Rimani all'avanguardia grazie al Packet Slicing

Come risparmiare risorse di monitoraggio con Packet Slicing
e rispettare i requisiti legali

Problema

Spesso il divario tra la capacità del sistema di analisi della registrazione da un lato e la quantità di dati in arrivo dall'altro è così ampio che, senza opportuni meccanismi aggiuntivi, il sistema di analisi molto probabilmente non è in grado di registrare tutti i singoli pacchetti senza perdite.

Questo può rappresentare un problema importante, a seconda dello scopo del sistema di analisi, poiché ogni pacchetto è importante, soprattutto nell'ambito della sicurezza informatica, altrimenti non è possibile garantire che tutti gli attacchi e i loro effetti vengano rilevati.

Gli attacchi che non vengono rilevati in tempo o che restano addirittura del tutto invisibili possono causare danni enormi alle aziende, portando persino a richieste di risarcimento da parte di possibili assicuratori se scoprono che i loro clienti non hanno adempiuto al loro dovere di diligenza.

Ma come si verifica una situazione del genere? Può succedere molto rapidamente che networknelle aziende crescono, spesso parallelamente allo sviluppo aziendale, mentre i sistemi di analisi e monitoraggio spesso già esistenti, pianificati con le riserve in fase di approvvigionamento, raggiungono sempre più spesso l'esaurimento delle loro riserve.
L'aumento della larghezza di banda e l'aumento dei servizi e delle interfacce utilizzati nella LAN riducono le capacità al punto che i sistemi non riescono più a tenere il passo e devono scartare i pacchetti.

Da questo momento in poi, è teoricamente possibile per un aggressore rimanere inosservato nella rete locale. network, poiché il sistema di analisi è irrimediabilmente sovraccarico. L'amministratore non è più in grado di vedere quali parti nel suo network comunicano tra loro, quali protocolli utilizzano e con quali endpoint comunicano al di fuori della LAN.

Spesso, tuttavia, non sono problemi di capacità a innescare l'attivazione del Packet Slicing, bensì motivi di protezione dei dati. A seconda di dove e quali dati vengono intercettati e quando, potrebbe essere obbligatorio per l'azienda registrare e valutare solo dati che non contengano informazioni personali o relative alle prestazioni.

Mentre in genere l'intestazione del pacchetto contiene solo dati di connessione (QUANDO, CHI, COME, DOVE), i dati del payload, sebbene solitamente crittografati, contengono proprio i dati di contenuto che teoricamente consentono di misurare le prestazioni dei singoli utenti. A seconda del luogo di utilizzo, tuttavia, questo spesso non è né voluto né consentito. Bisogna quindi garantire che non sia possibile per l'amministratore ricostruire informazioni personali dai dati registrati.

Ridurre i dati di analisi mediante Packet Slicing

Ed è proprio qui che entra in gioco la funzionalità “Packet Slicing”: con questa procedura è possibile ridurre il carico di dati in arrivo sul tuo sistema di analisi fino a 87% (con una dimensione del pacchetto di 1518 byte e Packet Slicing di 192 byte) semplicemente rimuovendo i dati utente da ciascun pacchetto.

Molti approcci di analisi e monitoraggio necessitano solo delle informazioni memorizzate nell'intestazione del pacchetto, ovvero i metadati, per le loro valutazioni e analisi, mentre i dati utente spesso non contengono informazioni importanti o utilizzabili, poiché sono solitamente crittografati e quindi non possono essere utilizzati per la valutazione.
Rimuovendo i dati utente è prevedibile un notevole alleggerimento dell'istanza di elaborazione e, in alcuni casi, ciò consente una copertura ancora maggiore della LAN da parte del dispositivo di monitoraggio e analisi.

Problema di checksum FCS

Un aspetto importante del Packet Slicing è il recupero del FCS checksum di ogni pacchetto modificato. Poiché la struttura e la lunghezza del pacchetto sono influenzate dal taglio dei dati utente, il checksum calcolato in origine, che è stato calcolato dal mittente e inserito nel campo FCS dell'intestazione del pacchetto, non è più corretto.

Non appena un pacchetto di questo tipo arriva sul sistema di analisi, quei pacchetti vengono scartati o dichiarati errati, poiché il checksum nel campo FCS è ancora basato sulla lunghezza originale del pacchetto. Per contrastare questo, è essenziale che il checksum FCS venga ricalcolato e inserito anche per ogni pacchetto da cui sono stati rimossi i dati utente, poiché ciò costringerebbe altrimenti i sistemi di analisi a classificare questi pacchetti come difettosi e/o manipolati.

Network Packet Broker come affettatrice di pacchetti

In generale, ci sono diverse possibilità in cui il Packet Slicing sopra menzionato può essere attivato nella piattaforma di visibilità utilizzata dal cliente. Da un lato, questa è una decisione caso per caso, dall'altro, è anche una decisione tecnica.

Supponendo che l'utente abbia impostato più punti di misura distribuiti nel suo network  Network Packet Brokerviene spesso utilizzato. Questo dispositivo è un altro livello di aggregazione e viene in genere utilizzato come ultima istanza direttamente prima del sistema di monitoraggio. Un Network Packet Broker è otticamente molto vicino a un interruttore e consente all'utente di combinare centralmente i dati provenienti da più punti di misura (Network TAPs o porte SPAN) e inviarli aggregati in uno o più flussi di dati al sistema di analisi centrale.

Ad esempio, i dati provenienti da 10 punti di misura distribuiti impostati su linee da 1 Gigabit possono essere inviati a un sistema di analisi con una singola porta da 10 Gigabit tramite Network Packet Broker aggregando questi segnali da 1 Gigabit e reinviandoli come un singolo segnale da 10 Gigabit.

A questo punto, però, l'utente scopre un inghippo dell'intera questione: spesso i sistemi di analisi, pur essendo dotati di una connessione a 10Gigabit, non sono in grado di elaborare anche larghezze di banda di 10Gigabit/secondo.

Ciò può avere una serie di ragioni, che, tuttavia, non dovrebbero essere oggetto di questo post del blog. Tuttavia, la situazione iniziale è predestinata all'uso di Packet Slicing; mentre normalmente si dovrebbe espandere la propria infrastruttura di monitoraggio a costi immensi, attivando Packet Slicing si può ridurre massicciamente il flusso di dati in arrivo e quindi continuare a utilizzare i propri sistemi esistenti; tutto ciò che serve è un'istanza corrispondente con esattamente questa caratteristica, che di solito costa solo una frazione di quanto si stimerebbe per un aggiornamento dei sistemi di analisi.

Sistemi di analisi come affettatrici di pacchetti

Un'altra possibilità è offerta all'utente sui sistemi di analisi stessi. A seconda del produttore, della struttura e dei componenti utilizzati, è possibile rimuovere direttamente i dati utente sui sistemi stessi e ricalcolare il checksum prima che i pacchetti vengano trasmessi internamente ai moduli di analisi corrispondenti.

Nella stragrande maggioranza dei casi, un FPGA basato network A questo scopo è necessaria una scheda di memoria, poiché è necessario garantire che nessuna risorsa basata sulla CPU venga utilizzata per modificare ogni singolo pacchetto. Solo tramite capacità hardware pure l'utente può essere sicuro che ogni pacchetto venga effettivamente elaborato correttamente; qualsiasi altro approccio potrebbe nuovamente portare agli errori e ai problemi menzionati all'inizio.

Taglio dei pacchetti per soddisfare i requisiti legali

Un altro aspetto degno di nota è l'adempimento degli obblighi di legge. Soprattutto nel contesto della GDPRpotrebbe essere necessario rimuovere i dati dell'utente, poiché spesso i metadati sono sufficienti per un'analisi.

Ad esempio, se si desidera analizzare VoIP, è possibile utilizzare Packet Slicing per garantire che le persone non autorizzate non possano ascoltare la conversazione, ma è comunque possibile valutare tecnicamente la trasmissione vocale ed esaminarla per le caratteristiche di qualità del servizio. Ciò consente di valutare i valori delle prestazioni, di proteggere la privacy e di soddisfare requisiti legali come il GDPR.

Conclusione

Vediamo quindi che ci sono effettivamente diversi modi per distribuire il carico finale sui sistemi di analisi e monitoraggio o addirittura, come in questo esempio, per ridurlo senza perdere le informazioni più importanti per la creazione di grafici di performance, top talker e altro. Il Packet Slicing è quindi una soluzione valida per l'utente, che può essere facilmente implementata in quasi tutti i casi e ottiene risultati utilizzabili.