Proteção de redes LTE — o quê, por quê e como

Introdução

Atualmente, os provedores de serviços enfrentam uma série de desafios complexos ao buscar modernizar e preparar suas redes para o futuro, a fim de comportar o aumento do tráfego de rede, os enormes requisitos de escalabilidade, as necessidades de virtualização e orquestração, o controle de custos e a expansão para novas fontes de receita.

Ao mesmo tempo, as operadoras estão enfrentando incidentes de segurança e ataques semelhantes aos que os provedores de serviços de Internet vêm enfrentando há anos. O congestionamento da rede, a degradação ou a interrupção total dos serviços e a exposição de informações dos usuários e de mensagens de sinalização são preocupações sérias. Os elementos da rede principal e a infraestrutura de suporte estão mais suscetíveis do que nunca a ameaças externas. Ameaças persistentes avançadas (APTs), ataques distribuídos de negação de serviço (DDoS) e ataques no nível do DNS ameaçam a disponibilidade e o desempenho da rede e dos serviços. Portanto, garantir a segurança, o desempenho e a disponibilidade das redes móveis de alta velocidade é de importância crucial tanto para os provedores de serviços que as possuem e operam quanto para seus assinantes. Além disso, agora é fundamental proteger tanto a própria rede quanto os dispositivos dos consumidores conectados a ela.

As soluções de segurança de nível de operadora da F5 protegem tanto a rede de evolução de longo prazo (LTE) quanto seus assinantes contra as ameaças atuais. Essas soluções podem oferecer segurança aos provedores de serviços em um cenário em constante mudança, preservar a reputação de suas marcas, proteger contra ataques de última geração e viabilizar a expansão para novas fontes de receita.

Evolução da rede e o cenário de ameaças em constante transformação

Tradicionalmente, a segurança dos provedores de serviços tem se concentrado quase exclusivamente na proteção da infraestrutura de rede, dando pouca ou nenhuma atenção aos dispositivos de endpoint dos assinantes. No entanto, à medida que as tecnologias de rede evoluem e o desempenho aumenta com o 3G, 4G, 5G e as gerações seguintes, a visão operacional tradicional — de que basta proteger a própria rede — precisa mudar.

Os modelos operacionais legados, projetados para infraestruturas de rede fixas e dispositivos de assinantes de baixo desempenho, já não são suficientes à medida que as arquiteturas dos provedores de serviços evoluem para modelos de infraestrutura dinâmicos, virtualizados e orquestrados. As redes dos provedores de serviços, especialmente as redes LTE em evolução, agora devem ser projetadas para permanecer seguras em todos os ambientes, a fim de oferecer serviços confiáveis e de alto desempenho em ambientes virtualizados, de nuvem e de redes definidas por software (SDN). Além disso, garantir a segurança da infraestrutura no século XXI exige que os provedores de serviços adotem um novo foco na proteção dos dispositivos dos consumidores, pois esses dispositivos representam um vetor de risco novo e muito grave.

A F5 oferece soluções para esses desafios críticos — por meio de hardware desenvolvido especificamente para essa finalidade e também de ofertas virtuais — a fim de proporcionar a segurança, o desempenho e a disponibilidade de que as operadoras precisam à medida que suas redes crescem e evoluem.

A evolução dos dispositivos dos assinantes e por que ela é importante

Os dispositivos de telefonia móvel evoluíram ao longo dos anos e hoje são tão potentes e onipresentes quanto os computadores convencionais. Ao mesmo tempo, o volume e a variedade de dados que eles podem armazenar aumentaram drasticamente, tornando os próprios dispositivos um alvo atraente para invasores. Da mesma forma, o cenário de ameaças enfrentado pelas redes móveis se ampliou: antes restrito a ataques via SMS, agora inclui riscos nos níveis do dispositivo, do aplicativo e da rede.

Com mais de dois terços dos adultos que usam a internet recorrendo a serviços de Wi-Fi público gratuitos e não seguros, a ameaça à segurança torna-se evidente. Como afirma Bryan Sartin, diretor da Verizon Business: “Em dois anos, mais dados serão roubados de dispositivos móveis do que de servidores e aplicativos.”

Outro risco a ser considerado, além do tráfego gerado por invasores mal-intencionados, são os aplicativos que se comunicam excessivamente e a carga que podem gerar nos sistemas de sinalização e de suporte auxiliares. Como uma única solicitação de conexão de aplicativos populares, incluindo e-mail, notícias e redes sociais, costuma gerar 30 ou mais eventos de conexão e sinalização, a possibilidade de milhões de dispositivos de assinantes sobrecarregarem a infraestrutura de sinalização e suporte da operadora também é uma preocupação bastante real. Se essa infraestrutura não for projetada e construída com capacidade e segurança suficientes, há um risco significativo de que um pequeno número de agentes mal-intencionados interrompa a infraestrutura de sinalização e suporte da operadora.

O cenário de ameaças direcionadas aos consumidores e seus dispositivos também continua evoluindo. Com a crescente variedade e sofisticação dos vetores de ameaça, incluindo engenharia social, malware, ataques DDoS e outros, tornou-se essencial que as operadoras de redes LTE modernas protejam seus clientes contra possíveis ataques para também protegerem a si mesmas.

