Hybridipuolustuksen arkkitehtuuri: Miksi UTM:n ja IDS:n tulisi toimia yhdessä Windows-yritysten tietoturvassa

Yritysten tietoturvaosastoille on tyypillisesti esitetty yksi kahdesta vaihtoehdosta: joko yhtenäisten uhkien hallintajärjestelmien (UTM) käyttö yhtenäisen reunan saavuttamiseksi tai IDS-ratkaisu, joka voi tarjota paremman käsityksen verkon toiminnasta. Kuitenkin, kun tarkastellaan ratkaisuja Microsoft Windows -pohjaisilla tuotteilla toimiville yritysympäristöille, näyttää siltä, ​​että molemmat osapuolet keskittyvät väärään asiaan. UTM-toimittajien, jotka markkinoivat tuotettaan "yhden luukun palveluna" rajallisten aikaresurssien omaavalle IT-henkilöstölle, argumentti on, että UTM-laite tarjoaa kaikki tarvittavat toiminnot (palomuuri, VPN, virustorjunta jne.) yhdessä yksikössä. Toisaalta erikoistuneiden IDS-laitteiden toimittajat väittävät, että näiden lisätoimintojen sisällyttäminen heikentää IDS-toiminnon tehokkuutta. Siten Windows-verkkoja suojaavat organisaatiot ovat edelleen lisääntyneessä riskissä tämän ajattelutavan vuoksi.

Kyberturvallisuusinsinööri Samuel Bemi tutki tätä aukkoa kontrolloidun vertailevan arvioinnin avulla, jossa vertailtiin avoimen lähdekoodin tunkeutumisen havaitsemisjärjestelmää Snortia ja avoimen lähdekoodin yhtenäistä tietoturva-alustaa pfSenseä virtualisoidussa Windows 11 -yritysympäristössä. Hänen arviointinsa menee pidemmälle kuin perinteinen kysymys siitä, havaitseeko tietoturvakontrolli hyökkäyksen, ja tutkii, onko havaitseminen edelleen toiminnallisesti arvokasta, kun otetaan huomioon väärät positiiviset tulokset, viive, läpimenoaika ja resurssien käyttöaste.

Pelkkä havaitseminen ei kerro koko totuutta

Kokeilu simuloi kolmea yleisintä organisaatioiden kohtaamaa hyökkäysmallia: ICMP-tulvahyökkäykset, porttien ja palveluiden skannaus sekä palvelunestohyökkäysliikenne. Sekä Snort että pfSense konfiguroitiin puolustamaan Windows 11 -isäntää eristetyssä verkossa, joka oli rakennettu erityisesti testausta varten.

Tulokset olivat selventäviä, eivät lohduttavia. Snort havaitsi 100 prosenttia ICMP-tulvayrityksistä ja 100 prosenttia palvelunestoliikenteestä ja tunnisti valtaosan porttiskannausyrityksistä. Kontrolloidussa testiympäristössä Snort saavutti vahvan tunnistuskyvyn testattuja liikennemalleja vastaan. Mutta tärkeämpi havainto oli, että tunnistuskykyyn liittyi toiminnallisia kompromisseja. Tämän menestyksen rinnalla väärien positiivisten tulosten määrä oli riittävän korkea ollakseen toiminnallisesti merkittävä, samoin kuin mitattavissa oleva verkon viiveen kasvu ja merkittävä läpimenon lasku, kun molemmat järjestelmät olivat aktiivisia.

Bemin arviointi siirtää kysymyksen "kumpi tietoturvakontrolli havaitsee enemmän hyökkäyksiä?" merkityksellisempään kysymykseen: "pysyykö tietoturva-arkkitehtuuri tehokkaana, kun havaitsemistarkkuus, väärät positiiviset ja operatiiviset kustannukset otetaan huomioon yhdessä?" Sen sijaan, että Bemin lähestymistapa arvioisi IDS- ja UTM-kontrolleja erikseen, hän tarkastelee, miten havaitsemistarkkuus, väärät positiiviset, resurssien kulutus ja verkon suorituskyky vaikuttavat toisiinsa, kun kontrollit otetaan käyttöön samassa yritysympäristössä. Tämä näkökulma tarjoaa tietoturvatiimeille käytännöllisemmän pohjan syvyyssuuntautuneiden puolustusarkkitehtuurien suunnittelulle, jossa suojausta arvioidaan paitsi sen perusteella, mitä uhkia kontrolli havaitsee, myös sen perusteella, kuinka tehokkaasti se toimii laajemmassa verkossa.

”Sadan prosentin havaitsemisastetta ei voida arvioida erillään muista”, Bemi sanoo. ”Jos tuloksen saavuttaminen aiheuttaa merkittäviä vääriä positiivisia tuloksia, viivettä tai tiedonsiirtonopeuden heikkenemistä, tietoturvakontrollia on arvioitava operatiivisena järjestelmänä eikä pelkästään havaitsemismekanismina.”

Mitä UTM yksinään jättää huomiotta

Bemin argumentti on, että IDS ei koskaan korvaa tai päihitä UTM:ää. Sen sijaan hän sanoo, että molemmat työkalut ratkaisevat saman ongelman kaksi eri tasoa. Ensimmäinen taso on perimeter-valvonta (palomuuri, VPN-päättäminen, liikenteen muokkaus, tunnetun haitallisen liikenteen estäminen), kunhan UTM-laitteissasi, kuten pfSense-laitteissasi, on oikeat asetukset. Toinen taso, johon IDS puuttuu, on se, mikä tapahtuu sen jälkeen, kun sallit jotain ensimmäisen tason ohi. Tämä toinen taso tarjoaa yksityiskohtaisuuden tason, jota UTM ei voi pelkästään toistaa. Tämä oli erityisen ilmeistä Bemin testauksen ja arvioinnin aikana, joka perustui havaitsemiskykyyn ja operatiiviseen vaikutukseen.

”UTM määrittää, pitäisikö liikennettä päästää verkkoon”, Bemi toteaa. ”IDS vastaa täysin eri kysymykseen; nimittäin, näyttääkö nyt, kun se on verkon sisällä, poikkeavalta?” Bemin mukaan yritykset, jotka käyttävät vain UTM:ää, tekevät tyypillisesti vain yhden päätöksen liikenteen päästämisestä palomuurin/VPN:n päätelaitteen läpi. Sitten he yksinkertaisesti luottavat siihen, että kaikki läpi kulkeva on turvallista.”

Resurssikustannukset ovat suunnittelussa huomioitava tekijä, eivät jälkikäteen ajateltu tekijä

Yksi tutkimuksen tärkeimmistä havainnoista on, että syvyyssuuntainen puolustus ei ole toiminnallisesti vapaata. Molempien käyttäminen lisää prosessorin ja muistin käyttöastetta ja lisää verkon viivettä, mikä osoittaa, että tietoturva-arkkitehtuuria ei voida arvioida pelkästään havaitsemistehokkuuden perusteella.

Hän väittää, että hybridipuolustuksen käytännön este ei niinkään liity siihen, toimivatko kontrollit yhdessä, vaan pikemminkin siihen, ovatko organisaatiot suunnitelleet tarvitsemaansa kapasiteettia, viritystä ja valvontaa. "Kukaan ei kiistä, etteikö syvyyssuuntainen puolustus olisi oikea arkkitehtuuri valkotaululla", hän sanoo. "Vastustus syntyy käyttöönoton yhteydessä, kun pienempi IT-tiimi tajuaa, että molempien asianmukainen käyttö tarkoittaa kapasiteettisuunnittelua, sääntöjen viritystä väärien positiivisten tulosten vähentämiseksi ja jatkuvaa lokien tarkistusta. Kyseessä on resursointikeskustelu, ei teknologiakeskustelu. Mutta sen ohittaminen ei poista riskiä; se vain siirtää riskin verkosta liiketoimintaan."

Käytännön tie eteenpäin

Organisaatioille, jotka edelleen käsittelevät tätä binäärisenä ostopäätöksenä, Bemin arvioinnin käytännön merkitys ei ole se, että jokaisen organisaation tulisi ottaa käyttöön molemmat kontrollit erotuksetta. Sen sijaan tietoturva-arkkitehtien tulisi käsitellä UTM:ää ja IDS:ää toisiaan täydentävinä kontrollina, arvioida niiden yhdistettyä suorituskykyä realistisissa liikenneolosuhteissa ja mitoittaa infrastruktuuri ja valvontakapasiteetti syntyvien operatiivisten lisäkustannusten mukaan.

Yhteenveto

Windows-yritysten tietoturvan haasteena ei ole valita UTM:n ja IDS:n välillä, vaan sellaisen arkkitehtuurin suunnittelu, jossa molemmat kontrollit käsittelevät saman uhkamaiseman eri kerroksia. Bemin arviointi osoittaa, että pelkät havaitsemisasteet eivät määritä tietoturvan tehokkuutta; myös väärillä positiivisilla, viiveellä, läpäisykyvyllä, resurssien kulutuksella ja kontrollien käyttämiseen tarvittavalla työmäärällä on merkitystä. Siksi toimialan on mentävä tuote-tuote-vertailuista pidemmälle ja arvioitava, miten tietoturvakontrollit toimivat yhdessä realistisissa yritysolosuhteissa. Käytännössä UTM voi tarjota ensimmäisen tason perimeter-valvonnassa, kun taas IDS lisää syvempää näkyvyyttä epäilyttävään toimintaan, joka voi kulkea kyseisen rajan läpi. Hybridi-lähestymistapaa harkitsevien organisaatioiden tulisi testata yhdistettyä arkkitehtuuria edustavia työkuormia vasten ja asettaa selkeät kynnysarvot suorituskyvylle, väärille positiivisille ja resurssien käytölle ennen käyttöönottoa. Niiden tulisi myös suunnitella jatkuvaa sääntöjen hienosäätöä, valvontaa, kapasiteetin hallintaa ja analyytikoiden osallistumista sen sijaan, että niitä kohdeltaisiin toissijaisina operatiivisina huolenaiheina. Viime kädessä tehokas syvyyssuuntainen puolustus ei riipu pelkästään useampien tietoturvatyökalujen käyttöönotosta, vaan sen varmistamisesta, että täydentävät kontrollit toimivat yhdessä mitattavalla, kestävällä ja organisaation operatiivisten tarpeiden mukaisella tavalla.

Jaa tämä artikkeli: