Решения для inline-подключения устройств мониторинга

Сценарий

Сети предоставляют все больше услуг и передают растущие объемы мультипротокольного трафика на повышенных скоростях. При этом сети должны справляться с увеличенными угрозами информационной безопасности и соответствовать все более жестким регуляторным требованиям. Чтобы проверять каждый сетевой пакет и блокировать входящие угрозы до того, как они повлияют на работу сети и, возможно, ведение бизнеса, устройства мониторинга и информационной безопасности нужно включать в разрывы линий передачи (inline).

Внедрение в сеть любого inline-устройства несет в себе риск того, что данное устройство станет точкой отказа сети. Если inline-устройство перестанет функционировать, оно может нарушить работу контролируемого сетевого канала, и тогда важная часть сети станет недоступной для пользователей, что сократит время безотказной работы сети. Чтобы избежать этого риска, заказчики должны использовать безаварийное решение, способное защищать сеть от сбоев в работе inline-устройства и при этом обеспечивать последнему возможность защищать сеть от входящих угроз.

К такого рода решениям относятся обходные коммутаторы, обеспечивающие безаварийное inline-подключение устройств информационной безопасности и мониторинга. Обходной коммутатор использует heartbeat-пакеты для защиты контролируемого сетевого канала от сбоев в работе ПО подсоединенного к этому коммутатору устройства мониторинга, проблем с его кабельными соединениями и с подачей электропитания на него.

Проходящий через обходной коммутатор трафик контролируемого канала может пропускаться через брокер сетевых пакетов, который на полной скорости сетевых каналов будет фильтровать этот трафик, быстро и эффективно выделяя из него нужные данные для подачи на подключенные к брокеру определенные inline-устройства (IPS, предотвращения угроз и др.).

Inline-подключение устройств информационной безопасности

К основным выгодам применения брокеров сетевых пакетов с inline-устройствами относятся:

Обеспечение высокой готовности систем информационной безопасности посредством резервирования защитных inline-устройств по схеме «активный — активный».
Сокращение затрат за счет возможности совместного использования одного и того же inline-устройства мониторинга разными подразделениями организации для контроля многочисленных каналов по всей сети организации.
Повышение эффективности использования inline-устройств с помощью функции фильтрации, позволяющей подавать на каждое из устройств только нужный ему трафик.
Защита инвестиций в имеющиеся inline-устройства мониторинга посредством функции балансировки нагрузки, позволяющей разделить трафик из каналов 10G и 40G по inline-устройствам с портами 1G и 10G.
Снижение нагрузки на перегруженные средства мониторинга с помощью функций балансировки нагрузки.

Решения Ixia

В качестве составных частей подсистемы безопасности (Security Fabric) в рамках архитектуры Ixia Visibility Architecture для inline-подключения устройств информационной безопасности компания Ixia выпускает обходные коммутаторы и брокеры сетевых пакетов. Обходные коммутаторы могут иметь медные или оптические интерфейсы и поддерживать разные скорости передачи данных по сети.

Модель iBypass Very High Density (VHD) — это интеллектуальный обходной коммутатор, который защищает дуплексный сетевой канал от проблем в работе inline-устройства информационной безопасности. Данная модель использует heartbeat-пакеты с микросекундным разрешением, передает SNMP-оповещения, поддерживает обновление ПО на месте эксплуатации, имеет простой в использовании веб-интерфейс.

Обходной коммутатор семейства Ixia iBypass постоянно контролирует состояние подсоединенного к нему inline-устройства информационной безопасности, посылая ему heartbeat-пакеты и ожидая получить их обратно. Если обходной коммутатор обнаружит, что inline-устройство не отвечает, он пустит трафик в обход него, обеспечив таким образом непрерывность передачи трафика. Когда это произойдет, обходной коммутатор пошлет тревожное оповещение о недоступности данного устройства, чтобы сетевой персонал и специалисты по информационной безопасности смогли принять надлежащие меры.

Коммутатор iBypass продолжит посылать heartbeat-пакеты inline-устройству даже после того, как оно перестанет отвечать. И как только inline-устройство снова начнет работать, обходной коммутатор переключит трафик на него, чтобы оно продолжило контролировать и защищать сеть.

Потребность записывать и анализировать весь трафик сильно нагруженных сетей 10G и 40G побуждает организации инвестировать значительные средства в новые устройства мониторинга с портами 10G и 40G иначе велик риск перегрузить имеющиеся устройства. Брокеры сетевых пакетов Vision ONE, Vision E100, Vision E40 и Vision xStream 40, предназначенные для контроля высокоскоростного сетевого трафика, устраняют этот риск, распределяя растущие объемы трафика по нескольким устройствам мониторинга.

Брокеры Vision ONE и Vision xStream 40 позволяют параллельно задействовать несколько inline-устройств с равномерным распределением трафика между ними. Эта возможность помогает более эффективно использовать системы IPS, межсетевые экраны, веб-акселераторы и другие inline-устройства. Кроме того, она позволяет реализовывать высоконадежные защитные системы на базе inline-устройств информационной безопасности.

Предлагаемые платформы

Vision xStream 40		Брокер сетевых пакетов, обеспечивающий контроль трафика сети 40GE посредством устройств мониторинга с волоконно-оптическими интерфейсами

Vision E40, Vision E100		Брокеры сетевых пакетов с портами 40GE и 100GE соответственно для построения масштабируемых систем контроля трафика на уровне аппаратных стоек

Vision ONE		Универсальный брокер сетевых пакетов (с простым в использовании веб-интерфейсом) для контроля сети с помощью inline- и out-of-band-устройств мониторинга

iBypass 40–10		Интеллектуальный обходной коммутатор, защищающий 4 канала 10GE; поддерживает порты мониторинга QSPF+

iBypass VHD		12-сегментный интеллектуальный обходной коммутатор с простым в использовании веб-интерфейсом

10/100/1Gb Copper Bypass Switch		Обходной коммутатор с медными Ethernet-интерфейсами пропускной способностью до 1 Гбит/с

см. также