Por que a segurança é tão importante para a operadora?

À medida que as tecnologias evoluem e a relação custo-benefício das redes melhora, as operadoras precisam buscar formas de compensar a queda prevista nas receitas provenientes da conectividade pura e dos serviços legados. Embora a maioria das operadoras esteja buscando reduzir os custos de sua infraestrutura de rede, isso, por si só, não garantirá um crescimento rentável. Por isso, elas estão buscando fontes adicionais de receita com serviços.

Figura 1: Network security é fundamental para garantir uma experiência positiva ao cliente e um crescimento lucrativo.

Ao proteger a própria rede, as operadoras podem melhorar a qualidade da experiência (QoE) oferecida aos assinantes, protegendo assim tanto os serviços existentes quanto os novos serviços suportados pela rede. Isso, por sua vez, protegerá as operadoras contra a perda de assinantes e a queda da receita média por usuário (ARPU). Portanto, ao reforçar a segurança da rede, as operadoras podem aumentar a receita total e reduzir o custo total de propriedade (TCO).

Quais riscos as redes LTE enfrentam?

As operadoras de telefonia móvel enfrentam riscos específicos devido à grande variedade de vetores de ameaça envolvidos. Há ameaças nas camadas de dispositivo, rede e aplicação, e cada uma delas deve ser considerada e protegida para evitar ataques tanto à rede quanto aos assinantes.

Figura 2: As redes móveis podem ser atacadas a partir de diversas fontes e em vários pontos.

Ataques no nível do dispositivo, que podem ser causados por malware ou bots que infectam os dispositivos dos assinantes, podem gerar tráfego espúrio ou malicioso, provocar tempestades de sinalização na rede e esgotar as baterias dos dispositivos. A própria rede pode estar sujeita ao esgotamento de recursos da rede de acesso via rádio (RAN) e da rede principal, a violações dos termos e condições (T&C) e a ataques à infraestrutura de DNS, faturamento e sinalização. Além disso, os ataques direcionados à camada de aplicação podem incluir malware no lado do servidor, ataques DDoS no nível da aplicação (específicos de protocolo) ou ameaças de camada 7 no nível das aplicações web.

Todos esses fatores de risco devem ser considerados para que a operadora garanta uma operação de rede estável e segura, proteja a infraestrutura e mantenha os clientes protegidos e satisfeitos. Mais especificamente, as operadoras devem implementar controles e políticas de segurança em vários domínios para proteger cada aspecto da rede móvel.

Figura 3: As redes LTE contêm várias superfícies de ataque.

Para proteger totalmente a rede, é necessária uma política de segurança verdadeiramente multicamada e multidomínio. É preciso proteger todos os elementos: o dispositivo móvel, a interface aérea, a rede de acesso, a rede principal, bem como os aplicativos, os sistemas de suporte às operações (OSS) e os sistemas de suporte aos negócios (BSS). Enquanto todas essas camadas não estiverem seguras, as operadoras estarão sujeitas ao risco de ataques por meio de múltiplos vetores de ameaça em constante evolução.

Cenários de ataque e impactos associados

Há muitos ataques em potencial que podem prejudicar as redes LTE e seus assinantes, e é fundamental projetar e implementar uma arquitetura de segurança abrangente para protegê-los contra todos eles. Embora os danos causados por muitos dos diversos tipos de ataque, como um ataque DDoS, sejam generalizados e imediatamente perceptíveis, vários tipos de ataque causam apenas uma degradação localizada do serviço e, portanto, são muito mais difíceis de diagnosticar.

Exemplos desse último tipo de ataque incluem o esgotamento das conexões da RAN, que leva a interrupções localizadas, e problemas de consumo excessivo da bateria de dispositivos dos consumidores, que podem resultar na devolução dos aparelhos. Da mesma forma, ataques à infraestrutura de faturamento causarão insatisfação dos clientes e chamados de suporte.

Todos os tipos de ataque — se forem bem-sucedidos — reduzirão a satisfação dos clientes e aumentarão os custos da operadora. Portanto, é fundamental compreender os riscos e desenvolver uma estratégia de mitigação de ponta a ponta.

Cenário 1: Ataques provenientes da Internet

Se as operadoras não derem a devida atenção à segurança do tráfego de entrada proveniente de sua conexão upstream com a Internet, invasores poderão lançar ataques de inundação ou DoS/DDoS contra os assinantes da rede. O diagrama abaixo mostra um cenário desse tipo, no qual assinantes móveis são atacados a partir da rede upstream.

Figura 4: Os dispositivos podem ser atacados pelo lado da Internet da rede móvel.

Os possíveis danos causados por um ataque desse tipo podem incluir:

• Esgotamento da bateria do dispositivo móvel.
• Uso do volume de dados e consequentes reclamações sobre cobrança.
• Esgotamento das conexões da RAN.

Cenário 2: Ataques originados no lado móvel

Os invasores também podem atacar outros usuários de dispositivos móveis a partir do segmento móvel da rede de uma única operadora. Nesse cenário, um ou mais invasores móveis podem direcionar ataques de DoS, inundação ou DDoS contra assinantes da rede por meio da infraestrutura de acesso e do núcleo da rede da operadora.

