CloudLens

Обеспечение видимости для защиты и мониторинга облачных сред

Организации переносят рабочие нагрузки в облако, поскольку оно обеспечивает масштабируемость, гибкость и адаптивность. Этим организациям необходима видимость, чтобы соблюдать политики безопасности, соответствия требованиям и мониторинга в публичном, частном и гибридном облаке.

Основные особенности

• Захват и передача полных пакетов и/или NetFlow из виртуальной машины (VM), контейнеров или сетевого трафика между Pod средствам либо физическим и/или виртуальным пакетным брокерам для агрегирования, расширенной фильтрации и дедупликации.
• Виртуальная обработка и агрегирование пакетов в облаке, для которых традиционно используются физические пакетные брокеры.
• Агрегирование и дедупликация пакетных данных; формирование и терминация туннелей без необходимости в физическом оборудовании.
• Виртуальная обработка пакетов с возможностями AppStack использует расширенную аналитику приложений Keysight с обнаружением приложений на основе сигнатур, геолокацией, NetFlow и IxFlow (расширенным NetFlow).
• Интерфейс управления, который можно развернуть в любом облаке для более эффективного контроля и безопасности.
• Поддержка нескольких платформ, независимость от поставщика облачных услуг и платформы.
• Автоматическое эластичное масштабирование по требованию с помощью облачных экземпляров.
• Работа в облачном масштабе (тысячи экземпляров). Автоматическое эластичное масштабирование по требованию с помощью облачных экземпляров.
• Простой в использовании интерфейс с перетаскиванием и компоновкой от сети к средствам.

Задача обеспечения видимости облака

Все сети неизбежно подвергаются все более сложным и продвинутым рискам и угрозам безопасности. Ключевой задачей является как можно более быстрое выявление рисков и угроз и принятие эффективных мер. Цель архитектуры полной видимости — предоставить доступ ко всем данным, пересекающим ваши сети, чтобы можно было.

Каждое решение сетевой видимости включает два основных аспекта:

1. захват всего сетевого трафика; и

агрегирование, фильтрация, дедупликация и изменение собранного сетевого трафика до его передачи средствам производительности, мониторинга и безопасности.

Для сбора сетевого трафика традиционно наилучшим способом захвата всего трафика в сетевом канале является использование сетевого ответвителя (network tap). Ответвители предоставляют непрерывный неразрушающий доступ к сети и обладают следующими характеристиками:

• получают весь трафик в сетевом канале;
• требуют минимальной настройки или не требуют ее вовсе и могут быть установлены в любое время;
• не имеют IP-адреса и поэтому не уязвимы для удаленного доступа злоумышленника;
• не вносят задержку и не изменяют содержимое данных.

Для агрегирования, фильтрации, дедупликации и изменения сетевого трафика традиционно применяется физический сетевой пакетный брокер (Network Packet Broker, NPB). NPB используются для обработки пакетов и передачи выбранных пакетов конкретным средствам в соответствии с тем, для мониторинга и анализа чего предназначены эти средства. NPB агрегируют необработанный или отфильтрованный трафик из нескольких точек мониторинга в сети и фильтруют и дедуплицируют пакеты, чтобы средства получали только релевантный трафик. Это снижает перегрузку данными, минимизирует ложные срабатывания и позволяет обрабатывать трафик с меньшим количеством устройств мониторинга.

Однако в современных виртуализованных развертываниях оба этих аспекта представляют сложность:

1. сбор виртуализованного сетевого трафика между виртуальными рабочими нагрузками или трафика восток–запад (между ВМ или между контейнерами/Pod), недоступного традиционному физическому ответвителю;

2. обеспечение масштабирования решения видимости в соответствии с динамическим характером частного и публичного облака. Если трафик виртуализованной сети необходимо обрабатывать физическим сетевым пакетным брокером, добавление новых ресурсов требует ручного вмешательства, а сложность возрастает.

CloudLens решает обе проблемы с помощью двух основных компонентов: функции виртуального ответвления (vTap), которая собирает, фильтрует и направляет трафик виртуальных рабочих нагрузок, и функции виртуальной обработки пакетов, которая агрегирует, фильтрует, дедуплицирует и направляет трафик как виртуальным, так и физическим средствам центра обработки данных. Кроме того, CloudLens может динамически обнаруживать конкретные приложения и угрозы, а не только типы или категории приложений, фильтруя и направляя сетевой трафик в реальном времени соответствующим средствам для дальнейшего анализа безопасности, производительности или криминалистического анализа.

