packet inspection) ช่วยจัดการความเสี่ยงเหล่านี้ได้ การเปลี่ยนแปลงการกำหนดค่าเครือข่ายจะมีความเสี่ยงลดลงเมื่อวิศวกรเครือข่ายมั่นใจว่า ผลกระทบด้านความมั่นคงปลอดภัยได้รับการวิเคราะห์และจัดการอย่างเหมาะสม กิจกรรมและการเข้าถึงระบบของผู้ให้บริการภายนอกสามารถติดตามตรวจสอบได้เพื่อให้มั่นใจว่าไม่มีการเปลี่ยนแปลงที่ไม่ได้รับอนุญาต และไม่มีการนำข้อมูลส่วนบุคคลออกนอกเครือข่ายของผู้ให้บริการ การปรับใช้บริการใหม่ก็ยังก่อให้เกิดความเสี่ยงเช่นกัน เนื่องจากอาจยากที่จะคาดการณ์ผลกระทบที่เกิดขึ้นและจุดอ่อนด้านความมั่นคงปลอดภัยที่อาจเกิดขึ้นจากบริการใหม่ จึงจำเป็นต้องมั่นใจว่าบริการใหม่นี้จะไม่สร้างช่องทางโจมตีใหม่ใดๆ ขึ้นมา การตอบสนองต่อเหตุการณ์ฉุกเฉินจะทำได้ง่ายขึ้นอย่างมาก เมื่อผู้ให้บริการสามารถใช้ข้อมูลจากบันทึกการวิเคราะห์ย้อนหลัง (forensic records) ของเทคโนโลยี DPI เพื่อทำความเข้าใจอย่างรวดเร็วว่าเหตุการณ์ที่ผ่านมาเกิดขึ้นอย่างไร จึงสามารถแก้ไขปัญหาได้อย่างถูกต้องภายในระยะเวลาที่สั้นลงอย่างมาก

ค่า DPI ที่ใช้งานได้จริงสำหรับความมั่นคงปลอดภัยของผู้ปฏิบัติงาน

ประโยชน์ที่ผู้ปฏิบัติงานได้รับจากการใช้ DPI ด้านความมั่นคงปลอดภัยของเครือข่ายสามารถสรุปได้ตามกรณีการใช้งานหลักต่อไปนี้

การต่อต้านการฉ้อโกงใช้การตรวจสอบแพ็กเก็ตอย่างลึกซึ้ง (DPI) เพื่อตรวจจับการฉ้อโกงแบบ SIM Box โดยการวิเคราะห์ข้อมูลต่าง ๆ ร่วมกัน เช่น บันทึกข้อมูลการโทร (call data records), ข้อมูลตำแหน่งที่ตั้ง และรูปแบบสัญญาณ (signaling patterns) เพื่อระบุการโทรระหว่างประเทศที่สิ้นสุดลงในเครือข่ายแต่แกล้งทำเป็นการโทรภายในประเทศ ทั้งนี้เพื่อหยุดยั้งการสูญเสียรายได้โดยตรง

การต่อต้านการฟิชชิงใช้ DPI เพื่อปิดกั้นเว็บไซต์ฟิชชิงที่เป็นอันตรายซึ่งทราบแล้วทันที จึงช่วยลดจำนวนข้อมูลประจำตัวของผู้ใช้บริการที่ถูกขโมย และลดจำนวนสายเรียกเข้าไปยังศูนย์บริการของผู้ให้บริการที่ร้องเรียนเกี่ยวกับกิจกรรมฉ้อโกง

การต่อต้านมัลแวร์ใช้ DPI เพื่อตรวจจับการสื่อสารของมัลแวร์กับเซิร์ฟเวอร์ควบคุมและสั่งการ (C&C sites) แบบเรียลไทม์ จึงช่วยลดจำนวนอุปกรณ์ที่ติดมัลแวร์บนเครือข่ายของตน

การป้องกันการสูญเสียข้อมูลจะระบุข้อมูลที่มีความละเอียดอ่อนซึ่งไม่ได้เข้ารหัสและกำลังถูกส่งผ่านเครือข่าย ซึ่งผู้ให้บริการต้องปฏิบัติตามข้อกำหนดด้านกฎระเบียบเพื่อคุ้มครองข้อมูลดังกล่าว และจะบังคับใช้หรือสนับสนุนการบังคับใช้นโยบายด้านความมั่นคงปลอดภัยที่เกี่ยวข้องกับความลับของข้อมูลที่มีความละเอียดอ่อน

โซลูชันการตรวจสอบแพ็กเก็ตอย่างลึกซึ้งที่เชื่อถือได้สำหรับการปกป้องข้อมูล

ซิโน-เทเลคอมนำเสนอโซลูชันการตรวจสอบแพ็กเก็ตอย่างลึกซึ้งแบบครบวงจร เพื่อตอบโจทย์ความท้าทายด้านความมั่นคงปลอดภัยของผู้ให้บริการ โซลูชันการตรวจสอบแพ็กเก็ตอย่างลึกซึ้งของซิโน-เทเลคอม ประมวลผลปริมาณข้อมูลเครือข่ายแบบเรียลไทม์ออนไลน์ด้วยอัตราความเร็วตั้งแต่ 1 Gbps ถึง 100 Gbps โดยให้ฐานข้อมูลภัยคุกคามที่ครอบคลุม ซึ่งประกอบด้วยลายเซ็นสำหรับแอปพลิเคชันนับพันรายการและภัยคุกคามใหม่ที่รู้จักกันดี โซลูชัน DPI ของ Sino-Telecom สามารถประมวลผลปริมาณข้อมูลเครือข่ายในระดับขนาดใหญ่ได้ ส่งมอบประสิทธิภาพสูงสุดถึง 120 Gbps ต่ออุปกรณ์ขนาด 1U สำหรับเครือข่ายมือถือ 5G และสามารถปรับขยายได้สูงสุดถึง 1200 Gbps พร้อมการรองรับพอร์ต 400GE แบบเนทีฟสำหรับบรอดแบนด์แบบคงที่ ขับเคลื่อนด้วยเอนจิน UCPP ที่มีประสิทธิภาพสูงยิ่ง โซลูชันของเราสามารถจัดเก็บรายการห้ามใช้งาน (blacklist) ได้มากถึง 4 ล้านรายการ และมีกลไกการบล็อกที่ครอบคลุม รวมถึงการยกเลิกการเชื่อมต่อ TCP การทิ้งแพ็กเก็ต UDP และการเปลี่ยนเส้นทาง HTTP โดยสามารถระบุหมวดย่อยของแอปพลิเคชันได้มากกว่า 3,500 ประเภท และเชื่อมโยงข้อมูลการรับส่งข้อมูลจากเครือข่าย 5G/Internet of Things (IoT) Sino-Telecom ให้ข้อมูลเชิงลึกด้านภัยคุกคามระดับผู้ให้บริการ (carrier-grade threat intelligence) ที่ผู้ปฏิบัติงานต้องการ