Системы предотвращения вторжений Huawei NIP — когда нужен отдельный аппарат

Система предотвращения вторжений Huawei NIP разбирает содержимое сетевого трафика и блокирует обращения, совпадающие с известными способами атак на приложения и операционные системы. В отличие от межсетевого экрана, который разрешает или запрещает соединение по адресам, портам и приложению, NIP работает с тем, что передаётся внутри уже разрешённого соединения.

Разберём, когда отдельное устройство оправдано, чем оно отличается от встроенного модуля межсетевого экрана, как выбирается серия под нагрузку и что входит в поставку помимо самого аппарата. Позиции лежат в разделе систем предотвращения вторжений Huawei, смежное оборудование — в разделе систем сетевой безопасности и защиты.

Чем отдельное устройство отличается от функции межсетевого экрана

• Производительность при включённом разборе. У межсетевых экранов USG разбор содержимого — одна из функций, и при её включении пропускная способность снижается. Отдельный аппарат рассчитан на этот режим как на основной.
• Место в схеме. Межсетевой экран стоит на границе сети. Устройство предотвращения вторжений ставится там, где нужен разбор: перед серверным сегментом, между зонами внутренней сети, на канале в центр обработки данных.
• Режим включения. Аппарат работает в разрыв линии с блокировкой или на зеркалированном порту только с регистрацией событий. Второй режим применяется на этапе внедрения, пока настраиваются исключения.
• Обновление баз. Наборы признаков атак обновляются по подписке. Без действующей подписки устройство продолжает работать, но перестаёт распознавать новые способы нападения.
• Разделение ответственности. Отдельный аппарат позволяет менять правила разбора, не трогая правила доступа на границе сети.

Когда отдельное устройство оправдано

• Опубликованные наружу сервисы — почта, порталы, системы обмена файлами — принимают обращения из внешней сети, и фильтрации по адресам недостаточно.
• Пропускная способность границы такова, что включение разбора на межсетевом экране снижает её ниже потребности площадки.
• Требуется разбор трафика между внутренними сегментами, а не только на периметре.
• Нужна регистрация событий с сохранением подробностей обращения для последующего анализа.
• Инфраструктура распределена по нескольким площадкам с собственными маршрутизаторами, и защита нужна на каждой без замены пограничного оборудования.

Серии и подбор по нагрузке

Подбор ведётся по пропускной способности при включённом полном наборе признаков, а не по скорости портов. Аппарат с портами 10 Гбит/с может обеспечивать существенно меньшую полосу разбора — эта цифра указывается отдельно.

Что учитывается при включении в разрыв линии

• Отказоустойчивость. Устройство становится точкой на пути трафика. Предусматривается либо байпас при отказе питания, либо резервирование парой аппаратов.
• Задержка. Разбор добавляет задержку. Для обычных приложений она незаметна, для телефонии и систем реального времени проверяется отдельно.
• Тип портов. Медные и оптические интерфейсы подбираются под действующие линии, оптические модули — под тип волокна и расстояние.
• Питание. Для площадки без простоя выбирается исполнение с двумя блоками питания; запасные и дополнительные элементы лежат в разделе комплектующих.
• Настройка исключений. Первые недели устройство работает в режиме регистрации, чтобы выявить обращения собственных приложений, ошибочно попадающие под признаки атак.

Что входит в поставку помимо аппарата

• Подписка на обновление баз признаков — без неё защита остаётся на уровне даты выпуска устройства.
• Лицензии на дополнительные функции разбора, если они не входят в базовую поставку.
• Оптические модули и кабели под точку включения.
• Комплект для монтажа в стойку и, при необходимости, второй блок питания.
• Согласование с действующим сетевым оборудованием: коммутаторами, на которых настраивается зеркалирование или разрыв линии.

Что прислать для подбора

• Схему сети с точкой, где планируется установка.
• Фактическую загрузку канала в этой точке и прогноз роста.
• Состав публикуемых наружу сервисов.
• Требования к доступности: допустим ли простой при отказе устройства.
• Действующее оборудование границы сети — модель межсетевого экрана и маршрутизатора.

Частые вопросы

Заменяет ли NIP межсетевой экран? Нет. Это разные задачи: экран управляет доступом, система предотвращения вторжений разбирает содержимое разрешённых соединений. На границе сети они работают вместе.

Можно ли обойтись функцией разбора на USG? На небольшой площадке — да, если после включения функции остаётся нужная пропускная способность. Проверяется по паспортной производительности в режиме с включённым разбором.

Что будет при отказе устройства в разрыве линии? Зависит от исполнения. Байпас пропускает трафик без разбора, резервированная пара переключает поток на второй аппарат. Схема выбирается до закупки.

Обязательна ли подписка на обновление баз? Для защиты от новых способов атак — да. Без неё устройство продолжает работать по старым признакам и постепенно теряет смысл.

Сколько занимает настройка исключений? Обычно несколько недель работы в режиме регистрации. За это время собираются события собственных приложений, которые нужно исключить до перевода устройства в режим блокировки.

Что мы делаем

Подбираем серию по пропускной способности с включённым разбором, а не по скорости портов, определяем точку установки по схеме сети, комплектуем поставку подпиской на обновление баз, оптическими модулями и элементами резервирования, согласуем включение с действующими коммутаторами и межсетевыми экранами площадки.

Пришлите схему сети, загрузку канала и список публикуемых сервисов на sale@huawei.net.ru — подберём модель под вашу нагрузку, предложим схему включения с резервированием и дадим спецификацию с ценами и сроками поставки.