Управление безопасностью и политикой в мире IoT и сетевой виртуализации

Сегодняшний мир сетевого взаимодействия формируется двумя наиболее перспективными явлениями — это Интернет вещей (IoT) и виртуализация сетей в форме программно-настраиваемых сетей и виртуализации сетевых функций (SDN/NVF).

Широко распространено мнение, что на этапе зрелости IoT будет представлять собой крупномасштабную систему непрерывной генерации, сбора, межсетевого взаимодействия, анализа, управления, использования и эксплуатации беспрецедентных объемов данных различных типов. Источниками данных IoT могут стать сенсоры, датчики, мониторы, машины, платформы, системы, приложения, люди и даже животные.

Оценки масштабов IoT значительно различаются. Недавно компания Gartner прогнозировала, что в 2015 году будет использоваться 4,9 млрд подключенных вещей, а к 2020 году их число возрастет до 25 млрд, причем применение будет охватывать все области, от потребления до автомобилестроения. Эта аналитическая компания подсчитала также, что IoT будет оказывать услуги на сумму 69,5 млрд долл. США в 2015 году и на 263 млрд долл. США к 2020 году. Однако в отчете 2014 года компания International Data Corporation (IDC), рассматривая компоненты, процессы и ИТ-поддержку для IoT, предсказала, что доходы от технологий и услуг могут вырасти с 4,8 трлн долл. США в 2012 году до 7,3 трлн долл. США к 2017 году при среднегодовом темпе роста 8,8 процента. IDC говорит, что наибольшие возможности изначально возникнут в сфере потребления, отдельных областях производства и государственных вертикально интегрированных отраслях.

После слегка замедленного старта рынок SDN и NFV теперь быстро ускоряется. Согласно недавнему прогнозу компании IHS Infonetics, к 2018 году рынок оборудования и программного обеспечения связи SDN/NFV будет оцениваться в 11 млрд долл. США, тогда как другой аналитик той же компании оценивает стоимость отрасли SDN-контроллеров и SDN-совместимых Ethernet-коммутаторов для корпораций и центров обработки данных в 18 млрд. долл. США в том же году. Между тем в отчете «2015 Market Sizing Report» (Отчет о размерах рынка в 2015 году) организация SDxCentral предполагает, что к 2020 году суммарный доход от SDN, NFV и других сетевых инициатив следующего поколения (которые организация совместно называет «сети SDx») превысит 105 млрд долл. США в год.

Успешная реализация крупномасштабного IoT и развитие рынка больших виртуализированных сетей приводят к результатам, которые в некоторой степени взаимосвязаны. В частности, предусматриваемые объемы данных IoT (предполагаются десятки и даже сотни зеттабайт) требуют совершенного другого подхода к сетевому взаимодействию. Со своей стороны, сетевая виртуализация обещает снижение капитальных и эксплуатационных расходов, ускорение вывода на рынок новых услуг и беспрецедентную гибкость и маневренность при планировании, формировании конфигурации, настройке и управлении сетями и услугами.

Управление безопасностью и политикой — это не простая задача для IoT и виртуализированных сетей, которые могли бы эффективно, гибко и экономично обрабатывать трафик IoT.

В целом, чем больше общества зависят от непрерывного и законного функционирования ИТ-систем, сетей передачи данных и Интернета, тем более серьезными становятся последствия успешных кибератак, будь то беспокоящие, вредоносные, уголовно наказуемые или организованные государством действия.

Наступление IoT может изменить ландшафт сетевых угроз и внести в него дополнительные проблемы безопасности. Анализ «Internet of Things Top 10 – 2014» (Интернет вещей. Десять основных вопросов, 2014 г.), подготовленный фондом Open Web Application Security Project (OWASP), содержит список следующих потенциальных уязвимостей:

• Незащищенный веб-интерфейс
• Неудовлетворительная аутентификация / авторизация
• Незащищенные сетевые услуги
• Отсутствие транзитного шифрования на транспортном уровне
• Вопросы конфиденциальности
• Незащищенный облачный интерфейс
• Незащищенный мобильный интерфейс
• Неудовлетворительные возможности настройки защиты
• Незащищенное программное/аппаратное обеспечение
• Плохая физическая защита.

Согласно другому анализу IHS Infonetics, глобальный рынок IoT и промышленных систем управления только для распределенных межсетевых экранов к 2018 году может составить около 700 млн долл. США.

Кроме того, виртуализированные сети поднимают дополнительные вопросы безопасности. А именно, отделение уровня управления от уровня передачи в SDN, а также ключевая роль, впоследствии назначенная контроллеру SDN в схеме виртуализации вещей, превращает этот компонент в естественную цель для кибератак.

На практике виртуализация может стать помощником в области управления политиками и повышения безопасности. Оба этих направления поддерживают идею повышения оперативной маневренности предприятий, организаций и поставщиков экосистем IoT.

Традиционные сети предприятия являются сложными, и после развертывания их трудно модифицировать с учетом меняющихся обстоятельств. Изменение сетей вызывает неустойчивость и повышает уязвимость системы безопасности. Уровень традиционных услуг представляет собой препятствие для более высокой маневренности, поскольку все базовые услуги доставляются из одного ядра сети и весь трафик протекает через все устройства. Увеличение масштаба услуг требует увеличения масштаба отдельных устройств, и очень трудно применить надлежащие политики к соответствующим потокам, которые пересекают сеть.

В дополнение к этому, миграция гостевых виртуальных машин и мобильность устройств создают новые проблемы на пути реализации политики, растет вероятность потери и разрушения политики межсетевого экрана в результате каждого перемещения, выполненного отделом ИТ.

Университетские сети еще более усложняют картину, так как сети отдельных подразделений требуют отдельных административных доменов.

В отличие от традиционной модели сетевого взаимодействия, виртуализация сети на базе потоков улучшает соблюдение политики, позволяя применять политику именно там, где она требуется. Управление трафиком можно использовать для перенаправления трафика на соответствующие устройства или виртуальные машины в инфраструктуре, а число устройств, требующих управления, можно сократить, так как управление перестает зависеть от местоположения.

С точки зрения безопасности теперь можно применять правильную защиту к правильному потоку, так как SDN способны к согласованию как в виртуальных, так и в физических коммутаторах. Можно идентифицировать потоки, требующие более глубокой проверки, выделять услуги на совместно используемой инфраструктуре и достигать более хорошей видимости сетевого трафика.

В таком общем контексте важным событием стала инициатива Linux OpenDaylight Virtual Tenant Network (VTN). Это набор технологических компонентов, которые формируют многоабонентную виртуальную сеть через контроллер OpenDaylight. Традиционно физические сети настраиваются поставщиком услуг индивидуально для каждого подразделения в рамках организации (или для каждого заказчика). Как отмечено в проекте OpenDaylight, это приводит к огромным ненужным инвестициям в аппаратное обеспечение и эксплуатационным расходам вследствие недогруженности и избыточности сетевого оборудования, необходимого для реализации этой схемы.

Сети VTN могут предоставлять виртуальные сети для абонентов, подразделений или рабочих мест. Эти сети, используемые для предоставления логически выделенной сети каждому абоненту, создаются с использованием таких логических компонентов, как виртуальные мосты и маршрутизаторы. С точки зрения сетевого оператора эти сети можно реализовывать в конкретной топологии для конкретного пользователя и обеспечивать требуемую политику без использования базового подключения к физической топологии. Результатом является значительно более простая сеть для оператора и абонентов, позволяющая реализовать современную политику и скрывать сопутствующую сложность.

Технология VTN позволяет создавать виртуальные сети, отображаемые на физические устройства в инфраструктуре, таким образом, чтобы виртуальные сети поддерживали различные политики независимо друг от друга, несмотря на то что они совместно используют общую инфраструктуру.

Это означает, что с помощью ядра SDN сетевую политику можно унифицировать по всем зданиям или помещениям всего предприятия. Больше нет необходимости строить сети уровня 2 или уровня 3 для связывания этих мест и предоставления услуг. Теперь этими услугами можно управлять, как единой услугой, без границ между местами и без индивидуальной настройки.

Подводя итоги, сети VTN можно характеризовать следующим образом:

• Прозрачная связь между зданиями и местами через сетевую виртуализацию
• Гибкое включение услуг
• Гибкая масштабируемость: возможность добавления устройств по мере необходимости без изменения политики
• Значительное упрощение администрирования политики благодаря отсутствию связей WAN между местами.

Что касается безопасности VTN, защиту каждого абонента можно обеспечивать с помощью SDN. Все начинается с подготовки сети каждого абонента с использованием протокола Flow для сбора и мониторинга статистики трафика. Затем можно построить предельные уровни безопасного трафика и сравнивать трафик в реальном времени с сохраненными уровнями. Сегодня трудно достичь такой степени видимости в традиционных сетях, если это вообще возможно.

Повторим, что для каждой группы абонентов в сети имеется возможность изолирования и вмешательства. Сравнивая трафик в реальном времени с базовым уровнем, можно выявлять отклонения и динамически перенаправлять подозрительный трафик на дополнительную проверку или даже временно изолировать его до устранения проблем. Тем временем проверенный чистый трафик направляется на соответствующие целевые узлы. Это позволяет применять динамическое управление политикой, которое можно настраивать в реальном времени в соответствии с происходящими событиями.

Мониторинг и отчетность для каждой группы абонентов является другим плюсом, поскольку осведомленность каждого члена группы абонентов о ситуации позволяет правильно реагировать на изменение среды. Резервное сохранение результатов мониторинга и отчетов в реальном времени позволяет обращаться к историческим отчетам о нарушении политики, кибератаках и т. д.

Хотя виртуализация сетей создает преимущества для сетевой политики и управления безопасностью, очевидно, что виртуализированные сети не застрахованы от кибератак. Обратная сторона улучшенной политики и безопасности SDN — забота о защите самих виртуализированных сетей и услуг.

Поэтому неотъемлемой частью повседневной работы ИТ-администратора становится борьба с продвинутыми постоянными угрозами (APT). Жизненно важным требованием современности является способность обнаруживать и изолировать потенциально зараженные компьютеры в виртуализированных системах и сетях и тем самым предотвращать дальнейшее распространение угрозы.

Бреши в системе защиты могут быть внешними и внутренними по своей природе. В то время как межсетевые экраны могут предотвратить внешние атаки и защитить от них, взломанный компьютер внутри сегмента, ограниченного межсетевым экраном, может распространять вирусы, вредоносное ПО и другие нежелательные данные и содержимое по всей сети. В идеале требуется возможность такой интеграции межсетевого экрана с контроллером SDN, чтобы можно было выявлять и изолировать подозрительные компьютеры внутри сегмента, ограниченного межсетевым экраном, и блокировать внутреннее распространение зараженного трафика.

Компания NEC разработала решение, предоставляющее такую возможность. Это решение, дублирующее систему безопасности на основе автоматического распознавания кибератак, интегрирует межсетевой экран Palo Alto с технологией NEC ProgrammableFlow и такими компонентами, как адаптер связи SDN. Это решение позволяет визуализировать зараженный трафик и, на основе параметров управления политикой, развернутой в системе SDN, перенаправлять этот трафик в безопасное русло. В отличие от обычных трудоемких и многоэтапных ручных подходов к защите и реагированию на кибератаки такого типа, система безопасности на основе автоматического распознавания кибератак в соответствии со своим названием обнаруживает, изолирует, устраняет заражение и выполняет восстановление.

Система обеспечивает всестороннюю, автоматическую и быструю защиту.

Защита от внешних угроз обеспечивается на межсетевом экране на границе сети, внутри самой локальной сети также поддерживается зона защиты.

Во время эксплуатации межсетевой экран обнаруживает активность зараженного компьютера в локальной сети и отправляет сигнал на адаптер связи SDN. На основе информации сигнала правила политики определяют соответствующие типы защитных мер в отношении конкретного заражения. Затем на программируемый контроллер ProgrammableFlow отправляется команда на выполнение соответствующих действий. Для этого используется односторонний интерфейс API на базе REST (REpresentational State Transfer). Например, это может быть команда изолировать взломанный компьютер от остальной локальной сети. Как только заражение обнаружено, трафик с зараженного компьютера прерывается в точке входа на коммутатор ProgrammableFlow. Кроме того, администратору сети отправляется электронное письмо с подробным описанием событий, уведомляющее том, что необходимо выполнить восстановительные работы. Эти работы могут быть выполнены в форме очистки ПО от компьютерных вирусов, восстановления данных, изолирования сегмента, изменения маршрута или восстановления сети.

Хотя большинство сообщений, вероятно, вызваны внешними угрозами безопасности, возникшими за пределами сегмента, ограниченного межсетевым экраном, наиболее разрушительными для компании или организации могут быть внутренние угрозы от зараженных компьютеров. Автоматическое обнаружение и устранение внутренних угроз является значительным шагом вперед в текущей борьбе с кибератаками.