Решение CloudLens

Keysight CloudLens™ предоставляет комплексное облачное решение видимости трафика виртуальной сети. С CloudLens можно зеркалировать данные, фильтровать и направлять трафик между виртуальными машинами, контейнерами или Pod Kubernetes и средствами. Решение включает две основные возможности. Во-первых, возможность виртуально создавать ответвление (vTap), то есть захватывать, фильтровать и направлять копию сетевого трафика непосредственно средствам или сетевому пакетному брокеру. Во-вторых, оно может работать как виртуализованный сетевой пакетный брокер, обеспечивая агрегирование, фильтрацию и дедупликацию трафика виртуальной сети целиком в облаке.

CloudLens vTap

CloudLens предоставляет службу vTap, которая контролирует весь трафик между виртуальными рабочими нагрузками и направляет пакеты любому выбранному конечному устройству — виртуальным или физическим средствам безопасности, мониторинга или аналитики, а также физическим сетевым пакетным брокерам — для достижения полной видимости и проверки во всех сетях.

Захват виртуального трафика

Устранение слепых зон видимости за счет полного обзора всего трафика между ВМ и/или между Pod, захвата интересующего трафика и его направления физическим или виртуальным пакетным брокерам либо непосредственно средствам мониторинга.

• обеспечивает полную видимость трафика восток–запад, между ВМ и между Pod посредством виртуального ответвления, фильтрации и перенаправления трафика;
• предоставляет решение с полным доступом к сетевым пакетам, проходящим между ВМ в стеках гипервизоров;
• передает трафик любому существующему конечному устройству — физическому или виртуальному (не зависит от средства);
• следует за ВМ для непрерывной видимости на протяжении миграции (мониторинг на уровне ВМ);
• поддерживает vMotion и DRS;
• соответствует требованиям SLA и нормативным требованиям (SOX, PCI, HIPAA);
• обеспечивает упреждающий мониторинг и безопасность виртуальных центров обработки данных.

Фильтрация ответвления

Встроенная фильтрация снижает потребление пропускной способности vSwitch, vNet, VPC и LAN за счет фильтрации в точке vTap (источнике) и предоставляет многоуровневый механизм фильтрации L2–L4 по IP-адресу, подсети, протоколам, номерам портов и/или отдельным рабочим нагрузкам.

CloudLens vTap — среды на базе гипервизоров

Мониторинг трафика восток–запад в среде гипервизора типа 2 (VMware ESXi, Microsoft Hyper-V, KVM) обычно выполняется на уровне виртуального коммутатора. В таких средах администратор располагает необходимыми разрешениями для развертывания vTap на контролируемых узлах и использования возможностей зеркалирования vSwitch для получения копии сетевого трафика.

Рисунок 1. Виртуальное ответвление частной облачной сети

CloudLens vTap — развертывания на базе сенсоров

Для виртуальных сред, в которых администратор не имеет доступа к базовому гипервизору и виртуальным коммутаторам, например AWS, Azure, GCP и другим, Keysight представила виртуальный ответвитель в виде Sensor, доступный для Windows и Linux.

Такая реализация, при которой CloudLens Sensor vTap работает в контролируемой рабочей нагрузке, обеспечивает решение, не зависящее от гипервизора.

Управление сенсорами выполняется посредством CloudLens Manager, который может работать практически в любой виртуальной или контейнеризованной среде и может быть развернут в средах с жесткими требованиями безопасности.

CloudLens Sensor vTap можно использовать в контейнеризованных средах (то есть Kubernetes), когда требуется контролировать трафик между Pod. В этом случае сенсоры устанавливаются в качестве дополнительного контейнера (sidecar) в контейнерных Pod Kubernetes.

