Zabezpieczenia dla operatorów telekomunikacyjnych

Aby dotrzymać kroku dynamicznemu rozwojowi nowych usług i technologii, takich jak usługi w chmurze, usługi mobilne czy usługi wykorzystujące IPv6, operatorzy telekomunikacyjni muszą przekształcić swoje sieci w nowoczesne infrastruktury umożliwiające świadczenie coraz to nowych usług. Firma Fortinet rozumie stojące przed nimi wyzwania związane z wdrażaniem architektury sieciowej następnej generacji, umożliwiającej wydajne świadczenie kompleksowych usług cyfrowych wymagających dużych prędkości przesyłu informacji. Jednocześnie zdajemy sobie sprawę z konieczności zapewnienia wysokiego poziomu bezpieczeństwa sieci w celu zmaksymalizowania jej dostępności (czasu działania) i zapobiegania oszustwom.

Dedykowane rozwiązania Fortinet dla dostawców usług

Szerokie portfolio rozwiązań Fortinet zawiera systemy ukierunkowane na zabezpieczenie sieci operatorskich oraz efektywne dostarczanie usług. Poniżej wymieniono główne technologie dedykowane przez Fortinet dla operatorów telekomunikacyjnych:

• Wirtualizacja funkcjonalności zintegrowanego bezpieczeństwa UTM (Unified Threat Management) i Firewall oraz ochrony poczty elektronicznej FortiGate i FortiMail zarządzane przez ForiManger/ FortiAnalyzer
• Specjalna linia FortiOS – FortiCarrier zapewniająca: dynamiczne profile ochronne otrzymywane, poprzez protokół RADIUS, kontrolę dostępu do zasobów użytkowników Internetu, ochronę infrastruktury VoIP, ochronę MMS, GPRS Tunneling Protocol (GTP) Firewall, Firewall SCTP
• Transparentna ochrona przed backlistingiem - FortiMail
• Oprogramowanie zabezpieczające terminale abonenckie – FortiClient Mobile
• IPv6 w bramach FortiGate
• Bramy FortiGate Nowej Generacji – FG3950B

Wirtualizacja w sieciach MSSP

Wizja Fortinet dotycząca wirtualizacji usług bezpieczeństwa sieci polega na wykorzystaniu wirtualizacji funkcji zarządzania oraz monitorowania systemów FortiManager/FortiAnalyzer wraz z funkcjami wirtualizacji bram FortiGate.

FortiCarrier – dedykowany system operacyjny dla sieci operatorskich

FortiOS jest systemem operacyjnym kontrolującym pracę urządzeń FortiGate. Jego specjalna linia FortiCarrier została wzbogacona o dodatkowe funkcje specyficzne dla sieci operatorskich. W dynamicznym środowisku abonenckim, gdzie adres IP przydzielany jest użytkownikowi na etapie komunikacji bramy GGSN, BRAS lub innej bramy dostępowej z serwerami RADIUS, możliwe jest także nadawanie profilu ochronnego. Zastosowanie dynamicznych profili ma jeszcze jedną dodatkową zaletę w postaci umieszczenia nawy użytkownika w logach generowanych przez bramy FortiGate.

Jeżeli odwrócimy sytuację i zechcemy kontrolować ruch skierowany od użytkowników indywidualnych, np. udostępniających swoje zasoby dla innych użytkowników, nasuwa się pytanie, w jaki sposób wykonać uwierzytelnianie i autoryzację. Typowym zastosowaniem może być chęć pobrania plików z domowego serwera dołączonego do linii DSL lub podgląd obrazu z kamery internetowej oraz wykonanie tego z poziomu smartfona lub tableta - scenariusz ten przedstawia rysunek 6. Kiedy obie usługi internetowe: stacjonarna i mobilna wykupione są u tego samego operatora, dzięki zastosowaniu rozwiązań Fortinet możemy kontrolę dostępu wykonać bez konieczności dodatkowego logowania.

Użytkownik mobilny w chwili uzyskania dostępu do sieci jest automatycznie wpisywany w odpowiednie polityki firewalla kontrolujące ruch do udostępnionych dla niego zasobów. Kluczem do uzyskania opisywanej funkcjonalności jest FortiAuthenticator wykonujący translację pomiędzy pakietami RADIUS a FSSO (Fortinet Single Sign On) w celu wpisania adresu IP i nazwy użytkownika mobilnego do odpowiednich polityk firewalla. Policy Server jest dostarczany przez partnerów technologicznych Fortinet.

Zaimplementowana w FortiCarrier Application Level Gateway dla protokołu SIP pozwala zapobiegać atakom poprzez limitowanie liczby wiadomości SIP na sekundę, odrzucanie niepoprawnych wiadomości, zapewnia funkcjonalność Hosted Nat Traversal (HNT), ciągłość pracy sieci obsługującej SIP, także w środowisku NAT, ukrywanie topologii SIP. Rysunek 7 przedstawia dwa scenariusze pracy FortiCarrier SIP ALG – otwierający na firewallu połączenia RTP dla sesji SIP oraz obsługujący tylko sygnalizację SIP.

FortiCarrier zabezpiecza ruch na interfejsach MMS: MM1, MM3, MM4 i MM7. Jest to możliwe dzięki rozbudowanym funkcjom rozpoznawania protokołów w porównaniu ze standardowym FortiOS. Alternatywnie na stykach MM3 i MM4 możliwe jest wykorzystanie FortiMaila.

Kolejnymi zaletami FortiCarrier są obsługa GPRS Tunneling Protocol (GTP) oraz Stream Control Transmission Protocol (SCTP). Dzięki wsparciu dla GTP wykrywane są anomalie protokołu oraz wykonywane jest filtrowanie IMSI, APN, IE.

Protokół SCTP znajduje obecnie coraz szersze zastosowanie w sieciach telekomunikacyjnych podczas migracji przenoszenia sygnalizacji SS7 z linków TDM do sieci IP. Bramy FortiGate dają unikalną możliwość kontrolowania sesji SCTP w sposób analogiczny do UDP czy TCP. Dzięki temu operator kontroluje w pełni wymianę ruchu sygnalizacyjnego z innymi sieciami.

FortiMail w ochronie przed blacklistingiem

Platforma FortiMail może pracować transparentnie dla protokołu SMTP. Ten tryb pracy wykorzystywany jest do skanowania ruchu SMTP wychodzącego z sieci operatora. Dzięki powstrzymaniu spamu już na brzegu sieci, a co za tym idzie nie wypuszczeniu go w świat, adresy IP przydzielone dla dostawcy usług nie trafiają na czarne listy serwisów reputacyjnych.

FortiClient Mobile – oprogramowanie ochronne dla terminali komórkowych

FortiClient Mobile to oprogramowanie dla smatfonów pracujących pod kontrolą Windows Mobile oraz Symbian. Oferowane funkcje to email antyspam, VPN, ochrona książki adresowej Outlook, SMS antyspam, filtrowanie SMSów i połączeń, zabezpieczenie telefonu. Oprogramowanie to może być centralnie zarządzane podobnie jak oprogramowanie FortClient na komputery PC.

IPv6 w bramach UTM – FortiGate
 

• Bramy sieciowe FortiGate wspierają transformację sieci do IPv6 dzięki zastosowaniu podwójnego stosu IPv6/IPv4 oraz tunelowania „IPv6 over IPv4”. Oznacza to, że te dwa protokoły pracują w ramach funkcji routera, firewalla oraz na poziomie ochrony aplikacyjnej
• Migracja do IPv6 wymaga dostępu administracyjnego do urządzeń z wykorzystaniem tego protokołu. Bramy FortiGate w aktualnej wersji systemu operacyjnego mogą być w ten sposób kontrolowane.
• Funkcjonowanie w środowisku sieci IPv6 wymaga wsparcia dla routingu statycznego i dynamicznego. Bramy FortiGate mogą pracować z RIP, BGP oraz OSPF w wersjach zgodnych z IPv6. Dodatkowo możliwe jest stosowanie list dostępowych IPv6 oraz tzw. prefix list.
• Niezbędnym krokiem w procesie migracji do IPv6 jest możliwość konfiguracji współpracy z serwerami DNS wspierającymi ten protokół. Bramy FortiGate są przystosowane do tego wymagania.
• Urządzenia zapewniające ochronę sieci powinny także pozwalać na budowę sieci szyfrowanych VPN. Bramy FortiGate to platforma, która daje możliwość tworzenia tuneli IPSec w sieciach IPv6.
• Funkcjonalność firewalla w środowisku IPv6 to następne wymaganie wspierane przez bramy FortiGate, które są także rozwiązaniami UTM (Unified Threat Management). Oprócz funkcji firewalla bramy FortiGate zapewniają ochronę na poziomie antywirusa, systemu IPS oraz filtrowanie stron WWW.
• Kolejną właściwością bram FortiGate w warunkach IPv6 jest opcja pracy firewalla i systemu UTM w trybie transparentnym. Funkcjonalność ta daje możliwość elastycznego przeprowadzania zarówno wdrożenia pilotażowego jak i implementacji docelowej.

Bramy FortiGate Nowej Generacji – FG3950B

Ciągle wzrastający ruch w sieciach przedsiębiorstw oraz operatorów telekomunikacyjnych stawia przed dostawcami rozwiązań sieciowych wymagania dostosowania wydajności do warunków pracy sieci. Fortinet wychodzi na przeciw tym wymaganiom opracowując nowe technologie bram bezpieczeństwa mogące obsługiwać coraz większe ilości sesji oraz przepływności. Najnowsza brama FortiGate FG3950B przenosi do 120 Gbps zapewniając ochronę do 10 milionów sesji, które mogą być nawiązywane z prędkością do 175 tysięcy na sekundę.

W dobie migracji systemów bezpieczeństwa w kierunku Firewalla Nowej Generacji, platforma FG3950B wyposażona w moduły FMC-XG2, zapewnia sprzętową analizę przenoszonych pakietów do warstwy 7: firewall, antywirus, IPS oraz kontrolę aplikacji. Moduły te umożliwiają także sprzętową obsługę protokołu IPv6. Wszystkie te funkcje i wydajność realizowane są przez urządzenie o wysokości 3RU.