MCFilter propojuje síťovou ochranu, protokolově orientované filtrování a vyvíjenou vrstvu analýzy anomálií. Nejde o tři oddělené produkty, ale o tři úrovně jedné rozhodovací cesty.
Cesta paketu
Datová trasa vede přes síť datacentra a MCFilter. Souběžně pracuje dohledová a řídicí vrstva: FlowAnalyzer analyzuje telemetrii provozu a rozhoduje, jaká pravidla budou odeslána do sítě a filtrů.
Provoz přichází z veřejné sítě. Spolu s legitimním provozem sem proudí i provoz útoku.
První vrstva ochrany. Tady končí objemový provoz, než stihne zatížit zbytek cesty.
Odmítnutý provozNaše filtrační jádro. Zahrnuje vynucování pravidel L3/L4 přes EdgeRule a filtrování L7 přes Filter.
K infrastruktuře už dorazí přefiltrovaný provoz.
Služba přijímá provoz odpovídající očekávanému protokolu. Minecraft je zde jen jedním z příkladů.
Řídicí rovina – detekce a rozhodování
Analyzuje síťové toky a detekuje anomálie L3/L4. Není dalším zařízením na cestě paketu – pracuje vedle ní.
Distribuuje pravidla mitigace na úrovni směrování.
Cyklus mitigace
Každá událost prochází stejnou cestou. Detekce je oddělena od vynucování, díky čemuž pravidlo míří přesně tam, kde útok působí.
FlowAnalyzer sbírá telemetrii toků a vytváří obraz běžného provozu.
Změna charakteru provozu je zařazena jako anomálie nebo známý vzorec útoku.
Vybíráme mitigační mechanismus pro vrstvu, ve které útok skutečně probíhá.
Pravidlo míří do BGP FlowSpec, do EdgeRule nebo do dedikovaného filtru protokolu ve Filteru.
Provoz odpovídající protokolu putuje dál k chráněné službě.
Architektura ochrany
Třístupňový rozhodovací proces propojující síťovou mitigaci L3/L4, filtry aplikačních protokolů a analýzu anomálií do jednoho integrovaného filtračního jádra.
Ochrana na síťové a transportní vrstvě. Detekce toků, distribuovaná síťová pravidla a mechanismy chránící před spoofingem, reflexními útoky a zahlcením spojení.
Filtry detailně znají strukturu konkrétních protokolů a dokáží spolehlivě odlišit legitimní herní provoz od paketů, které jeho formát pouze napodobují.
Vyvíjíme vrstvu analýzy anomálií, která identifikuje odchylky provozu od běžného herního profilu. Jde o výzkumnou vrstvu – funguje souběžně s mechanismy L3/L4 a L7, nikoli místo nich.
Filter
Filter rozpoznává strukturu a sémantiku provozu konkrétních služeb a odmítá provoz, který neodpovídá profilu protokolu.
Sadu filtrů rozvíjíme spolu s protokoly, které podporujeme.
EdgeRule
EdgeRule popisuje provoz tak, jak vypadá v síti: odkud přichází, kam míří a jak je paket postavený. K tomu přiřadíte akci nebo provoz předáte filtru protokolu.
Z čeho se pravidlo skládá
Source
Destination
Packet
Action
Dispatch
Pravidla mají prioritu – nižší hodnota znamená vyšší přednost.
Uvedené pravidlo slouží výhradně jako ilustrace možností enginu a použitá adresa pochází z dokumentačního rozsahu RFC 5737. Neuveřejňujeme produkční konfigurace, prahové hodnoty detekce ani signatury útoků.
Analýza provozu
Telemetrie toků je základem rozhodnutí o mitigaci. Vedle mechanismů založených na známých vzorcích rozvíjíme analýzu anomálií, která má upozorňovat na provoz odchylující se od ustálené normy.
FlowAnalyzer vytváří obraz běžného provozu a porovnává s ním aktuální toky. Odchylka od tohoto obrazu spouští rozhodnutí o mitigaci.
Toky v čase
Zjištěná anomálie
Rozložení protokolů
Provoz - telemetrie - detekce - rozhodnutí o mitigaci
Vrstva rozvíjená s ohledem na zero-day. Jejím úkolem je upozorňovat na shluky provozu, které neodpovídají ustálené normě ani známým signaturám – nenahrazuje mechanismy L3/L4 a L7.
Grafy v této sekci jsou schematické a nepředstavují produkční data.
Režimy ochrany
V modelu Always-on veškerý provoz neustále prochází ochrannou vrstvou. V modelu On-demand je provoz směrován do filtrační vrstvy až po detekci útoku, což mění trasu provozu i okamžik aktivace mitigace.
Provoz nepřetržitě prochází filtrační vrstvou.
Trasa provozu se mění až po detekci útoku.
Nasazení
Filtrační technologie nemusí běžet výhradně v naší síti. Pro podniková řešení lze MCFilter nasadit přímo v infrastruktuře zákazníka.
Provoz směřuje do naší sítě, prochází scrubbingem a MCFilterem a k vaší službě dorazí již vyčištěný. Správa a údržba filtrace je na naší straně.
Filtrační stack nasadíme přímo do infrastruktury zákazníka, takže provoz nemusí opustit jeho síť. Rozsah nasazení a integraci řešíme individuálně.
FAQ
Nenašli jste odpověď na svou otázku?
Kontaktujte násPromluvme si o ochraně always-on, on-demand nebo o nasazení MCFilteru přímo ve vašem datacentru.
Kontaktujte násNezbytné technologie běží vždy. Funkční, analytické a marketingové zapneme jen s vaším souhlasem. Neudělení souhlasu nijak neomezuje přístup k obsahu webu.
