Extreme Fabric Connect: niewidoczna sieć

Klienci często podkreślają, że ich największą obawą w kontekście bezpieczeństwa IT jest podatność na włamania do sieci. Zasadniczym problemem w przypadku konwencjonalnej topologii sieciowej jest możliwość jej stosunkowo łatwego zmapowania. Z jednej strony ułatwia to zarządzanie zespołom IT, lecz z drugiej – stanowi dogodny punkt zaczepienia dla ewentualnych hakerów.

Wynika to z faktu, iż większość sieci firmowych wyewoluowała w kierunku tzw. architektury „collapsed backbone”, w której wszystkie segmenty sieci komputerowej są połączone przez jedno centralnie usytuowane urządzenie intersieciowe (hub, przełącznik, router). W praktyce, w celu obsługi poszczególnych grup urządzeń i użytkowników, administratorzy konfigurują wiele wirtualnych sieci LAN (VLAN). Tablice routingu w warstwie sieciowej są wypełniane wszystkimi znanymi trasami, prowadząc do sytuacji w której domyślnym rodzajem transmisji jest komunikacja „każdy z każdym”.

W takim układzie szczególnie „wrażliwe” są urządzenia IoT, którym zazwyczaj brakuje wbudowanych systemów bezpieczeństwa i które nie są chronione przez firewalle. Jeśli sieć bazuje na statycznych adresach IP i haker zdoła się do niej włamać, prawdopodobnie z łatwością zdoła uzyskać dostęp do wrażliwych danych, takich jak historie chorób pacjentów, płatności klientów czy serwery monitoringu wideo, korzystając z dość prostych technik skanujących adresy IP. Źródło ataku może się więc znajdować zarówno na zewnątrz, jak i wewnątrz sieci.

Zasadnicze pytanie brzmi więc: jak ustrzec się przed nieautoryzowanym ruchem bocznym w sieci?

Technologia Extreme Fabric Connect stanowi całkowicie inne podejście do kwestii kierowania ruchu sieciowego, niż ma to miejsce w przypadku tradycyjnych sieci komputerowych. Ponieważ w sieci typu fabric całość komunikacji odbywa się w warstwie 2 (Ethernet), jej topologia pozostaje całkowicie niewidoczna z perspektywy IP. Brak opcji hop-by-hop przenoszącej informację, która musi być sprawdzana i przetwarzana w każdym węźle wzdłuż drogi przesyłania pakietu oznacza, że haker skanujący adresy IP zobaczy jedynie adres wyjściowy. Nawet, jeśli zdoła uzyskać dostęp, całkowita topologia sieci pozostaje ukryta.

Dlatego też zamiast konwencjonalnego modelu „każdy z każdym”, komunikacja w sieci typu fabric odbywa się na zasadzie „jeden do jednego”. Przykładowo: dwa urządzenia komunikują się ze sobą poprzez przełącznik/router – ponieważ należą do tego samego VSNu, konfiguracja połączenia odbywa się wyłącznie na brzegu sieci fabricowej. Komunikacja pomiędzy różnymi usługami w oddzielnych VSNach będzie zablokowana, chyba że zadecydujemy inaczej.

Co więcej, owe VSNy (Virtual Service Networks), o których szerzej pisaliśmy w poprzednim artykule, są rozciągane i wycofywane dynamicznie, wyłącznie na czas trwania danej sesji, tj. w miarę, jak użytkownicy i urządzenia łączą się i odłączają od sieci. W momencie gdy użytkownik odłącza się, pozostająca konfiguracja danej usługi jest automatycznie usuwana z przełączników brzegowych, eliminując tym samym „tyle furtki”, przez które mogliby się przedostawać hakerzy.

Stare powiedzenie mówi, że najlepszą obroną jest atak. W naszym przypadku należałoby nieco przeformułować to zdanie: najlepszą obroną jest niedopuszczenie do ataku!

Zasadniczą korzyścią, jaka wynika z z ukrycia topologii sieci firmowej jest praktyczny brak możliwości uzyskania przez atakującego dostępu do wrażliwych obszarów w naszej sieci. Dane i zasoby o krytycznym znaczeniu nie tylko są zabezpieczone przed typowymi skanerami IP czy atakami DoS – nawet, jeśli haker zdoła spenetrować sieć, szkody jakie może wyrządzić są ograniczone do minimum.

To ważna informacja dla wielu firm i organizacji, zwłaszcza z sektora publicznego, finansowego czy medycznego, które muszą spełniać rygorystyczne wymagania ochrony danych, takie jak RODO. Topologia stealth stanowi świetne uzupełnienie dla metod i standardów weryfikacji, takich jak np. PCI w przypadku transakcji finansowych.

Co więcej, technologia Extreme Fabric Connect ułatwia skuteczną ochronę urządzeń IoT. Sprzęt tego typu często musi być podłączany do sieci na szybko, bez potrzeby angażowania w to specjalistów z działu IT. Extreme Fabric Connect eliminuje ryzyko back dooru, które normalnie towarzyszyłoby sieci konfigurowanej ręcznie.

Ale nie musicie nam wierzyć na słowo – spójrzmy na przykład Université libre de Bruxelles. Jedna z największych i najbardziej cenionych uczelni badawczych w Belgii zmagała się niegdyś z problemem, jaki wynikał z faktu że wszystkie stanowiska pracy korzystały z publicznych adresów IP. Dzięki hipersegmentacji (o której szerzej opowiedzieliśmy w poprzednim wpisie) oraz topologii stealth, zespół IT uniwersytetu zdołał umieścić kamery monitoringu czy telefony VoIP w osobnych segmentach, izolując je od ruchu użytkowników.

Zainteresowały Cię możliwości, jakie oferuje Extreme Fabric Connect? Chciałbyś poznać bardziej szczegółowo technologię stojącą za tym rozwiązaniem?

Zachęcamy Cię do sprawdzenia e-booka „Fabric Connect Key Capabilities”, który zapewnia kompleksowy wgląd we wszystkie możliwości i przydatne funkcje w odniesieniu do obszarów takich jak OA&M, infrastruktura, usługi sieciowe, routing, centra danych, brzeg sieci kampusowej czy lokalizacje zdalne. Kliknij poniższy przycisk, aby zacząć! 👇

W następnym i ostatnim już artykule z serii “Przewodnik po Fantastic Fabric” pokażemy, jak zwiększyć bezpieczeństwo Twojej sieci poprzez większą automatyzację zadań i procesów.