虛擬雲網路

網路虛擬化NSX 技術文章系列二百六十四: VMware網路安全新方案簡述(一)

作者: Colin Jao 饒康立 – VMware資深技術顧問,主要負責VMware NSX產品線,目前致力於網路虛擬化、分散式安全防護技術與新應用遞送方案的介紹與推廣。

VMware在2020年中買下了Lastline公司。Lastline一直是在NDR (Network Detection and Response) 方案,包含於惡意軟體偵測、基於AI / Machine-Learning技術進行網路流分析等領域,都是處於領導地位的資安廠商。在Lastline加入後,VMware除了原本協助客戶保護虛機的微分段防火牆外,能夠更進一步提供下列的進階網路安全防護機制:

  • 強化的入侵偵測及防護功能 (Intrusion Detection and Prevention)
  • 惡意軟體偵測與阻擋 (Malware Prevention)
  • 異常網路流分析 (Network Traffic Analysis, Suspicious Traffic)
  • 整合之安全事件分析介面 (Network Detection and Response)

在NSX-T 3.2版開始,上述Lastline安全功能已經整合入方案架構內,產品上稱為進階威脅防護 (Advanced Threat Prevention, ATP) 功能。本系列網誌內會分別對各個防護機制進行介紹,但在本篇,我想很快地以幾個架構圖做為起頭,快速地從大家熟悉的微分段防火牆開始,就目前各個VMware於網路端提供之安全功能進行簡單描述。

0. 未採用東西向防護時,駭客肆意於資料中心內橫行

傳統企業進行網路安全防護著重於南北向保護。但若惡意攻擊者透過合法途徑內的應用弱點,或IT未注意或疏於防範的其他途徑進入資料中心取得跳板,且於企業資料中心內、工作負載前並未部署東西向的防護機制。此時企業難以對駭客在應用間的橫向探測與攻擊進行防範,進而造成安全攻擊事件在企業內不同機器不同業務陸續發生,造成實際的資料洩漏與業務中斷運作損失。

1. 建立分散式東西向防火牆,保護每個工作負載,降低攻擊平面

NSX Distributed Firewall直接運作於vSphere內對每個虛機提供防火牆保護。藉由部署NSX分散式防火牆機制,企業將能

  • 透過L4 / L7 防火牆機制,限制僅有指定之IP範圍、協議、應用型態之連線可以通過,同時亦支持基於FQDN的連線檢查。
  • 大幅阻擋駭客的探測工具使用,減少對重要業務的可攻擊平面 (Attack Surface)
  • 不受網路架構限制,各虛機即使在相同網段、相同 vSphere內,均可完整對所有網路連線進行檢查

2. 就已知攻擊特徵進行檢查與即時攔截 (IDPS)

透過防火牆我們限制了駭客能夠對工作負載進行探測與攻擊的途徑,但仍有多種攻擊是透過應用程式新被發現的弱點,且在防火牆內合法放行的連線,如現有開放的Web / 資料庫連線,或標準的DNS協議來進行。此時NSX IDPS同樣在每個虛機 / 網卡前,對所有進出網路流進行現有已知攻擊特徵的比對,在新型態攻擊被發現後短時間內就能夠提供工作負載緊急防禦。

3. 就下載檔案進行比對,並透過雲端沙箱模擬器進行完整行為確認 (Malware Prevention)

多種駭客及勒索病毒攻擊牽涉到要求被攻擊目標直接下載異常檔案,或透過郵件夾檔等方式進行。NSX在vSphere以及閘道端 (Gateway) 可攔截管理者指定型態的檔案,先透過 Hash 值比對與本地分析確認檔案是否安全或有害。而未知的檔案則可送到雲端沙箱模擬器,進行完整的運作行為分析,並於確認有危險時立即提出告警。

4. 對未知網路流進行行為分析

已知的網路攻擊行為我們透過前面的IDPS特徵值即可比對出來,但未知網路攻擊或底層之探測行為就未必能有特徵值即時比對。網路流分析 (Network Traffic Analysis) 能夠由與原本應用的常態行為進行比較,在出現異常、與一般模式不相同、或是過大的流量出現時,對管理者提出告警。NSX透過整合Intelligence收集完整網路流資訊,搭配基於Machine Learning與雲端資料比對等不同技術,對用戶網路異常行為提出告警。

5. 整合安全事件,提供完整攻擊軌跡記錄 (Network Detection and Response)

如前所述,NSX能夠透過不同的手法,對已知以及未知的攻擊行為進行偵測與防禦。此時對於資安管理者來說,在重大安全事故發生時,能否有系統地將環境內不同來源的事件逐一列出並整理,提供整體事件的範圍與攻擊軌跡至為重要,而不是僅是提供海量的日誌讓資安管理者大海撈針。NSX Network Detection and Response控制台整合了IDPS、Malware Prevention、以及Network Traffic Analysis等不同安全防禦來源之事件,對於安全事件整理出統合的攻擊鏈 (Campaign),讓管理者對於事件發生的流程、影響範圍、攻擊手法與細節能夠一目瞭然。

6. 以 NSX Advanced Load Balancer 提供核心網頁業務前端防護

當然也不要忘記了在各個重要網頁應用前,只要是透過NSX Advanced Load Balancer提供負載平衡機制,都能夠一鍵啟用Web Application Firewall防護功能,針對常見的網頁型態攻擊如Cross-Site Scripting, SQL Injection, Command Injection等等提供偵測與保護。

在前面簡單的討論內我們快速地簡述了VMware目前的網路安全防護架構。在後面的系列文內,我想再逐步對各個功能進行進一步的介紹。

评论

发表评论

电子邮件地址不会被公开。

This site uses Akismet to reduce spam. Learn how your comment data is processed.