Проектирование гибридной защиты: почему UTM и IDS должны работать вместе в корпоративной безопасности Windows.

Отделам корпоративной безопасности обычно предлагаются два варианта: либо использование систем унифицированного управления угрозами (UTM) для создания единого периметра, либо решение IDS, которое может обеспечить более глубокое понимание сетевой активности. Однако, рассматривая решения для корпоративных сред, работающих на продуктах Microsoft Windows, кажется, что обе стороны фокусируются не на том вопросе. Аргумент поставщиков UTM, которые позиционируют свой продукт как «универсальное решение» для ИТ-персонала с ограниченными временными ресурсами, заключается в том, что устройство UTM предоставляет все необходимые функции (брандмауэр, VPN, антивирус и т. д.) в одном устройстве. С другой стороны, поставщики специализированных устройств IDS утверждают, что включение этих дополнительных функций снижает эффективность работы IDS. Таким образом, организации, обеспечивающие защиту сетей Windows, продолжают подвергаться повышенному риску из-за такого подхода.

Инженер по кибербезопасности Самуэль Беми исследовал этот пробел посредством контролируемой сравнительной оценки Snort, системы обнаружения вторжений с открытым исходным кодом, и pfSense, платформы унифицированной безопасности с открытым исходным кодом, в виртуализированной корпоративной среде Windows 11. Его оценка выходит за рамки традиционного вопроса о том, обнаруживает ли средство безопасности атаку, и рассматривает, сохраняет ли это обнаружение операционную ценность после учета ложных срабатываний, задержки, пропускной способности и использования ресурсов.

Одного лишь обнаружения недостаточно, чтобы понять всю картину.

В эксперименте были смоделированы три наиболее распространенных типа атак, с которыми сталкиваются организации: ICMP-флуд-атаки, сканирование портов и служб, а также атаки типа «отказ в обслуживании». Snort и pfSense были настроены для защиты хоста под управлением Windows 11 в изолированной сети, специально созданной для тестирования.

Результаты оказались скорее проясняющими, чем обнадеживающими. Snort обнаружил 100% попыток ICMP-флуда и 100% трафика типа «отказ в обслуживании», а также выявил подавляющее большинство попыток сканирования портов. В контролируемой тестовой среде Snort продемонстрировал высокую эффективность обнаружения протестированных типов трафика. Но более важным выводом стало то, что эффективность обнаружения сопровождалась компромиссами в операционном плане. Наряду с этим успехом наблюдался достаточно высокий уровень ложных срабатываний, имеющий существенное операционное значение, а также измеримое увеличение задержки сети и значительное снижение пропускной способности после активации обеих систем.

Оценка Беми смещает вопрос с «какой механизм безопасности обнаруживает больше атак?» на более важный: «остается ли архитектура безопасности эффективной, если учитывать точность обнаружения, ложные срабатывания и операционные издержки?». Вместо независимой оценки средств обнаружения вторжений (IDS) и управления мобильными устройствами (UTM), подход Беми рассматривает взаимодействие точности обнаружения, ложных срабатываний, потребления ресурсов и производительности сети при развертывании этих средств в одной и той же корпоративной среде. Такая перспектива предоставляет группам безопасности более практичную основу для проектирования многоуровневой архитектуры защиты, где защита оценивается не только по тому, какие угрозы обнаруживает средство контроля, но и по тому, насколько эффективно оно работает в более широкой сети.

«Стопроцентный уровень обнаружения нельзя оценивать изолированно, — говорит Беми. — Если достижение такого результата приводит к значительному количеству ложных срабатываний, задержкам или снижению пропускной способности, то систему безопасности необходимо оценивать как операционную систему, а не просто как механизм обнаружения».

Что упускает из виду только UTM?

Аргумент Беми заключается в том, что IDS никогда не заменит и не превзойдёт UTM. Вместо этого, по его словам, оба инструмента решают две разные задачи одной и той же проблемы. Первый уровень — это обеспечение безопасности периметра (брандмауэр, завершение VPN-соединения, управление трафиком, блокировка заведомо вредоносного трафика) при условии правильных настроек устройств UTM, таких как pfSense. Второй уровень, который решает IDS, — это то, что происходит после того, как вы разрешили что-то пройти через первый уровень. Этот второй уровень обеспечивает уровень детализации, который невозможно воспроизвести с помощью одного только UTM. В частности, это было очень очевидно во время тестирования и оценки Беми, основанных на возможностях обнаружения и влиянии на операционную деятельность.

«UTM определяет, следует ли допускать трафик в сеть», — заявляет Беми. «IDS отвечает на совершенно другой вопрос: теперь, когда трафик находится внутри сети, выглядит ли он аномальным?» Беми отметил, что предприятия, использующие только UTM, обычно принимают только одно решение относительно разрешения трафика через межсетевой экран/VPN-терминал. Затем они просто полагаются на то, что все проходящее через него соединение будет безопасным».

Стоимость ресурсов — это фактор, учитываемый при проектировании, а не второстепенный аспект.

Один из важнейших выводов исследования заключается в том, что многоуровневая защита не является операционной бесплатной. Запуск обоих контрольных механизмов увеличил загрузку ЦП и памяти, а также привел к дополнительной задержке в сети, демонстрируя, что архитектуру безопасности нельзя оценивать исключительно по эффективности обнаружения.

Он утверждает, что практическое препятствие для гибридной защиты часто заключается не столько в том, могут ли средства контроля работать вместе, сколько в том, спланировали ли организации необходимые мощности, настройку и мониторинг. «Никто не оспаривает, что многоуровневая защита — это правильная архитектура, — говорит он. — Сопротивление возникает на этапе внедрения, когда небольшая ИТ-команда понимает, что для правильного функционирования обеих систем необходимо планирование мощностей, настройка правил для снижения количества ложных срабатываний и постоянный анализ журналов. Это вопрос ресурсов, а не технологий. Но отказ от этого не устраняет риск; он просто переносит риск из сети в бизнес».

Практический путь вперед

Для организаций, которые по-прежнему рассматривают это как бинарное решение о покупке, практическое значение оценки Беми заключается не в том, что каждая организация должна развертывать оба средства контроля без разбора. Вместо этого архитекторам безопасности следует рассматривать UTM и IDS как взаимодополняющие средства контроля, оценивать их совместную производительность в реалистичных условиях трафика и рассчитывать инфраструктуру и мощности мониторинга с учетом возникающих операционных издержек.

Заключение

Задача обеспечения безопасности корпоративных систем Windows заключается не в выборе между UTM и IDS, а в разработке архитектуры, в которой оба средства защиты охватывают разные уровни одной и той же угрозы. Оценка компании Bemi показывает, что одних только показателей обнаружения недостаточно для определения эффективности безопасности; важны также ложные срабатывания, задержка, пропускная способность, потребление ресурсов и усилия, необходимые для работы средств защиты. Поэтому отрасли необходимо выйти за рамки сравнений продуктов и оценить, как средства защиты работают вместе в реальных корпоративных условиях. На практике UTM может обеспечить первый уровень защиты периметра, в то время как IDS обеспечивает более глубокий анализ подозрительной активности, которая может проходить через эту границу. Организации, рассматривающие гибридный подход, должны протестировать объединенную архитектуру на репрезентативных рабочих нагрузках и установить четкие пороговые значения производительности, ложных срабатываний и использования ресурсов до развертывания. Им также следует планировать постоянную настройку правил, мониторинг, управление мощностью и привлечение аналитиков, а не рассматривать это как второстепенные операционные задачи. В конечном счете, эффективная многоуровневая защита зависит не просто от развертывания большего количества инструментов безопасности, а от обеспечения того, чтобы взаимодополняющие средства контроля работали вместе таким образом, чтобы это было измеримо, устойчиво и соответствовало оперативным потребностям организации.

Поделиться этой статьей: