Москва, 25 авг – ИА Нефтегаз.РУ. Для территориально распределенных отраслей, таких как ТЭК, сетевая инфраструктура — это не просто средство связи, а один из ключевых факторов устойчивости технологических процессов. Производственные объекты расположены на значительном расстоянии друг от друга, каналы связи зачастую ограничены, а требования к надежности и отказоустойчивости остаются крайне высокими. О том, как выстраиваются корпоративные сети в таких условиях, какие преимущества дает технология программно-определяемых распределенных сетей (SD-WAN), рассказал Николай Шевалье, руководитель управления решений по сетевой аналитике и кибербезопасности BI.ZONE.

Сетевая инфраструктура непрерывно усложнялась. Со временем компании столкнулись с проблемой: решения разных производителей работают под управлением различных систем и требуют отдельных подходов к администрированию. В результате управление инфраструктурой существенно усложнилось. Для каждого уровня сети и каждого типа оборудования требуются специалисты с соответствующей экспертизой, способные выполнять настройку и сопровождение. Растут требования как к квалификации, так и к численности команд. Дополнительную сложность создают и новые требования регуляторов. Необходимо применять специальные механизмы разграничения доступа и защиты информации.

Инфраструктура продолжает усложняться, усиливается регуляторное давление, а сами компании вводят дополнительные политики информационной безопасности. Все это увеличивает количество изменений, которые необходимо вносить в корпоративные сети, и усложняет их сопровождение.

В современных условиях конфигурировать каждое устройство — долго и дорого. Технологические тенденции двигаются к тому, чтобы рассматривать физическую инфраструктуру как базовую сеть (underlay network), которая может использоваться для построения наложенной сети (overlay network). Тогда необходимая конфигурация будет не на каждом конкретном оборудовании, а на конечных точках. Защищенные туннели, создаваемые между конечными точками, обеспечивают необходимый уровень безопасности и изоляции, одновременно сокращая объем ручных настроек.

Компании стремятся к тому, чтобы упростить эксплуатацию сети. Это огромная инфраструктура, которую поддерживает огромное количество людей. Для большинства организаций глубокое взаимодействие с такой инфраструктурой является сложной и непрофильной задачей. Компаниям намного проще строить туннели и работать с наложенными сетями, не погружаясь в особенности работы базовой транспортной инфраструктуры, задача которой — обеспечить надежную передачу данных. Этой задаче отвечает технология SD-WAN, которая позволяет централизованно управлять сервисами поверх любых каналов связи.

С точки зрения экономической эффективности SD-WAN строится на двух основных преимуществах: обеспечении непрерывности бизнеса и снижении затрат на эксплуатацию сети.

Например, если взять сеть АЗС с множеством точек, распределенных по стране, то для каждой из этих точек есть пять–шесть сервисов, которые ей необходимы для осуществления деятельности. Технология SD-WAN позволяет в любой момент понять, какое количество заправок с каким количеством сервисов взаимодействует, потому что от каждой заправки развернут туннель, через который передается трафик. Каждая АЗС может быть подключена к корпоративной оптике или нескольким интернет-провайдерам, и при аварии на любой из этих сетей туннель автоматически перестроится, соединение не будет потеряно, а заправка сохранит доступ ко всем необходимым сервисам и продолжит обслуживать клиентов.

В этом заключается суть SD-WAN как программно-определяемой технологии — система автоматически фиксирует изменения состояния сети и реагирует на них. В итоге минимизируется время простоя сервисов и связанные с ними финансовые потери.

Вторая важная особенность — снижение затрат на управление сетевой инфраструктурой. В сетях SD-WAN значительная часть операций автоматизирована. Архитектура технологии предусматривает наличие API, благодаря которому управление может быть интегрировано с оркестраторами и другими системами автоматизации. В перспективе возможен сценарий практически полного исключения специалистов из процессов управления сетью. Пока это скорее долгосрочная цель, однако уже сегодня ставка делается на высокий уровень автоматизации, которая ускоряет реализацию бизнес-задач и сокращает time to market.

Если говорить о кибербезопасности, сегодня доминирующим подходом является концепция zero trust. Ее ключевой принцип заключается в предоставлении пользователям только минимально необходимого уровня доступа, исключительно на требуемое время и при постоянной проверке доверия.

Благодаря программной управляемости SD-WAN позволяет создавать необходимые сетевые соединения только тогда, когда они действительно требуются. То есть можно настроить системы так, что сетевые доступы для конкретной точки в распределенной сети будут открыты только в ее рабочее время. В остальное время соединение просто не устанавливается, что существенно сокращает поверхность для потенциальной кибератаки.

Еще одна особенность SD-WAN заключается в том, что туннели формируются в привязке к информационным сервисам, что позволяет понимать, кто сейчас пользуется сервисом и какой трафик передается через него. Тем самым уменьшается и сам профиль трафика, в котором мы можем видеть аномалии.

Микросегментация и выделение отдельных задач заметно упрощают обеспечение кибербезопасности. В традиционной сети может насчитываться, к примеру, тысяча пользователей и двадцать приложений — в таком многообразии сложно определить, какие действия являются аномальными. Если же работать с одним приложением и типовым пользовательским профилем, выявлять и анализировать отклонения становится гораздо легче. Это существенно снижает число ложноположительных срабатываний средств защиты и облегчает работу аналитиков Security Operations Center (SOC) — центра мониторинга и реагирования на киберинциденты.

Технологии постоянно развиваются. Если в 2000-х годах пропускная способность 10 Гбит/с казалась чем-то внушительным, то сегодня такой скоростью может обладать один сетевой порт сервера, а в операторских магистральных сетях счет уже идет на десятки и даже сотни Тбит/с. Такие скорости и объемы трафика делают его максимально непрозрачным и неуправляемым с корпоративной точки зрения. При этом услуги операторов связи становятся технологически сложнее и дороже.

Для бизнеса важно понимать, что происходит в собственной сети, и иметь возможность гибко управлять ее работой. Поэтому компаниям зачастую проще и экономически выгоднее самостоятельно управлять корпоративной сетью, развернув оборудование SD‑WAN и создав туннели, без необходимости глубоко взаимодействовать с инфраструктурой оператора связи. Одним из ключевых преимуществ такого подхода становится операторонезависимость. Компания может без существенного влияния на работу сервисов сменить поставщика услуг связи, выбрав более выгодные условия подключения или передачи данных. При этом контроль над конфигурацией сети, изменениями и качеством соединений остается у самой компании.

Программная управляемость SD-WAN также значительно упрощает аварийное восстановление (Disaster Recovery). Если основной ЦОД выходит из строя, инфраструктуру можно развернуть на резервной площадке всего за несколько минут вместо часов или даже дней, которые потребовались бы при ручном выполнении этих операций. Переключение выполняется автоматически с помощью оркестратора, который отслеживает состояние сервисов и при необходимости переносит их на резервный ЦОД без участия человека. Это существенно сокращает время восстановления, при этом уровень защищенности не снижается, поскольку все туннели и политики безопасности автоматически переносятся на резервную площадку.

К основным преимуществам — удобству конфигурирования, операторонезависимости и безопасности — можно добавить простоту масштабирования. С технологией SD-WAN достаточно просто планировать изменения, в т. ч. открытие новых точек. Это понятное время и понятные деньги.

Сложности при переходе на SD-WAN есть, но они минимальны. Технические сложности могут возникнуть у компаний, у которых отсутствует собственная экспертиза, а управление сетью полностью передано на аутсорсинг. Но если есть понимание того, какой должна быть архитектура сети, или уже сформированы сервисные модели, серьезных проблем при переходе на SD-WAN, как правило, не возникает. Главное — грамотно реализовать сам проект: корректно выделить сервисы, последовательно перенести их и выполнить необходимые настройки. Операционные риски, безусловно, остаются, однако высокий уровень автоматизации SD-WAN позволяет существенно снизить их и минимизировать влияние человеческого фактора.

Многие объекты ТЭК расположены в удаленных районах, где возможности связи ограничены. Нередко единственными доступными каналами остаются спутниковая связь или радиорелейные линии, которые уступают оптоволоконным сетям по скорости, пропускной способности и стабильности. В таких условиях особенно важно обеспечить гарантированную передачу наиболее критичного трафика.

В этом случае проявляется основное преимущество SD-WAN — технология автоматически определяет, какой трафик является приоритетным и какой канал связи в конкретный момент способен обеспечить его наиболее надежную передачу. Например, для управляющих сигналов технологических процессов или телеметрии будет выбран канал с наибольшей вероятностью успешной доставки данных. Это позволяет сохранить работоспособность критически важных сервисов даже при низком качестве каналов связи и повысить общую отказоустойчивость инфраструктуры.

Поступление нужной телеметрии обеспечивает работу информационных систем предприятия, таких как система управления производственными процессами (MES), система планирования ресурсов предприятия (ERP), системы учета. Кроме того, специалисты, которые занимаются мониторингом сетевой инфраструктуры, могут видеть идущий трафик с удаленных площадок, вплоть до морских платформ, понимая состояние инфраструктуры. Это не требует дополнительных затрат, поскольку такая возможность «зашита» в технологию SD-WAN. В случае, например, отключения электроэнергии, специалисты получают уведомление именно о проблеме с электропитанием, а не просто о недоступности объекта, что сокращает время диагностики и ускоряет восстановление его работоспособности.

Когда речь идет о КИИ, на первый план выходит соблюдение требований регуляторов. В решении BI.ZONE Secure SD‑WAN мы изначально закладываем соответствие этим требованиям, используем российское оборудование и обладаем необходимыми сертификатами.

Платформа BI.ZONE Secure SD‑WAN включена в реестр отечественного ПО и имеет сертификат ФСБ как средство криптографической защиты информации (СКЗИ) класса КС1. Сетевые серверы BI.ZONE CyberEdge, на базе которых строится наше решение SD-WAN, имеют сертификат соответствия средств связи. При этом мы активно развиваем функциональность и в течение ближайшего года планируем реализовать поддержку более высокого уровня криптографической защиты класса КС3.

Наиболее востребованы сценарии для распределенной инфраструктуры — точек добычи, АЗС, филиальной сети. Для этого технология SD‑WAN и создавалась.

Из интересных перспективных сценариев можно назвать внедрение безлюдных технологий и автоматизацию производственных процессов. Например, SD-WAN может выступать как каналообразующая технология и технология защиты для беспилотного транспорта. SD‑WAN позволяет изолировать трафик телеметрии и команд управления, гарантировать его конфиденциальность и исключить несанкционированный доступ. Например, через SD‑WAN можно организовать защищенный туннель для передачи видеопотока с камер беспилотного транспорта, контролировать целостность трафика, а после завершения сеанса — безопасно закрыть соединение.

Еще один перспективный сценарий — дистанционное управление технологическим оборудованием (например, крановыми задвижками на газопроводах). Здесь требования к безопасности и надежности существенно выше — помимо сетевой защиты, критично соответствие оборудования отраслевым стандартам по взрывозащищенности и промышленной безопасности. В перспективе у нас есть планы по выходу в сегмент промышленных коммутаторов для прямого подключения исполнительных устройств в составе АСУ ТП.

Помимо этого, технология SD‑WAN может лежать в основе цифровой трансформации, прежде всего за счет того, что становится ключом к современной архитектуре сетевой безопасности. В частности, технология выступает базовым транспортным слоем в концепции SASE (Secure Access Service Edge — безопасный доступ к сервисам на границе сети). В рамках SASE SD‑WAN обеспечивает надежные соединения между пользователями и сервисами и помогает реализовать принципы zero trust. Поэтому для компаний, которые целенаправленно движутся к построению zero trust — инфраструктуры и внедрению SASE, SD‑WAN — не опция, а обязательный элемент, без которого выстроить такую архитектуру полноценно не получится.

На мировом рынке вектор развития четко задан трендами на построение защищенных распределенных архитектур, внедрение концепций SASE, zero trust, распространение SD‑WAN.

В российских реалиях картина имеет свою специфику. Наряду с общемировыми тенденциями, в нашей стране усиливается фокус на вложениях в классическую инфраструктуру и обеспечение кибербезопасности. В последние два года заметно выросло число кибератак, а сама модель угроз трансформируется — все более актуальной становится проблема внутренних точек атаки (компрометация учетных записей, действия недоверенных пользователей и т. п.). На этом фоне принципы zero trust перестают быть теоретической концепцией и постепенно становятся практической необходимостью, хотя пока находятся на стадии активного обсуждения и пилотирования, а не повсеместного стратегического внедрения.

Существенное влияние на российский рынок оказывает и регуляторная среда, поскольку в нашей стране именно требования регуляторов во многом задают вектор развития IT‑ и ИБ‑инфраструктуры. Параллельно компании переходят с решений западных вендоров на российские, но процесс импортозамещения сдерживается опасениями бизнеса, поскольку у отечественных вендоров меньший исторический опыт, а масштабы рынка несопоставимы с глобальными. При этом отказ от зарубежных решений продиктован и вполне прагматичными рисками: прекращение поддержки, потенциальное дистанционное отключение оборудования и сервисов. В связи с этим требования безопасности следует рассматривать как приоритет еще более высокого уровня, чем в среднем по миру.

BI.ZONE — компания по управлению цифровыми рисками, которая помогает организациям безопасно развивать бизнес в киберпространстве. BI.ZONE разрабатывает собственные продукты для обеспечения устойчивости IT‑инфраструктур любого размера и оказывает широкий спектр услуг по киберзащите: от расследования инцидентов и мониторинга угроз до создания стратегий по кибербезопасности и комплексного аутсорсинга профильных функций. С 2016 года компания реализовала более 1800 проектов в сферах финансов, телекоммуникаций, энергетики, авиации и многих других, защитив свыше 900 клиентов. Сайт: https://bi.zone.

Автор: Д. Колесникова