Экосистема виртуального ответвления включает следующие компоненты:

• CloudLens Manager, развертываемый как виртуальное устройство или в кластере Kubernetes, обеспечивает управление захватом и фильтрацией, а также мониторинг.
• CloudLens Sensor vTap, установленные в контролируемых виртуальных рабочих нагрузках, например в AWS, Azure и GCP, являются источниками зеркалируемого трафика. Сенсоры предоставляют варианты фильтрации BPF и направляют ответвленный трафик по туннелю GRE, VxLAN или зашифрованному туннелю в точки агрегирования. Сенсоры могут передавать трафик через любой интерфейс, доступный в виртуальной рабочей нагрузке.

Рисунок 2. Sensor vTap на уровне приложения

CloudLens vTap для VMware NSX

Keysight CloudLens — сертифицированное VMware решение, которое предлагает специальную интеграцию CloudLens vTap для виртуального ответвления сред NSX for vSphere и NSX Data Center (NSX-T).

В NSX Data Center CloudLens использует механизм цепочки служб NSX для вставки CloudLens в качестве службы сетевой интроспекции; затем служба интегрируется с группами и политиками безопасности NSX и становится частью архитектуры NSX. Чтобы упростить задачи администратора, жизненный цикл развертывания управляется из NSX Manager. Сетевой администратор может выбрать развертывание виртуальной машины службы виртуальных ответвителей CloudLens (SVM) на узел или на кластер узлов.

Функция «Копирование пакетов» (Copy Packet) зеркалирует трафик восток–запад выбранных ВМ в CloudLens vTap (захват трафика основан на группах и политиках безопасности NSX).

Служба CloudLens предоставляет возможности фильтрации L2–L4, а также может формировать метаданные в формате NetFlow (V9 и V10). Зеркалированный трафик может направляться либо непосредственно средству мониторинга, либо агрегатору/сетевому пакетному брокеру (NPB — виртуальному или физическому) для дополнительной обработки. Такая интеграция позволяет VMware NSX использовать глобальное решение видимости Keysight и его расширенные возможности обработки пакетов, идентификации и фильтрации приложений (репликация, дедупликация, идентификация и фильтрация приложений).

Технические характеристики CloudLens vTap

В следующей таблице приведены технические характеристики vTap v5.5 и vTap v6.2.1.

Технические характеристики Network vTap — v5.5

CloudLens vPacketStack (vPB)

В дополнение к возможностям ответвления CloudLens поддерживает обработку пакетов в среде частного или публичного облака, обеспечивая агрегирование, фильтрацию и дедупликацию трафика виртуальной сети, формирование NetFlow и доступ к возможностям аналитики приложений Keysight без необходимости в физическом пакетном брокере.

Виртуальная обработка пакетов CloudLens от Keysight осуществляется выделенной виртуальной машиной, которая является промежуточным компонентом архитектуры виртуальной видимости и «находится» между точками vTap и средствами производительности и мониторинга, для которых она может выполнять следующие действия:

• терминировать/удалять GRE, VxLAN, Geneve и VLAN;
• агрегировать сетевые пакеты;
• повторно собирать сетевые пакеты;
• фильтровать и дедуплицировать трафик;
• дублировать и направлять трафик;
• выполнять балансировку нагрузки.

Для такой обработки традиционно требовалось физическое устройство сетевого пакетного брокера. С CloudLens эти функции доступны в облачном формате, обеспечивая гибкость и простое развертывание в динамических виртуальных средах.

Доступны несколько вариантов виртуальной обработки пакетов: CloudLens Virtual Packet Processing Standard или Advanced, которые предоставляют такие возможности изменения пакетов, как удаление заголовков и усечение пакетов, либо CloudLens с AppStack, предлагающий лучшие в своем классе функции Keysight для фильтрации приложений и геолокации, формирования NetFlow и IxFlow и маскирования данных (дополнительные сведения см. ниже в таблице функций CloudLens).

Примечание. CloudLens Virtual Packet Processing размещается в экземпляре, отдельном от CloudLens Virtual Packet Processing с AppStack.

Агрегирование, репликация, дедупликация и фильтрация с помощью виртуальной обработки пакетов

Агрегирование, репликация, фильтрация и дедупликация данных в частном или публичном облаке обеспечивают более результативное и эффективное использование пропускной способности сети. Традиционно весь сетевой трафик виртуальной видимости должен был покидать частное или публичное облако для агрегирования и очистки перед направлением средствам мониторинга. С CloudLens™ агрегирование может выполняться в частном или публичном облаке, где данные затем дополнительно дедуплицируются и фильтруются, что обеспечивает намного более эффективное использование емкости как виртуальной, так и физической сети.

Балансировка нагрузки

CloudLens vPB можно развернуть как ВМ пакетной брокеризации (или обработки), которая балансирует нагрузку выбранного трафика виртуальной сети по виртуальным средствам, например виртуальным устройствам оптимизации WAN. Она работает аналогично физическому сетевому пакетному брокеру. Любая рабочая нагрузка, не выбранная для оптимизации, направляется в обход систем оптимизации WAN. Остальная рабочая нагрузка направляется средствам оптимизации. После оптимизации трафик возвращается ВМ обработки пакетов, которая направляет его по исходному пути.

CloudLens vAppStack (vATIP)

Keysight CloudLens™ с AppStack включает обработку аналитики приложений для виртуальных сред и находящиеся на стадии патентования возможности выбора приложений и групп приложений простым указанием и щелчком, а также динамического обнаружения новых и даже неизвестных приложений. Кроме того, решение предоставляет подробные сведения о поведении приложений, геолокации пользователей, идентификаторах мобильных устройств и браузерах.

Сбор данных трафика виртуальной сети

В реализациях частного облака можно использовать обработку пакетов CloudLens™ с AppStack для анализа виртуального трафика, поступающего от возможностей ответвления CloudLens™.

Фильтрация приложений

CloudLens vAppStack может сопоставлять сотни сигнатур приложений для индивидуальной идентификации приложений. Это также означает, что можно определять типы и сегменты/группы приложений, например Netflix и Hulu, Microsoft Outlook и Hotmail, Facebook или Snapchat, SAP и Oracle. После сопоставления приложения CloudLens применяет к этому трафику фильтры и правила, что позволяет ИТ-организациям значительно повысить эффективность последующих средств. Например, поскольку передача потокового мультимедийного трафика системам обнаружения вторжений (IDS) практически бесполезна, возможности AppStack позволяют организации ограничить поступление трафика этих приложений на конкретные средства мониторинга и сетевые устройства, снижая требуемую ими пропускную способность.

AppStack компании Keysight обнаруживает приложения по статическим, динамическим и даже настраиваемым сигнатурам с использованием технологии, находящейся на стадии патентования. Поскольку сложную работу по определению сигнатур приложений и ведению базы данных выполняет Keysight, вам и вашей команде не нужно становиться экспертами по RegEx или отслеживать изменения приложений.

Keysight регулярно обновляет базу данных приложений, отслеживает ведущие и новые приложения, а также вручную анализирует неизвестные приложения, чтобы разрабатывать сигнатуры приложений, если они не опубликованы.

В рамках функции идентификации сигнатур приложений возможности AppStack позволяют выявлять и помечать неизвестные приложения. Затем к такому трафику можно применять правила и фильтры для его оценки и дальнейших действий. Эта возможность дополнительно укрепляет инфраструктуру безопасности и может указывать на наличие вредоносного ПО, нежелательных передач или даже перехваченных данных.

Панель обработки пакетов CloudLens™ с AppStack содержит простые в использовании графические представления и предоставляет обзор карты сетевого трафика. Администратор может быстро увидеть, откуда поступает трафик, какие приложения и страны были наиболее активны за определенный период времени, а также какие операционные системы и устройства активны в сети.

Хотя панель предоставляет исключительно полезную информацию на одном экране, CloudLens™ создан для передачи сторонним приложениям — IPS, IDS и коллекторам NetFlow — нужной информации в нужное время.

Панель приложений отображает следующие поля:

1. Трафик (Traffic): объем трафика в реальном времени.

2. Распределение приложений (App Distribution): пропускная способность по приложениям.

3. Сведения об основных угрозах (Top Threats information): сводные данные о количестве угроз в сети, отсортированные по категории угроз — вредоносное ПО, фишинг, перехваченный IP-адрес, ботнет, эксплойты IoT.

4. Последние динамические приложения (Latest Dynamic Apps): последние динамически обнаруженные приложения и сформированный ими трафик в байтах и сеансах.

5. Основные страны (Top Countries): страны, сформировавшие наибольший объем трафика.

6. Мир (World): карта мира, на которой выделены страны-источники трафика.

7. Основные устройства по ОС (Top Devices by OS): агрегированный по ОС трафик в байтах и сеансах за последний час.

8. Основные фильтры (Top Filters): агрегированный по фильтрам трафик за последние 24 часа.

9. Основные приложения (Top Apps): агрегированный по приложениям трафик по используемой пропускной способности, байтам и сеансам.

10. Основные браузеры (Top Browsers): процент трафика по браузерам за последний час.

Формирование NetFlow / IxFlow

Для выявления скрытых атак CloudLens™ с возможностями AppStack может формировать метаданные, экспортируемые как расширенный NetFlow. Кроме того, решение позволяет обогащать записи NetFlow более чем ста дополнительными расширениями. Можно определить, какие дополнительные сведения передавать средствам.

• включение географических сведений, таких как IP-регион, широта и название города. В состав дополнительных сведений, передаваемых средствам, могут входить идентификатор или название приложения, устройство и даже тип браузера;
• отчетность с учетом абонента предоставляет подробные сведения о приложении и типе мобильного телефона (устройства) мобильного пользователя;
• URL и имя узла HTTP для отслеживания веб-активности;
• метаданные HTTP и DNS для быстрого обнаружения нарушений;
• задержка транзакций (Transaction Latency) для отслеживания производительности приложений;
• сведения об угрозах;
• сведения TLS/SSL.

Геолокация и добавление тегов

Разделение трафика по местоположению: предварительно заданные параметры и обнаружение сигнатур позволяют фильтровать приложения по географическому признаку, чтобы средства могли сосредоточиться на детальной видимости. Можно быстро устранить проблему приложения на определенном удаленном объекте, точно указав местоположение и приложение, например проблемы VoIP в офисе в Великобритании. Чтобы блокировать трафик из определенных местоположений, используйте Keysight ATI Research Center: это позволяет блокировать весь трафик в недоверенные страны и из них, значительно сокращая поверхность атаки.

• направление трафика сеансов приложений подходящим средствам в вашем портфеле по региону, стране, городу и во многих случаях по широте и долготе;
• быстрая настройка фильтров без ручного написания сценариев;
• поддержка настраиваемых местоположений, например частных IP-адресов.

Data Masking Plus для номеров кредитных карт и социального страхования

Обеспечивайте соответствие стандарту безопасности данных индустрии платежных карт (Payment Card Industry Data Security Standard, PCI-DSS), HIPAA и другим нормативным требованиям с помощью предварительно заданных шаблонов данных. Поскольку по сети передаются персональные данные, безопасность имеет ключевое значение для защиты ваших потребителей и вашей организации.

• предварительно заданные шаблоны маскирования, включая номера основных кредитных карт, номера социального страхования (SSN) и адреса электронной почты;
• сокращение числа ложных срабатываний благодаря встроенной проверке номеров кредитных карт по алгоритму Луна;
• дополнительное использование стандартного маскирования данных на уровне пакетов с задаваемым пользователем смещением и любым количеством байтов.

Требования к продукту CloudLens

Функции продукта CloudLens

Лицензирование продукта CloudLens

Найдите свою платформу

Стеки
NetStack		Надёжная фильтрация, агрегация, репликация и многое другое... Узнать больше: NetStack Software Suite | Keysight
PacketStack		Интеллектуальная фильтрация, модификация и транспортировка пакетов Узнать больше: PacketStack Software Suite | Keysight
PacketStack +		Расширенная обработка пакетов на полной линейной скорости Узнать больше: PacketStack+ Software Suite | Keysight
AppStack		Контекстно-зависимая фильтрация уровня приложений на основе сигнатур Узнать больше: AppStack Software Suite | Keysight
SecureStack		Оптимизированная обработка защищённого трафика Узнать больше: SecureStack Software Suite | Keysight
MobileStack		Интеллектуальная видимость, адаптированная для усовершенствованного пакетного ядра мобильного оператора Узнать больше: MobileStack Software Suite | Keysight
TradeStack		Управление данными рыночных потоков Узнать больше: TradeStack Software Suite | Keysight
AIStack		Управление данными приложений ИИ Узнать больше: AIStack Software Suite | Keysight

Узнайте больше о решениях Keysight Visibility