क्लाउड से सूचना सुरक्षा: एकीकृत साइबर सुरक्षा सेवाएँ प्लेटफार्म कैसे काम करता है

पिछले साल के अंत में, रोस्टेलकॉम के साथ एक समझौते के बाद, हमने ग्राहकों को आईबी सेवाएं प्रदान करने के लिए क्लाउड-आधारित एसडी-वान / एसडीएन प्लेटफॉर्म पर अपने निपटान में प्राप्त किया। हम प्रोजेक्ट विक्रेताओं को एक वर्चुअलाइज्ड रूप में उनके समाधान प्रदान करने से जुड़े थे, और हमें एक विशाल कॉलोसस मिला, जिसे हमने यूनिफाइड साइबर स्पेस सर्विसेज प्लेटफॉर्म या ईपीएससी कहा। इसकी प्रमुख विशेषता केंद्रीयकृत प्रबंधन की संभावना के साथ क्लाउड से सुरक्षा प्रौद्योगिकियों का वितरण है: सभी सेवा कार्यालयों में एकल नेटवर्क फ़ंक्शन या वैश्विक परिवर्तन को तैनात करना और बदलना बस कुछ ही मिनट लगते हैं। आज हम आपको इसकी वास्तुकला और "भराई" के बारे में अधिक बताएंगे।

लेकिन इससे पहले कि आप हुड के नीचे जाएं, कुछ शब्द जो ईपीएससी वास्तव में जानता है। प्लेटफ़ॉर्म में सेवाएं शामिल हैं: ईमेल सुरक्षा (सिक्योर ईमेल गेटवे, सेगमेंट) और वेब एप्लिकेशन (वेब ​​एप्लिकेशन फ़ायरवॉल, डब्ल्यूएएफ), नेटवर्क घुसपैठ रोकथाम (यूनिफाइड थ्रेट मैनेजमेंट, यूटीएम) और एंटी-डीडीओ। उन सभी को एक साथ और अलग-अलग उपयोग किया जा सकता है - यहां प्रत्येक को उसकी आवश्यकताओं के अनुसार।

कृपया मुझे यातायात के साथ लपेटें। काम के सिद्धांत

सामान्य तौर पर: ग्राहक परिसर उपकरण (CPE) रूटिंग उपकरण सभी ग्राहक साइटों पर स्थापित किए जाते हैं। CPE हमारे डेटा केंद्रों को - EPSC प्लेटफॉर्म को एक सुरक्षित सुरंग प्रदान करता है। इस प्रकार, केवल हमारे परिधि सुरक्षा उपकरणों पर साफ किया गया ट्रैफ़िक ग्राहक को मिलता है। उसी समय, एसडी-वान और सुरंग के लिए धन्यवाद, हमारे प्लेटफॉर्म पर ट्रैफ़िक पहुंचाने की प्रक्रिया उस प्रदाता के नेटवर्क पर निर्भर नहीं करती है कि ग्राहक किस प्रदाता का उपयोग करता है।

मंच वास्तुकला

ईपीएससी का भौतिक बुनियादी ढांचा साधारण x86- सर्वर हैं, जिन पर वर्चुअल मशीन तैनात हैं, स्विच और राउटर। मुद्दा यह है कि आप इस धन को लचीले ढंग से और केंद्र रूप से प्रबंधित कर सकते हैं। और यहां दो मैजिक शब्द हमारी सहायता के लिए आते हैं - वीएनएफ और मानो।

VNF (वर्चुअलाइज्ड नेटवर्क फंक्शन) नेटवर्क फ़ंक्शंस हैं जो एंड यूज़र (UTM, SEG और WAF) को दिए जाते हैं। MANO (प्रबंधन और आर्केस्ट्रा) - वर्चुअलाइज्ड कार्यों के जीवन चक्र के प्रबंधन के लिए उपकरणों का एक सेट। ये उपकरण बस उस केंद्रीकरण और लचीले ऑर्केस्ट्रेशन को देते हैं, जो आपको मौलिक रूप से अलग गति से बदलाव करने की अनुमति देता है।

और अब और अधिक विस्तार से।

प्रत्येक डेटा सेंटर के किनारे पर एक नोकिया 7750 एसआर -12 राउटर है जिसमें 400 जीबी / एस के थ्रूपुट के साथ - यह परिधि पर और क्लाउड के अंदर मार्ग प्रदान करता है। निचले स्तर पर जुनिपर 5100 स्पाइन स्विचेस 40 Gb / s पोर्ट्स के साथ होते हैं, जो निचली परतों से सभी नेटवर्क घटकों को एकत्रित करते हैं।

एक वर्चुअल नेटवर्क में दो सेगमेंट शामिल होते हैं: SD-WAN, जो क्लाउड साइटों को ग्राहक साइटों से जोड़ता है, और SDN DC, क्लाउड के अंदर एक सॉफ्टवेयर-परिभाषित नेटवर्क है, जिसके माध्यम से पोर्ट, आईपी एड्रेसिंग आदि कॉन्फ़िगर किए जाते हैं। सेवा श्रृंखला बनाते समय।

सर्वर भाग में CloudBand क्लाउड प्लेटफ़ॉर्म प्रबंधन सर्वर, SDN प्रबंधन सर्वर, SD-WAN (VSD, VSC) और NSG-BR प्रबंधन सर्वर (वर्चुअल राउटर जो VXLAN ग्राहक सुरंगों पर IPsec को समाप्त करते हैं) या XXLAN होते हैं, जिसके आधार पर क्या IPsec एन्क्रिप्शन।

ग्राहक ट्रैफ़िक के लिए व्हाइट आईपी-एड्रेसिंग को 2 सबनेट्स के आधार पर / 22 मास्क (प्रत्येक सबनेट में 1018 पते) के साथ लागू किया जाता है: उनमें से एक को इंटरनेट पर भेजा जाता है, दूसरे को आरएसनेट पर।

दोष सहिष्णुता

सभी क्लाउड इन्फ्रास्ट्रक्चर मास्को में दो भौगोलिक रूप से दूरस्थ डेटा केंद्रों के आधार पर आरक्षित हैं, जो सक्रिय - स्टैंडबाय मोड में काम करते हैं। इसके अलावा, किसी भी सेवा श्रृंखला (एक विशेष ग्राहक के लिए कार्यों का एक समूह) उनमें से प्रत्येक में एक क्लस्टर के रूप में तैनात है। आपातकालीन स्थिति में, जब एक नोड से दूसरे में स्विच किया जाता है, तो केवल लगभग 10 पैकेट खो जाते हैं। चूंकि बेवकूफ लोग टीसीपी के साथ आए थे, इसलिए नुकसान ध्यान देने योग्य नहीं होगा।



भविष्य में, हम क्षेत्रों के लिए डेटा ट्रांसमिशन देरी को कम करने के लिए Urals से परे एक भौगोलिक विस्तार की योजना बनाते हैं। हालांकि, आज के लिए, खाबरोवस्क के लिए, देरी केवल लगभग 200 एमएस है - ग्राहक काफी सफलतापूर्वक स्टीम पर खेलते हैं और यूट्यूब से वीडियो देखते हैं (सेवा के बारे में वास्तविक समीक्षा से)।

निकट भविष्य में एक सीपीई को दो स्वतंत्र वैन से जोड़ना संभव होगा। चैनल MPLS, ईथरनेट (तांबा या प्रकाशिकी सीपीई के उपयोग के आधार पर), यूएसबी एलटीई मॉडेम, आदि हो सकता है। उदाहरण के लिए, मुख्य चैनल फाइबर-ऑप्टिक हो सकता है, और बैकअप चैनल वायरलेस हो सकता है (क्योंकि कोई भी भाग्य और क्षतिग्रस्त तारों के खुदाई से प्रतिरक्षा नहीं करता है)। वर्तमान में, दो WAN का उपयोग करना संभव है, लेकिन केवल एक HA क्लस्टर में दो CPE का उपयोग करते समय।

सेवा जंजीर

ग्राहक एलसी के माध्यम से बुनियादी मापदंडों का चयन करता है और सेवा श्रृंखला का गठन शुरू करता है: नेटवर्क इंटरफेस स्वचालित रूप से उठाए जाते हैं, आईपी पते असाइन किए जाते हैं और वीएनएफ छवियों को पंप किया जाता है, जो चयनित बैंडविड्थ पर निर्भर करता है। उदाहरण के लिए, यदि आपने 300 Mbit के लिए FortiGate Firewall का आदेश दिया है, तो आपको स्वचालित रूप से 4 कोर, 8 GB RAM, कुछ डिस्क स्थान और छवि को स्वचालित रूप से 0-दिन के कॉन्फ़िगरेशन में तैनात किया जाएगा।

हमारे प्लेटफ़ॉर्म का प्रदर्शन अब प्रत्येक 1 Gbit की 160 सेवा श्रृंखलाओं के लिए डिज़ाइन किया गया है, और इसे 50 Mbit प्रत्येक की 1000 सेवा श्रृंखलाओं को स्केल करने की योजना बनाई गई है (क्योंकि 1 Gbit श्रृंखलाएँ हमारे बाजार मूल्यांकन के आधार पर बहुत कम लोकप्रिय होंगी)।

CPE - बेहतर थिनर, हाँ और?

दरअसल, हमारी सेवा के लिए, हमने नोकिया NSG-C और NSG-E200 पर आधारित "पतले" CPE को चुना। वे केवल इसलिए सूक्ष्म हैं क्योंकि वे तृतीय-पक्ष VNF को नहीं चला सकते हैं, लेकिन अन्यथा उनके पास साइटों, टनलिंग (IPsec और VPN) के बीच संचार के निर्माण के लिए आवश्यक सभी कार्यक्षमताएं हैं, हालांकि, अन्य निर्माताओं के समाधान इस कार्य के लिए उपयोग किए जा सकते हैं। फ़िल्टरिंग के लिए एक्सेस कंट्रोल लिस्ट (ACL) भी हैं: कुछ ट्रैफ़िक स्थानीय रूप से जारी किए जा सकते हैं, और कुछ को EPSC डेटा सेंटर, जहाँ WAF, UTM और SEG वर्चुअल फ़ंक्शंस लागू किए जाते हैं, के लिए ठीक से सफाई के लिए भेजा जा सकता है।

इसके अलावा, डिवाइस एप्लिकेशन अवेयर रूटिंग (एएआर) कर सकता है, अर्थात। दीप पैकेट निरीक्षण (DPI) तंत्र का उपयोग करके यातायात के प्रकार के आधार पर बैंडविड्थ को प्राथमिकता दें। इसी समय, फिक्स्ड और मोबाइल नेटवर्क या विभिन्न ट्रैफ़िक के लिए उनके संयोजन दोनों का उपयोग संचार चैनलों के रूप में किया जा सकता है।

सीपीई सक्रियण शून्य स्पर्श प्रावधान के सिद्धांत पर आधारित है। यही है, सब कुछ प्राथमिक है: हम सीपीई को इंटरनेट से जोड़ते हैं, हम आंतरिक ईथरनेट इंटरफेस से एक लैपटॉप कनेक्ट करते हैं, सक्रियण लिंक पर क्लिक करते हैं, फिर लैपटॉप के बजाय हमारे लैन को चालू करते हैं और सब कुछ काम करता है। इसके अलावा, हमारे क्लाउड में, VXLAN के ऊपर IPsec सुरंग डिफ़ॉल्ट रूप से बढ़ जाती है (यानी, पता स्थान पहले अलग-थलग है, फिर सुरंगनुमा है)।

सामान्य तौर पर, एक पतली सीपीई के साथ विकल्प हमें अधिक सुविधाजनक लगता है। इस दृष्टिकोण के साथ, ग्राहक को संभावित विक्रेता-लॉक से बख्शा जाता है और सीपीई (50 एमबीपीएस) की मोटाई को समाप्त किए बिना किसी भी समय समाधान को स्केल कर सकता है।

एक मोटी सीपीई के मामले में, यह, अन्य बातों के अलावा, ग्राहक द्वारा चुने गए आभासी कार्यों को भी लागू करता है, और ईपीसीसी डेटा सेंटर में केवल सेवा श्रृंखला प्रबंधन है। इस दृष्टिकोण का लाभ यह है कि सभी ट्रैफ़िक को स्थानीय रूप से संसाधित किया जाता है। इसी समय, इस तरह के उपकरण की लागत बहुत अधिक है, और आप इस पर एक से अधिक विशिष्ट सेवा नहीं कर सकते हैं - आपको अतिरिक्त सीपीई खरीदने की आवश्यकता है। हां, और आप बहु-विक्रेता के बारे में भूल सकते हैं।

लेकिन अगर ग्राहक के पास एक बहुत बड़ा प्लेटफ़ॉर्म (कार्यालय, शाखा) है जो बहुत से ट्रैफ़िक (200 से अधिक Mbit / s) से होकर गुजरता है, और वह स्थानीय रूप से सब कुछ फ़िल्टर करना चाहता है, तो यह नोकिया CPE NSG E300 श्रृंखला (और उच्चतर) पर ध्यान देने का काम करता है 1 से 10 Gbps बैंडविड्थ जो वर्चुअलाइजेशन (VNF) का समर्थन करते हैं।

डिफ़ॉल्ट रूप से, SD-WAN ग्राहक की सभी साइटों को एक पूर्ण जाल नेटवर्क में लाता है, अर्थात यह अतिरिक्त फ़िल्टरिंग के बिना "प्रत्येक के साथ प्रत्येक" के सिद्धांत के अनुसार उन्हें एक साथ जोड़ता है। यह आंतरिक परिधि में देरी को कम करता है। हालांकि, अधिक जटिल टोपोलॉजी (स्टार, कॉम्प्लेक्स स्टार, मल्टी-रैंक ग्रिड, आदि) का निर्माण करना संभव है।

शोषण

क्लाउड में मौजूद सभी VNF वर्तमान में क्लासिक MSSP सिद्धांत में उपलब्ध हैं, अर्थात वे हमारे नियंत्रण में हैं। भविष्य में, ग्राहकों के पास इन सेवाओं को स्वतंत्र रूप से प्रबंधित करने का अवसर होगा, लेकिन समझदारी से अपनी दक्षताओं का मूल्यांकन करना महत्वपूर्ण है।
कुछ सरल कार्य अब आंशिक रूप से स्वचालित हैं। उदाहरण के लिए, सुरक्षित मेल गेटवे में, एक नीति डिफ़ॉल्ट रूप से कॉन्फ़िगर की जाती है, जिसमें उपयोगकर्ता दिन में एक बार स्पैम से संबंधित संदेशों की एक सूची प्राप्त करता है और अपने भाग्य का फैसला खुद कर सकता है।

हमारे जेएसओसी द्वारा निगरानी की जा रही कुछ वैश्विक समस्याओं और कमजोरियों को जल्दी से बंद कर दिया जाएगा, जिसमें ईपीएससी के ग्राहक भी शामिल हैं। और यहां नीतियों और हस्ताक्षरों के केंद्रीकृत प्रबंधन की संभावना है जो हमें चाहिए - यह ग्राहकों को पेटीएम, नोटपेटिया और अन्य जैसे संक्रमणों से बचाएगा।

अजीब सवालों के ईमानदार जवाब

वास्तव में, हालांकि हम सेवा मॉडल के फायदों पर बहुत विश्वास करते हैं, यह स्पष्ट है कि कई के लिए ई-मेल प्रणाली की अवधारणा बहुत ही असामान्य है। क्या हम सबसे अक्सर पूछा जाता है:

- FortiGate आपके डेटा सेंटर में खड़ा है, यानी आप हमारे ट्रैफ़िक को देखेंगे?

- नहीं, हम ट्रैफ़िक नहीं देखते हैं। फ़ोर्टगेट इसे एन्क्रिप्टेड रूप में प्राप्त करता है, इसे ग्राहक से कुंजी के साथ डिक्रिप्ट करता है, एक स्ट्रीम एंटीवायरस के साथ इसे चेक और प्रोसेस करता है, इसे उसी कुंजी के साथ वापस एन्क्रिप्ट करता है, और उसके बाद ही इसे आपके नेटवर्क पर भेजता है। हमारे पास इस प्रक्रिया में शपथ लेने के लिए कोई विकल्प नहीं है (जब तक कि कठोर infobase समाधानों के रिवर्स इंजीनियरिंग में संलग्न न हों, लेकिन यह बहुत महंगा है)।

- क्या क्लाउड पर जाने पर हमारे नेटवर्क सेगमेंट को बचाना संभव है?

- और यहाँ एक सीमा है। नेटवर्क विभाजन क्लाउड स्टोरी नहीं है। UTM एक ग्राहक के नेटवर्क का एक सीमित फ़ायरवॉल है जिस पर विभाजन नहीं किया जा सकता है, अर्थात, आपका डेटा किसी एकल चैनल में बाहर की ओर जाता है। एक मायने में, आप अलग-अलग साइटों के लिए अलग-अलग प्रतिबंध लगाकर CPE पर ACL के अंदर नेटवर्क सेगमेंट कर सकते हैं। लेकिन अगर आपके पास व्यावसायिक अनुप्रयोग हैं जिन्हें फ़ायरवॉल के माध्यम से एक-दूसरे के साथ अलग-अलग बातचीत करने की आवश्यकता है, तो आपको आंतरिक विभाजन के लिए एक अलग एफडब्ल्यू का उपयोग करने की आवश्यकता होगी।

- क्लाउड पर जाने पर हमारे आईपी एड्रेस का क्या होगा?

- ज्यादातर मामलों में, आपको अपने सफेद आईपी पते को हमारे पास बदलना होगा। एक अपवाद संभव है यदि आपके पास एक प्रदाता गैर-स्वतंत्र स्वायत्त प्रणाली (पीआई एएस) है, जिसे आपको आवंटित किया गया है, जिसे हमारे साथ फिर से घोषित किया जा सकता है।

कभी-कभी एक जटिल विकल्प चुनना अधिक तर्कसंगत होता है - उदाहरण के लिए, यूटीएम के माध्यम से उपयोगकर्ता को ट्रैफ़िक दें, और अन्य नेटवर्क खंडों को सीधे इंटरनेट पर जारी करें।

- और अगर आपको किसी बाहरी प्रदाता द्वारा होस्ट की गई साइट की रक्षा करने की आवश्यकता है?

- सीपीई वहां नहीं डालता। आप ADNS रिकॉर्ड को बदलकर WAF को कनेक्ट कर सकते हैं: साइट के आईपी को सेवा श्रृंखला के आईपी में बदल दें, और फिर सीपीई की मदद के बिना ट्रैफ़िक हमारे क्लाउड से गुजरेगा।

यदि आपके पास अन्य प्रश्न हैं, तो टिप्पणियों में लिखें, और हम उन्हें उत्तर देने का प्रयास करेंगे