Hibrid védelem felépítése: Miért érdemes az UTM-nek és az IDS-nek együttműködnie a Windows vállalati biztonságban?

A vállalati biztonsági osztályoknak jellemzően két lehetőség közül választhattak: vagy egységes fenyegetéskezelő rendszerek (UTM) használatával egységesített peremterületet hoztak létre, vagy egy olyan IDS-megoldással, amely nagyobb betekintést nyújthat a hálózati tevékenységbe. A Microsoft Windows-alapú termékeken futó vállalati környezetekre vonatkozó megoldások mérlegelésekor azonban úgy tűnik, hogy mindkét oldal a rossz kérdésre koncentrál. Az UTM-gyártók érvelése, akik terméküket a korlátozott időerőforrással rendelkező informatikai személyzet „egyablakos” megoldásaként forgalmazzák, az, hogy egy UTM-eszköz egyetlen egységen belül biztosítja az összes szükséges funkciót (tűzfal, VPN, vírusvédelem stb.). Másrészt a speciális IDS-eszközök gyártói azzal érvelnek, hogy ezeknek a további funkcióknak a beépítése csökkenti az IDS-funkció hatékonyságát. Emiatt a Windows-hálózatok védelmét biztosító szervezetek továbbra is fokozott kockázatnak vannak kitéve e gondolkodásmód miatt.

Samuel Bemi kiberbiztonsági mérnök ezt a hiányosságot egy virtualizált Windows 11 vállalati környezetben a Snort, egy nyílt forráskódú behatolásérzékelő rendszer és a pfSense, egy nyílt forráskódú egységes biztonsági platform kontrollált összehasonlító értékelésével vizsgálta. Értékelése túlmutat azon a hagyományos kérdésen, hogy egy biztonsági ellenőrzés észleli-e a támadást, azt vizsgálva, hogy az észlelés működőképes marad-e, ha figyelembe vesszük a téves riasztásokat, a késleltetést, az átviteli sebességet és az erőforrás-kihasználást.

A detektálás önmagában nem meséli el a teljes történetet

A kísérlet a szervezetek által tapasztalt három leggyakoribb támadási mintát szimulálta: ICMP elárasztási támadásokat, port- és szolgáltatásszkennelést, valamint szolgáltatásmegtagadási forgalmat. Mind a Snort, mind a pfSense egy Windows 11-es gazdagép védelmére volt konfigurálva egy kifejezetten tesztelésre épített, elszigetelt hálózaton belül.

Az eredmények tisztázóak voltak, nem megnyugtatóak. A Snort az ICMP elárasztási kísérletek 100 százalékát és a szolgáltatásmegtagadási forgalom 100 százalékát észlelte, és a portszkennelési kísérletek nagy többségét azonosította. A kontrollált tesztkörnyezetben a Snort erős észlelési teljesítményt ért el a tesztelt forgalmi mintákkal szemben. De a fontosabb megállapítás az volt, hogy az észlelési teljesítmény működési kompromisszumokkal járt. Ezzel a sikerrel együtt járt a működésileg jelentősnek ítélt téves riasztási arány, a hálózati késleltetés mérhető növekedése és az átviteli sebesség jelentős csökkenése is, miután mindkét rendszer aktív volt.

Bemi értékelése a „melyik biztonsági ellenőrzés észlel több támadást?” kérdésről egy lényegesebb kérdésre tereli a figyelmet: „a biztonsági architektúra hatékony marad-e, ha az észlelési pontosságot, a téves riasztásokat és a működési terhelést együttesen vesszük figyelembe?” Ahelyett, hogy az IDS és az UTM ellenőrzéseket külön-külön értékelné, Bemi megközelítése azt vizsgálja, hogy az észlelési pontosság, a téves riasztások, az erőforrás-fogyasztás és a hálózati teljesítmény hogyan hatnak egymásra, amikor az ellenőrzéseket ugyanabban a vállalati környezetben telepítik. Ez a perspektíva gyakorlatiasabb alapot biztosít a biztonsági csapatok számára a mélységi védelemre épülő architektúrák tervezéséhez, ahol a védelmet nemcsak az alapján értékelik, hogy egy ellenőrzés milyen fenyegetéseket észlel, hanem az alapján is, hogy milyen hatékonyan működik a tágabb hálózaton belül.

„A 100 százalékos észlelési arányt nem lehet önmagában értékelni” – mondja Bemi. „Ha ennek az eredménynek az elérése jelentős téves riasztásokat, késleltetést vagy átviteli sebességcsökkenést okoz, akkor a biztonsági ellenőrzést működőképes rendszerként kell értékelni, nem pedig egyszerűen észlelési mechanizmusként.”

Amit az UTM önmagában nem vesz el

Bemi érvelése szerint az IDS soha nem fogja helyettesíteni vagy felülmúlni az UTM-et. Ehelyett azt állítja, hogy mindkét eszköz ugyanazon probléma két különböző rétegét oldja meg. Az első réteg a periméter-kikényszerítés (tűzfal, VPN-lezárás, forgalomformálás, ismert rossz forgalom blokkolása), feltéve, hogy a megfelelő beállításokkal rendelkezik az UTM-eszközökkel, például a pfSense-szel. A második réteg, amellyel az IDS foglalkozik, az az, ami akkor történik, amikor valamit engedélyez az első rétegen túl. Ez a második réteg olyan részletességi szintet biztosít, amelyet az UTM önmagában nem tud reprodukálni. Ez különösen a Bemi által az észlelési képesség és a működési hatás alapján végzett tesztelés és értékelés során volt nyilvánvaló.

„Az UTM határozza meg, hogy a forgalmat be kell-e engedni a hálózatba” – állítja Bemi. „Egy IDS egy teljesen más kérdésre ad választ; nevezetesen, hogy most, hogy a hálózaton belül van, vajon rendellenesnek tűnik-e?” Bemi szerint a csak UTM-et használó vállalatok jellemzően csak egyetlen döntést hoznak a tűzfal/VPN-lezáró eszközön áthaladó forgalom engedélyezésével kapcsolatban. Ezután egyszerűen arra hagyatkoznak, hogy minden, ami áthalad, biztonságos.”

Az erőforrásköltség tervezési bemenet, nem utólagos szempont

A tanulmány egyik legfontosabb megállapítása, hogy a mélységi védelem nem működésileg független. Mindkettő futtatása megnöveli a CPU- és memória-kihasználtságot, valamint további hálózati késleltetést okoz, ami azt mutatja, hogy a biztonsági architektúra nem értékelhető kizárólag az észlelési hatékonyság alapján.

Azt állítja, hogy a hibrid védelem gyakorlati akadálya gyakran kevésbé az, hogy a kontrollok képesek-e együttműködni, és inkább az, hogy a szervezetek megtervezték-e a szükséges kapacitást, hangolást és monitorozást. „Senki sem vitatja, hogy a mélységi védelem a megfelelő architektúra egy whiteboardon” – mondja. „Az ellenállás a megvalósításkor jelentkezik, amikor egy kisebb informatikai csapat rájön, hogy mindkettő megfelelő működtetése kapacitástervezést, a téves riasztások csökkentésére szolgáló szabályok hangolását és folyamatos naplófelülvizsgálatot jelent. Ez egy erőforrás-beszélgetés, nem pedig technológiai beszélgetés. De a kihagyása nem szünteti meg a kockázatot; csak a hálózatról az üzleti oldalra helyezi át.”

A gyakorlati út a továbblépéshez

Azon szervezetek számára, amelyek ezt továbbra is bináris vásárlási döntésként kezelik, Bemi értékelésének gyakorlati következménye nem az, hogy minden szervezetnek megkülönböztetés nélkül kellene alkalmaznia mindkét vezérlőt. Ehelyett a biztonsági építészeknek kiegészítő vezérlőként kellene kezelniük az UTM-et és az IDS-t, értékelniük kellene együttes teljesítményüket valós forgalmi körülmények között, és az infrastruktúrát és a monitorozási kapacitást a keletkező működési többletköltségekhez kellene igazítaniuk.

Összegzés

A Windows vállalati biztonság kihívása nem az UTM és az IDS közötti választás, hanem egy olyan architektúra megtervezése, amelyben mindkét vezérlő ugyanazon fenyegetési környezet különböző rétegeit kezeli. Bemi értékelése azt mutatja, hogy az észlelési arányok önmagukban nem határozzák meg a biztonság hatékonyságát; a téves riasztások, a késleltetés, az átviteli sebesség, az erőforrás-fogyasztás és a vezérlők működtetéséhez szükséges erőfeszítés is számít. Az iparágnak ezért túl kell lépnie a termékek közötti összehasonlításokon, és fel kell mérnie, hogy a biztonsági vezérlők hogyan teljesítenek együtt valós vállalati körülmények között. A gyakorlatban az UTM biztosíthatja a határvédelem első rétegét, míg az IDS mélyebb betekintést nyújt a gyanús tevékenységekbe, amelyek áthaladhatnak ezen a határon. A hibrid megközelítést fontolgató szervezeteknek tesztelniük kell a kombinált architektúrát reprezentatív munkaterhelésekkel szemben, és egyértelmű küszöbértékeket kell meghatározniuk a teljesítményre, a téves riasztásokra és az erőforrás-kihasználásra vonatkozóan a telepítés előtt. Emellett a folyamatos szabályhangolást, a monitorozást, a kapacitáskezelést és az elemzők bevonását is tervezniük kell, ahelyett, hogy ezeket másodlagos működési szempontként kezelnék. Végső soron a hatékony mélységi védelem nem egyszerűen több biztonsági eszköz telepítésétől függ, hanem attól is, hogy biztosítsuk, hogy a kiegészítő vezérlők mérhető, fenntartható és a szervezet működési igényeivel összhangban működjenek együtt.

Ossza meg ezt a cikket: