Arhitectarea apărării hibride: De ce UTM și IDS ar trebui să funcționeze împreună în securitatea întreprinderilor Windows

Departamentele de securitate ale întreprinderilor au fost de obicei prezentate cu una dintre cele două opțiuni: fie utilizarea sistemelor unificate de gestionare a amenințărilor (UTM) pentru a obține un perimetru unificat, fie o soluție IDS care poate oferi o perspectivă mai bună asupra activității rețelei. Cu toate acestea, atunci când se iau în considerare soluții pentru medii de întreprindere care rulează pe produse bazate pe Microsoft Windows, se pare că ambele părți se concentrează pe problema greșită. Argumentul furnizorilor de UTM, care își comercializează produsul ca fiind „ghișeul unic” pentru personalul IT cu resurse de timp limitate, este că un dispozitiv UTM oferă toate funcțiile necesare (firewall, VPN, antivirus etc.) într-o singură unitate. Pe de altă parte, furnizorii de dispozitive IDS specializate susțin că includerea acestor funcționalități suplimentare reduce eficacitatea funcției IDS. Ca atare, organizațiile care oferă protecție pentru rețelele Windows continuă să fie expuse unui risc crescut din cauza acestui mod de gândire.

Inginerul de securitate cibernetică Samuel Bemi a investigat această lacună printr-o evaluare comparativă controlată a Snort, un sistem open-source de detectare a intruziunilor, și pfSense, o platformă de securitate unificată open-source, într-un mediu virtualizat Windows 11 pentru întreprinderi. Evaluarea sa depășește întrebarea convențională dacă un control de securitate detectează un atac, examinând dacă detectarea respectivă rămâne valoroasă din punct de vedere operațional odată ce se iau în considerare falsurile pozitive, latența, debitul și utilizarea resurselor.

Detectarea singură nu spune toată povestea

Experimentul a simulat trei dintre cele mai frecvente tipare de atac cu care se confruntă organizațiile: atacuri ICMP flood, scanare de porturi și servicii și trafic de tip denial-of-service. Atât Snort, cât și pfSense au fost configurate pentru a apăra o gazdă Windows 11 în interiorul unei rețele izolate, construite special pentru testare.

Rezultatele au fost clarificatoare, nu reconfortante. Snort a detectat 100% din încercările de tip flood ICMP și 100% din traficul denial-of-service și a identificat marea majoritate a încercărilor de scanare a porturilor. În mediul de testare controlat, Snort a obținut performanțe puternice de detectare în raport cu modelele de trafic testate. Dar cea mai importantă constatare a fost că performanța de detectare a venit cu compromisuri operaționale. Pe lângă acest succes, s-a constatat o rată de fals pozitive suficient de mare pentru a fi semnificativă din punct de vedere operațional, alături de o creștere măsurabilă a latenței rețelei și o scădere semnificativă a debitului odată ce ambele sisteme au fost active.

Evaluarea Bemi mută întrebarea de la „care control de securitate detectează mai multe atacuri?” la una mai consecventă: „rămâne arhitectura de securitate eficientă atunci când precizia detecției, falsurile pozitive și cheltuielile operaționale sunt luate în considerare împreună?”. În loc să evalueze independent controalele IDS și UTM, abordarea Bemi examinează modul în care precizia detecției, falsurile pozitive, consumul de resurse și performanța rețelei interacționează atunci când controalele sunt implementate în același mediu de întreprindere. Această perspectivă oferă echipelor de securitate o bază mai practică pentru proiectarea arhitecturilor de apărare în profunzime, unde protecția este evaluată nu numai în funcție de amenințările pe care le detectează un control, ci și de cât de eficient funcționează în cadrul rețelei mai largi.

„O rată de detecție de 100% nu poate fi evaluată izolat”, spune Bemi. „Dacă obținerea acestui rezultat introduce rezultate fals pozitive semnificative, latență sau degradare a debitului, controlul de securitate trebuie evaluat ca sistem operațional, nu doar ca mecanism de detecție.”

Ceea ce îi lipsește UTM-ului singur

Argumentul lui Bemi este că IDS nu va înlocui și nu va depăși niciodată UTM. În schimb, el spune că ambele instrumente rezolvă două straturi diferite ale aceleiași probleme. Stratul unu este aplicarea perimetrului (firewalling, terminare VPN, modelare trafic, blocare trafic notoriu), atâta timp cât aveți setările corecte cu dispozitivele UTM, cum ar fi pfSense. Stratul doi pe care IDS îl abordează este ceea ce se întâmplă după ce permiteți trecerea a ceva dincolo de primul strat. Acest strat doi oferă un nivel de detaliu care nu poate fi reprodus doar de UTM. În special, acest lucru a fost foarte evident în timpul testării și evaluării Bemi pe baza capacității de detectare și a impactului operațional.

„Un UTM determină dacă traficul ar trebui admis în rețea”, afirmă Bemi. „Un IDS răspunde la o întrebare complet diferită; și anume, acum că se află în rețea, pare a fi anormal?” Bemi a afirmat că întreprinderile care utilizează doar UTM iau de obicei o singură decizie cu privire la permiterea trecerii traficului dincolo de dispozitivul de terminare Firewall/VPN. Apoi, se bazează pur și simplu pe siguranța oricărui lucru care trece prin rețea.”

Costul resurselor este o contribuție la proiectare, nu o idee ulterioară

Una dintre cele mai importante constatări ale studiului este că apărarea în profunzime nu este gratuită din punct de vedere operațional. Rularea ambelor metode controlează utilizarea crescută a procesorului și a memoriei și a introdus o latență suplimentară în rețea, demonstrând că arhitectura de securitate nu poate fi evaluată doar prin eficacitatea detectării.

El susține că bariera practică în calea apărării hibride constă adesea mai puțin în faptul că controalele pot funcționa împreună și mai mult în faptul că organizațiile au planificat capacitatea, reglarea și monitorizarea de care au nevoie. „Nimeni nu contestă faptul că apărarea în profunzime este arhitectura potrivită pe o tablă albă”, spune el. „Rezistența apare la implementare, când o echipă IT mai mică își dă seama că rularea corectă a ambelor înseamnă planificarea capacității, reglarea regulilor pentru a reduce falsurile pozitive și revizuirea continuă a jurnalelor. Aceasta este o conversație despre resurse, nu o conversație despre tehnologie. Dar omiterea ei nu elimină riscul; ci doar mută riscul din rețea în afacere.”

Calea practică înainte

Pentru organizațiile care încă tratează acest aspect ca pe o decizie de achiziție binară, implicația practică a evaluării Bemi nu este că fiecare organizație ar trebui să implementeze ambele controale fără discriminare. În schimb, arhitecții de securitate ar trebui să trateze UTM și IDS ca controale complementare, să evalueze performanța lor combinată în condiții de trafic realiste și să dimensioneze infrastructura și capacitatea de monitorizare în funcție de cheltuielile operaționale rezultate.

Concluzie

Provocarea pentru securitatea întreprinderilor Windows nu constă în alegerea între UTM și IDS, ci în proiectarea unei arhitecturi în care ambele controale abordează straturi diferite ale aceluiași peisaj de amenințări. Evaluarea Bemi demonstrează că ratele de detecție nu determină singure eficacitatea securității; falsurile pozitive, latența, debitul, consumul de resurse și efortul necesar pentru operarea controalelor contează, de asemenea. Prin urmare, industria trebuie să depășească comparațiile produs-versus-produs și să evalueze modul în care controalele de securitate funcționează împreună în condiții realiste ale întreprinderii. În practică, UTM poate oferi primul strat de aplicare a perimetrului, în timp ce IDS adaugă o vizibilitate mai profundă asupra activității suspecte care poate trece prin acea limită. Organizațiile care iau în considerare o abordare hibridă ar trebui să testeze arhitectura combinată în raport cu sarcini de lucru reprezentative și să stabilească praguri clare pentru performanță, falsuri pozitive și utilizare a resurselor înainte de implementare. De asemenea, ar trebui să planifice ajustarea continuă a regulilor, monitorizarea, gestionarea capacității și implicarea analiștilor, mai degrabă decât să le trateze ca preocupări operaționale secundare. În cele din urmă, o apărare în profunzime eficientă depinde nu doar de implementarea mai multor instrumente de securitate, ci și de asigurarea faptului că controalele complementare funcționează împreună într-un mod măsurabil, sustenabil și aliniat cu nevoile operaționale ale organizației.

Trimiteți acest articol: