Безопасность IP-сетей нового поколения для провайдеров услуг

Технический обзор Безопасность IP-сетей нового поколения для провайдеров услуг В архитектуре IP-сетей нового поколения (NGN) Cisco ® функции безопасности могут быть интегрированы в инфраструктуру сети на всех уровнях. Вопросы информационной функциях защиты на всем пути передачи данных – от сетей провайдеров услуг до устройств безопасности учтены в технологиях, политиках, средствах мониторинга и дополнительных конечных пользователей.

Эволюционно развивающиеся решения в области обеспечения безопасности, предлагаемые компанией Cisco, позволяют провайдерам услуг расширить существующие коммерческие предложения, внедрить новые услуги для получения дополнительных доходов, а также обеспечить клиентам ту степень защиты и уверенности, которая необходимы при работе в сетевой среде, в которой присутствуют разноплановые и смешанные угрозы безопасности, комбинируются и совместно используются различные методы проведения атак. Средства обеспечения безопасности интегрированы в фундамент архитектуры Cisco IP NGN и предназначены для нейтрализации широкого спектра сетевых угроз, которые существуют уже сегодня или обрушатся на сети завтра.

В этом документе рассмотрен ряд наиболее распространенных угроз, способных препятствовать стабильному предоставлению сервисов и непрерывному осуществлению деловой активности, а также описана роль средств обеспечения безопасности Cisco IP NGN в защите от этих угроз. Архитектура безопасности Cisco IP NGN включает модель процесса функционирования сети для решения задач комплексной экспертизы безопасности, разработки и внедрения средств обеспечения безопасности. Эта модель также помогает оценить экономическую и функциональную эффективность сервисов безопасности.

Кроме того, такую модель можно использовать для стимулирования внедрения аутсорсинговых услуг безопасности с использованием технологий, внедряющих средства обеспечения безопасности в инфраструктуру сети и решения системного уровня для реализации интегрированной объединенной и адаптивной системы обеспечения безопасности. Введение Основная проблема, с которой сталкиваются сегодня провайдеры услуг, - это поддержание предсказуемости предоставления сервисов в условиях лавинного трафика злоумышленников, источниками которого служат различные оконечные точки, разбросанные по различным границам сети.

В современной терминологии этот тип поведения ассоциируется, в частности, с такими угрозами, как распределенные атаки типа «отказ в обслуживании» (DDoS), современные Интернет-черви, почтовый спам, фишинг и вирусы. То количество трафика, которое генерируется вследствие инфицирования, и последующие всплески трафика могут нарушить нормальную работу сети и создают дополнительный риск для сетевых устройств, которые ответственны за выполнение базовых функций маршрутизации и коммутации пакетов. © Cisco Systems, Inc, 1992–2006 г.г. С сохранением всех прав. Данный документ является информацией, распространяемой компанией Cisco. Стр. 1 из 13

Стр. 1

Технический обзор В настоящее время безопасность становится критической характеристикой всех сервисов и играет исключительно важную роль в прибыльности работы провайдеров услуг. Сегодня для поддержания более высокого уровня сетевой безопасности провайдерам услуг необходимо перейти от традиционного реактивного подхода к поэтапному проактивному подходу, уменьшая количество существующих уязвимостей, улучшая показатели времени реакции и эффективно подавляя атаки.

Вместе с тем существует определенный кадровый дефицит квалифицированных специалистов в сфере информационной безопасности и дефицит систем обеспечения безопасности, использующих механизмы корреляции, для формирования комплексного представления состояния сети в целом. Время совершенствовать операции по обеспечению безопасности уже настало. Наиболее передовые средства и решения по обеспечению безопасности будут переживать обеспечение безопасности сетей – сложная и многогранная задача. Для решения этой эволюционное развитие по мере перестройки IP-сетей провайдеров.

Эффективное задачи в рамках архитектуры IP NGN компания Cisco Systems ® разработала формализованное описание и подходы, заложенные в методологию, стандарты, технологии, продукты и технические решения. Задача легкодоступные и все более совершенные инструменты атак, а мотивы проведения атак Объемы трафика злоумышленников постоянно растут, поскольку существуют становятся все более разнообразными. Мы стали свидетелями перестройки в криминальной экономике – в сообществе, которое совершает преступления в сфере информационной безопасности ради получения финансовой выгоды.

Эта перестройка и ее финансовые отголоски требуют от провайдеров услуг четко определенных и экономически эффективных предложений по защите сетей и сервисов. Провайдерам услуг необходимо воздействовать на основные сервисы, существующие на рынке, смещая их в направлении услуг с учетом требований безопасности, а также предоставлять клиентам новые, более эффективные гарантии сервисов с учетом их стоимости. На заре киберпреступности квалифицированные системные администраторы нередко разрабатывали и выпускали инструменты выявления и проверки существования уязвимостей.

Этими инструментами пользовались и сами администраторы, стремившиеся устранить конкретные уязвимости, и злоумышленники, которые приспосабливали эти инструменты для проведения своих атак. Но, как правило, эти инструменты рассматривались как положительный вклад в обеспечение безопасности. Однако позднее многие злоумышленники стали пользоваться таким инструментами для автоматизации усовершенствовались, в них появились интеллектуальные алгоритмы, служащие для проведения стандартных атак. За последние несколько лет эти методы создания действительно комплексных смешанных угроз, которые распространяются автоматизированным путем с высокой степенью резервирования. Эта эволюция показана на рисунке 1.

Сегодня задача злоумышленника становится проще, а задача специалиста по защите сетей, напротив, усложняется. © Cisco Systems, Inc, 1992–2006 г.г. С сохранением всех прав. Данный документ является информацией, распространяемой компанией Cisco. Стр. 2 из 13

Стр. 2

Технический обзор Рисунок 1.

Сетевые атаки становятся все более изощренными и легко организуемыми Уровень сложности ПО злоумышленника Высокий Программы-роботы и службы, использующие TCP-порт 80 Смешанные угрозы Средства скрытой диагностики Формирование пакетов/ подмена адреса отправителя Импульсы атак «зомби» Средства сетевого сканирования Пакетные анализаторы Комплексы Root Kit «Люки» Кража сеансов Комплексы Root Kit Эксплуатация известных уязвимостей Отключение аудита Подбор паролей Самовоспроиз- водящийся код Угадывание паролей Уровень технической грамотности Низкий Если раньше атаки в первую очередь проводили злоумышленники, которые хотели временно вывести из строя хорошо известные сайты, чтобы привлечь внимание СМИ, на сегодняшний день атаки все больше используются как фундамент для реализации сложных схем шантажа или приобретают политическую или экономическую подоплеку.

Ежегодно это приносит предприятиям и провайдерам услуг многомиллионные убытки. Эволюция систем обеспечения безопасности провайдеров услуг Сегодня клиенты хотят, чтобы провайдеры внедряли средства обеспечения безопасности, позволяющие эффективно бороться со злоумышленным трафиком и Интернет-червями. режиме.

Решения, для реализации которых требуется развернуть большое количество Клиенты нуждаются в полномасштабной защите, функционирующей в автоматическом выделенного оборудования, устанавливаемого на площадях клиента (CPE), и существенно увеличивающихся затрат на обслуживание, росту использования средств шифрования для переработать топологии сетей, нереализуемы на практике из-за высокой стоимости, маскировки атак, дополнительной сложности системы и растущих рисков, а также проблем функционирование оконечных устройств, но на сегодняшний день провайдеры услуг не масштабируемости.

Клиенты хотят, чтобы провайдеры несли ответственность за обладают адекватными инструментами для наглядного представления состояния оконечных устройств и управления ими. Кроме того, провайдеры услуг не располагают надлежащей обеспечения для оконечных устройств. инфраструктурой для распространения, сопровождения и отладки программного Сегодня безопасность уже не ограничивается установкой отдельного устройства или предоставлением отдельной услуги. Безопасность – это краеугольный камень сетей будущего.

Мы перешли от концепции сети Интернет, построенной на подразумеваемом доверии, к концепции сети Интернет, основанной на всеобщем недоверии, в рамках которой политики безопасности носят обязательный характер, и ни один пакет, сервис и устройство не могут считаться надежными, до тех пор пока они не пройдут проверку. Поэтому обеспечение безопасности перестает быть специализированным направлением работы или выделенной функцией. Средства защиты должны распределиться по всей рабочей среде провайдера и процессам ее эксплуатации, и их необходимо воспринимать как критически © Cisco Systems, Inc, 1992–2006 г.г. С сохранением всех прав.

Данный документ является информацией, распространяемой компанией Cisco. Стр. 3 из 13

Стр. 3

Технический обзор важные элементы, за счет которых поддерживаются: ● доступность и надежность сервисов, ● непрерывность деловой активности, ● соблюдение условий договоров об уровне обслуживания (SLA), ● доверие и лояльность клиентов. Для интеграции средств обеспечения безопасности требуется фундаментальная модель процессов функционирования и надежная инфраструктура, составляющая фундамент обеспечения непрерывной деловой активности и предоставления сервисов. Требуется, чтобы все элементы сетевой структуры обладали информацией о значимых аспектах функционирования сети в целом. Требуется, чтобы сама сетевая структура стала безопасности.

Это подразумевает тесное сотрудничество, как по вопросам ведения деловой повсеместно распространенной проактивной средой мониторинга и реализации политики активности, так и вопросам используемых технологий, между провайдерами услугами и их клиентами-предприятиями и создает возможности для внедрения сервисов обеспечения безопасности, управляемых провайдерами услуг. Решение Архитектуры комплексного обеспечения безопасности Специалисты компании Cisco рассматривают безопасность как основной опорный элемент архитектуры IP NGN и одно из наиболее важных требований для надежного предоставления сервисов и обеспечения непрерывности деловой активности.

Комплексная методология обеспечения безопасности Cisco служит эффективным руководством по разработке архитектуры системы обеспечения безопасности, помогая создать план определения характеристик, сопровождения и внедрения процессов обеспечения безопасности во всей сети. Созданную таким образом архитектуру можно затем применить в рамках программы действия провайдера услуг по обеспечению безопасности путем использования политик, процедур и технологий. Компания Cisco выработала соответствующие сегодняшним реалиям определения угроз в IP-сетях и предлагает проверенную на практике модель для создания услуг провайдеров, приносящих прибыль.

По определению компании Cisco на сегодняшний день существуют следующие типы угроз: ● Информационная разведка. Злоумышленники сканируют сеть для обнаружения уязвимых устройств (например, это могут быть открытые порты, отсутствие парольной защиты, уязвимости ОС) и атакуют обнаруженные жертвы. ● Распределенные атаки типа «отказ в обслуживании» (DDoS) и атаки на инфраструктуру. Это атаки с использованием большого количества IP-пакетов, передаваемых в сеть. Целями атаки являются снижение быстродействия и ● Взлом и захват сетевых устройств. Как правило, такие действия следуют за этапом надежности работы сети.

информационной разведки и представляют собой несанкционированный доступ к тому или иному устройству с намерением нарушить его безопасность. ● Кража сервисов и мошенничество. Угрозы данного типа заключаются в несанкционированном использовании сетевых ресурсов. После идентификации угрозы необходимо приступать к ее нейтрализации. Для эффективной борьбы с угрозами необходимо понимание трех базовых принципов, а именно: © Cisco Systems, Inc, 1992–2006 г.г. С сохранением всех прав. Данный документ является информацией, распространяемой компанией Cisco. Стр. 4 из 13

Стр. 4