Návrh hybridní obrany: Proč by UTM a IDS měly spolupracovat v podnikovém zabezpečení Windows

Podniková bezpečnostní oddělení se obvykle setkávají se dvěma možnostmi: buď s použitím unifikovaných systémů pro správu hrozeb (UTM) k dosažení jednotného perimetru, nebo s řešením IDS, které může nabídnout lepší přehled o síťové aktivitě. Při zvažování řešení pro podniková prostředí běžící na produktech založených na Microsoft Windows se však zdá, že se obě strany zaměřují na špatný problém. Argument dodavatelů UTM, kteří své produkty propagují jako „kompletní řešení“ pro IT pracovníky s omezenými časovými zdroji, spočívá v tom, že zařízení UTM poskytuje všechny potřebné funkce (firewall, VPN, antivirus atd.) v rámci jedné jednotky. Na druhou stranu dodavatelé specializovaných zařízení IDS tvrdí, že zahrnutí těchto dodatečných funkcí snižuje efektivitu funkce IDS. Organizace poskytující ochranu sítí Windows jsou proto v důsledku tohoto způsobu myšlení i nadále vystaveny zvýšenému riziku.

Kybernetický bezpečnostní inženýr Samuel Bemi zkoumal tuto mezeru prostřednictvím kontrolovaného srovnávacího hodnocení systémů Snort, open-source systému pro detekci narušení, a pfSense, open-source unifikované bezpečnostní platformy, ve virtualizovaném podnikovém prostředí Windows 11. Jeho hodnocení jde nad rámec konvenční otázky, zda bezpečnostní kontrola detekuje útok, a zkoumá, zda tato detekce zůstává provozně hodnotná, i když se vezmou v úvahu falešně pozitivní výsledky, latence, propustnost a využití zdrojů.

Samotná detekce neřekne celý příběh

Experiment simuloval tři nejběžnější vzory útoků, kterým organizace čelí: útoky typu ICMP flood, skenování portů a služeb a provoz typu denial-of-service. Snort i pfSense byly nakonfigurovány tak, aby chránily hostitele s Windows 11 uvnitř izolované sítě vytvořené speciálně pro testování.

Výsledky byly objasňující, nikoli uklidňující. Snort detekoval 100 procent pokusů o zahlcení ICMP a 100 procent provozu typu „denial-of-service“ a identifikoval velkou většinu pokusů o skenování portů. V kontrolovaném testovacím prostředí dosáhl Snort silného detekčního výkonu v porovnání s testovanými vzorci provozu. Důležitějším zjištěním však bylo, že detekční výkon přicházel s provozními kompromisy. Vedle tohoto úspěchu byla míra falešně pozitivních výsledků dostatečně vysoká, aby byla provozně významná, spolu s měřitelným zvýšením latence sítě a významným poklesem propustnosti, jakmile byly oba systémy aktivní.

Bemiho hodnocení posouvá otázku z „který bezpečnostní prvek detekuje více útoků?“ na závažnější otázku: „zůstává bezpečnostní architektura efektivní, když se přesnost detekce, falešně pozitivní výsledky a provozní režie berou v úvahu společně?“ Spíše než aby se kontroly IDS a UTM posuzovaly nezávisle, Bemiho přístup zkoumá, jak přesnost detekce, falešně pozitivní výsledky, spotřeba zdrojů a výkon sítě vzájemně ovlivňují, když jsou kontroly nasazeny ve stejném podnikovém prostředí. Tato perspektiva poskytuje bezpečnostním týmům praktičtější základ pro navrhování architektur hloubkové obrany, kde se ochrana posuzuje nejen podle toho, jaké hrozby daný prvek detekuje, ale také podle toho, jak efektivně funguje v rámci širší sítě.

„Stoprocentní míru detekce nelze hodnotit izolovaně,“ říká Bemi. „Pokud dosažení tohoto výsledku přináší významné falešné poplachy, latenci nebo snížení propustnosti, je nutné bezpečnostní kontrolu posuzovat jako operační systém, nikoli pouze jako detekční mechanismus.“

Co UTM samotnému Mmine

Bemiho argument je, že IDS nikdy nenahradí ani nepřekoná UTM. Místo toho říká, že oba nástroje řeší dvě různé vrstvy stejného problému. První vrstvou je vynucení perimetru (firewalling, ukončení VPN, tvarování provozu, blokování provozu známých jako škodlivých), pokud máte správná nastavení u svých UTM zařízení, jako je pfSense. Druhá vrstva, kterou IDS řeší, je to, co se stane poté, co něco povolíte za první vrstvu. Tato druhá vrstva poskytuje úroveň detailů, kterou nelze replikovat pouze pomocí UTM. To bylo zejména velmi patrné během testování a hodnocení Bemiho založeného na detekční schopnosti a provozním dopadu.

„UTM určuje, zda by měl být provoz vpuštěn do sítě,“ uvádí Bemi. „IDS odpovídá na zcela jinou otázku; konkrétně, zda se nyní, když je provoz uvnitř sítě, jeví jako anomální?“ Bemi uvedl, že podniky, které používají pouze UTM, obvykle dělají pouze jedno rozhodnutí týkající se povolení provozu přes firewall/zařízení pro ukončení VPN. Pak se jednoduše spoléhají na to, že cokoli, co prochází, je bezpečné.“

Náklady na zdroje jsou vstupem pro návrh, nikoli dodatečnou myšlenkou

Jedním z nejdůležitějších zjištění studie je, že hloubková ochrana není provozně nezávislá. Spuštění obou kontrol zvýšilo využití CPU a paměti a zavedlo dodatečnou latenci sítě, což dokazuje, že bezpečnostní architekturu nelze hodnotit pouze na základě účinnosti detekce.

Tvrdí, že praktická překážka hybridní obrany často nespočívá ani tak v tom, zda mohou kontrolní mechanismy fungovat společně, jako spíše v tom, zda organizace naplánovaly kapacitu, ladění a monitorování, které potřebují. „Nikdo nezpochybňuje, že hloubková obrana je ta správná architektura,“ říká. „Odpor se objevuje při implementaci, když si menší IT tým uvědomí, že správné fungování obojího znamená plánování kapacity, ladění pravidel pro snížení falešně pozitivních výsledků a průběžnou kontrolu protokolů. To je diskuse o zdrojích, nikoli o technologiích. Ale jejím vynecháním se riziko neodstraní; pouze se riziko přesune ze sítě do podniku.“

Praktická cesta vpřed

Pro organizace, které toto stále považují za binární nákupní rozhodnutí, praktickým důsledkem Bemiho hodnocení není to, že by každá organizace měla nasadit oba ovládací prvky bez rozdílu. Bezpečnostní architekti by místo toho měli považovat UTM a IDS za doplňkové ovládací prvky, vyhodnotit jejich kombinovaný výkon za realistických provozních podmínek a dimenzovat infrastrukturu a monitorovací kapacitu s ohledem na výsledné provozní náklady.

Závěr

Výzvou pro podnikové zabezpečení Windows není volba mezi UTM a IDS, ale návrh architektury, v níž obě kontroly řeší různé vrstvy stejného prostředí hrozeb. Hodnocení společnosti Bemi ukazuje, že míra detekce sama o sobě neurčuje účinnost zabezpečení; důležité jsou také falešně pozitivní výsledky, latence, propustnost, spotřeba zdrojů a úsilí potřebné k provozování kontrol. Odvětví se proto musí posunout od pouhého srovnávání produktů a posoudit, jak bezpečnostní kontroly fungují společně v realistických podnikových podmínkách. V praxi může UTM poskytnout první vrstvu vynucování perimetru, zatímco IDS přidává hlubší přehled o podezřelé aktivitě, která může tuto hranici projít. Organizace zvažující hybridní přístup by měly kombinovanou architekturu otestovat na reprezentativních pracovních zátěžích a před nasazením stanovit jasné prahové hodnoty pro výkon, falešně pozitivní výsledky a využití zdrojů. Měly by také plánovat průběžné ladění pravidel, monitorování, správu kapacity a zapojení analytiků, spíše než aby je považovaly za druhotné provozní záležitosti. Efektivní hloubková ochrana v konečném důsledku nezávisí pouze na nasazení více bezpečnostních nástrojů, ale na zajištění toho, aby doplňkové kontroly fungovaly společně způsobem, který je měřitelný, udržitelný a v souladu s provozními potřebami organizace.

Sdílet tento článek: