Сетевая безопасность: Четыре основополагающих принципа безопасности оконечных устройств сети

Корпоративные сети и их ресурсы находятся под постоянными атаками злоумышленников. Проблема усугубляется тем, что периметр корпоративной сети практически прозрачен. При разработке безопасной ИТ-инфраструктуры основной целью большинства предприятий является обеспечения «бесшовной» интеграции бизнес-процессов. Если злоумышленникам все-таки удается нарушить нормальную работу системы безопасности пользовательских компьютеров, мобильных устройств, серверов или приложений, это означает частые простои в корпоративных средах.

Распределенный отказ в обслуживании (DDoS) является одним из видов атак, которые вызывают нехватку пропускной способности сети. Впрочем, существует много других обстоятельств, также способных привести к перегрузке сети, например обмен файлами между пользователями, активное использование потокового видео и пиковые нагрузки при использовании внутренних или внешних серверов (к примеру, в сфере розничной торговли в «черную пятницу», когда начинаются рождественские распродажи) — все это может затормозить работу сети, как для внутренних пользователей, так и внешних клиентов.

Потоковое видео — еще один класс «жадных» к полосе пропускания приложений, причем существует много компаний, для которых поддержка такого контента крайне важна для выживания в бизнесе. Территориально распределенные компании используют потоковое видео для связи между офисами, компании, специализирующиеся в области бренд-менеджмента, применяют его для кампаний в СМИ, а военные — для управления и контроля.

В результате возникла опасная ситуация. DDoS-атаку легко реализовать, потоковое видео сильно зависит от пропускной способности сети, сети и так сильно загружены, а бизнес-процессы становятся все более зависимыми от этих технологий.

ИТ-менеджеры должны быть начеку. Им надо изменить методы долгосрочного анализа и планирования использования ресурсов, а также подходы к защите устройств в сети и жизненно важной полосе пропускания сетей. Описанная в этой статье модель безопасности оконечных устройств поможет согласовать эти подходы с современными реалиями.

Четыре основополагающих принципа

Основная предпосылка четырех основных принципов — сеть должна работать даже под атакой. Первый шаг заключается в определении оконечных устройств. Что же такое оконечное устройство? В данной модели оконечным устройством является любое из устройств, на которых выполняется реальная работа: настольные компьютеры, серверы и мобильные устройства.

Определив понятие оконечных устройств, переходят к разработке стратегии их защиты. Такая стратегия, собственно, и состоит из четырех основных принципов безопасности оконечных устройств и характеризуется следующими целями:

• защита оконечного устройства от атак;
• снабжение оконечного устройства функцией самовосстановления;
• контроль пропускной способности сети;
• обеспечение самовосстановления сети.

С учетом этих целей четыре основных принципа безопасности оконечных устройств можно кратко сформулировать как:

• укрепление защиты оконечных устройств;
• отказоустойчивость оконечных устройств;
• приоритизация сетей;
• отказоустойчивости сети.

У каждого принципа есть несколько дополнительных целей. Во-первых, желательно автоматизировать процесс, насколько это возможно. В конце концов, у ИТ-менеджеров уже все расписано наперед и времени и так в обрез.

Во-вторых, нужно выполнять централизованный мониторинг сети, чтобы знать, что происходит в реальном времени. Хотя одна из целей двух принципов отказоустойчивости является сокращение косвенных затрат на такой мониторинг в максимально возможной степени, иногда приходится вручную осуществлять мероприятия по защите и принимать контрмеры. Кроме того, даже в обычных условиях случаются отказы оборудования.

В-третьих, надо организовать обратную связь. Поскольку атаки становятся все более изощренными, надо признать, что оборона сможет остаться надежной, только если постоянно инвестировать в ее укрепление. В то же время, важно понимать, что расходы на сетевую безопасность трудно обосновывать перед топ-менеджментом как производственные расходы первостепенной важности.

Именно поэтому постоянный мониторинг и обратная связь очень важны. Чем лучше мы понимаем и можем продемонстрировать реальность угроз и атак, происходящих по периметру и внутри нашей сети, тем более оправданным выглядит повышенное внимание и расходы на защиту этих бизнес-ресурсов.

Укрепление защиты оконечных устройств

Цель первого принципа — обеспечение использования сетевыми ресурсами новейших технологий безопасности. Типичные угрозы включают в себя опасные вложения в электронные письма, вирусы (такие, как сетевые черви), которые распространяются по сети и все, что связано с угрозой для веб-браузеров.

Одна из мер ��ротиводействия атакам — использование антивирусного и другого ПО защиты от вредоносного кода. Другим примером является принцип изоляции или «песочницы» для защиты компьютерных приложений от вредоносного ПО за счет использования имеющегося в ОС обязательного механизма уровней целостности. Этот вид защиты применяется в Internet Explorer версии 7 и 8 для Windows Vista и Windows 7.

Одно из полезных улучшений — возможность централизованно развертывать и управлять параметрами изоляции всего узла сети. Польза от этого возможна, только если сторонние приложения будут работать (и защищаться) незаметно для пользователя.

Так как же этот принцип связан с мониторингом? Отслеживать вторжения в условиях эксплуатации сетевых ресурсов нужно масштабируемым способом. Надо также следить за кодом с нестандартным поведением.

Отказоустойчивость оконечных устройств

Цель устойчивости оконечного устройства заключается в обеспечении постоянного сбора и мониторинга информации о состоянии устройств и приложений. Таким образом, отказавшие устройства или приложения можно автоматически восстанавливать, не прерывая бизнес-процессы.

К примерам технологий, позволяющих сделать оконечные устройства более устойчивыми, относятся защита доступа к сети NAP (Network Access Protection ), а также инструменты определения базовых параметров и управления, такие как Microsoft System Center. Одно из направлений совершенствования в этой области —объединение этих технологий для организации автоматического восстановления на основе стандартизованных, легко масштабируемых базовых конфигураций.

Как связан рассматриваемый принцип с мониторингом? Подумайте о тенденциях в следующих областях мониторинга: обнаружение машин, не отвечающих техническим условиям, в чем выражается это несоответствие и когда наступает это несоответствие? На основе этих тенденций можно делать выводы об угрозах — внутренних и внешних, некорректности конфигурации, ошибках пользователя и т. п. Кроме того, при таком способе выявления угроз можно постоянно повышать устойчивость оконечных устройств перед лицом все более изощренных и распределенных атак.

Приоритизация сетей

Цель определения приоритетов в сети является обеспечение того, чтобы инфраструктура всегда могла удовлетворить потребности приложений в пропускной способности. Это соображение относится не только к хорошо изученным периодам пиковой нагрузки, но и ко времени неожиданных скачков в нагрузке сети или распределенных внешних и внутренних атак.

К технологиям, позволяющим управлять доступной для приложений пропускной способностью, относятся модель дифференцированного обслуживания разнотипного трафика DiffServ и технология контроля качества услуг QoS. Однако в настоящее время этот принцип представляет собой нагляднейшую демонстрацию технологического разрыва между тем, что необходимо и перечнем доступных коммерчески продуктов. В будущем потребуются решения для интеграции идентификации пользователей и приложений с бизнес-приоритетами. Тогда сетевые маршрутизаторы смогут автоматически сегментировать пропускную способность сети на основе этой информации.

Как связан рассматриваемый принцип с мониторингом? Маршрутизаторы должны вести журнал для потока данных для последующего анализа тенденций. Чем сегодняшние потоки отличаются от вчерашних?Наблюдается ли повышенная нагрузка? Какие новые адреса задействованы? Где они расположены: за границей сети или внутри нее? Эффективный и всесторонний мониторинг позволит получить ответы на эти вопросы.

Отказоустойчивость сетей

Цель отказоустойчивости сети заключается в обеспечении возможности незаметного для пользователя перехода на другой ресурс. В идеале, методы в этой области должны позволять переконфигурировать сеть в реальном времени при снижении производительности. Этот принцип схож с принципом отказоустойчивости оконечных устройств в том, что его цель заключается организации самовосстановления сети для сведения к минимуму усилий по управлению.

Однако этот принцип вынуждает обратить особое внимание на тот факт, что отказоустойчивость и избыточность следует анализировать как в широком, так и узком масштабе. Например, можно использовать технологии кластеризации для обеспечения перехода при сбое одного узла в центре обработки данных, но как организовать переход всего центра обработки данных или целого региона? Следует признать, что проблема обеспечения непрерывности бизнеса является более широкой, потому как требуется учитывать особенности офисных помещений, базовые сервисные службы и, самое главное, кадровые вопросы.

В дополнение к кластеризации в рамках этого принципа применяются другие технологии, среди которых репликация и виртуализация. Как связан рассматриваемый принцип с мониторингом? Отказоустойчивые технологии в целом полагаются на мониторинг. Кроме того, данные о нагрузке можно использовать для планирования ресурсов и сбора данных в процессе развития бизнеса.

Реализация отдельных принципов

Для каждого из этих четырех основных принципов безопасности оконечных устройств есть коммерческие технологии обеспечения безопасности, целостности сети и бизнес-процессов, которые либо используются недостаточно эффективно, либо еще не развернуты в большинстве организаций. Это открывает для ИТ-менеджеров ряд возможностей:

• задействуйте четыре основных принципа или другие инструменты для выявления угроз и брешей в защите вашей сети;
• уделите больше времени и ресурсов автоматизации и мониторингу;
• привлеките к более тесному сотрудничеству бизнес-пользователей, принимающих решения о расходах, к определению расходов и преимуществ, связанных с реализацией этих принципов.

Наверняка есть предприятия, уже реализовавшие один или нескольких из описанных здесь основополагающих принципов. Но многое остается еще сделать. Критически важно понять, что необходима реализация всех этих четырех принципов, так как каждый из них является ключом к успеху.