Figura 5: Os dispositivos também podem ser atacados pelo lado móvel da rede.

Assim como um ataque pelo lado da Internet, este ataque também pode causar diversos problemas, incluindo:

• Esgotamento da bateria do dispositivo móvel.
• Uso de dados que gera reclamações sobre cobranças.
• Esgotamento das conexões da RAN.

Cenário 3: ataques de DNS/sinalização originados no lado móvel

Em vez de visar os dispositivos, os ataques provenientes da rede móvel podem ter como alvo a infraestrutura de sinalização da operadora, incluindo o DNS e os sistemas de tarifação e faturamento.

Figura 6: Ataques intensivos de DNS e sinalização podem ter origem em um dispositivo móvel.

Os riscos de um ataque dessa natureza incluem:

1. Esgotamento dos recursos de tempo de transmissão/RAN.
2. Uso do volume de dados pelos assinantes e reclamações sobre cobrança.
3. Sobrecarga e colapso da infraestrutura de DNS.
4. Erros nos registros de dados dos assinantes.

Como você pode ver, compreender e lidar com todos os possíveis riscos de segurança enfrentados por uma operadora de rede LTE pode, de fato, ser uma tarefa complexa. Felizmente, a F5 pode oferecer soluções personalizadas e de nível de operadora para mitigar esses riscos.

Proteja sua rede LTE em todos os lugares com a F5

Os maiores provedores de serviços de comunicação do mundo confiam na F5 para ajudá-los a proteger e simplificar suas redes, melhorar a qualidade dos serviços e aumentar a lucratividade. Hoje, a F5 está em uma posição privilegiada para ajudar os provedores de serviços a gerenciar a explosão de dados e migrar de forma transparente para o IPv6, com um amplo portfólio de soluções de nível de operadora que oferecem vários serviços, incluindo segurança, em uma plataforma unificada. A plataforma F5 permite que os provedores de serviços reduzam o tempo de lançamento no mercado, diminuam os custos operacionais e de capital, melhorem o desempenho e a segurança da prestação de serviços e monetizem os serviços de rede.

O conjunto de soluções da F5 para provedores de serviços inclui soluções de segurança, virtualização de funções de rede (NFV), gerenciamento de tráfego de dados e sinalização Diameter e DNS. Todas as soluções da F5 estão disponíveis tanto em plataformas de hardware físico de alto desempenho desenvolvidas especificamente para essa finalidade quanto em diversas plataformas virtuais ou de nuvem. Além disso, o gerenciamento e a orquestração dessas soluções estão disponíveis por meio da plataforma de gerenciamento F5® BIG-IQ® e das APIs de cada produto.

À medida que as redes continuam crescendo e alcançando uma escala cada vez maior, as características do tráfego que circula por elas também evoluem, resultando em um número maior de conexões TCP, com predominância de conexões mais curtas e frequentes. Essa evolução do tráfego de aplicações implica que a rede do provedor de serviços agora exige soluções de infraestrutura compatíveis com uma escala extremamente alta de conexões TCP. As soluções de segurança legadas não são escaláveis nem oferecem o desempenho necessário para redes e aplicações modernas de alto desempenho; portanto, não serão suficientes para garantir segurança, desempenho e confiabilidade no ambiente atual.

Redes virtuais ou de sobreposição e serviços de rede virtualizados, usados para criar serviços de rede over-the-top (OTT) ou no atacado, também acrescentam outro nível de complexidade à medida que os requisitos de escalabilidade aumentam e novos serviços e aplicações com requisitos rigorosos de latência são executados nessas redes.

Toda essa transformação gera uma necessidade crítica de soluções de segurança e gerenciamento de tráfego capazes de oferecer enorme escalabilidade e alto desempenho. As soluções da F5, que atendem a ambos os requisitos, são perfeitamente adequadas a esses novos ambientes operacionais e de serviços.

Soluções da F5 para segurança de LTE

As soluções de nível de operadora da F5 para provedores de serviços permitem que as operadoras protejam suas infraestruturas LTE, os dispositivos dos assinantes e as aplicações OSS contra possíveis invasores. Especificamente, a implantação de soluções de gerenciamento de tráfego local e global, como o F5 BIG-IP® Local Traffic Manager™ (LTM) e o BIG-IP® DNS, no data center da operadora — juntamente com soluções de firewall da F5 para as camadas 4 e 7, como o BIG-IP®Advanced Firewall Manager™ (AFM) e o BIG-IP® Application Security Manager™ (ASM) — protegerá os clientes móveis contra ataques provenientes da Internet e, ao mesmo tempo, protegerá o data center contra ataques provenientes da rede móvel.

Dentro do próprio data center, o firewall de camada 4 da F5 pode transferir as funções de segurança da infraestrutura central da operadora, aumentando a segurança e reduzindo os custos. Além disso, o BIG-IP® Carrier-Grad NAT (CGNAT) oferece a escalabilidade e o desempenho de NAT de nível de operadora necessários para atender a milhões de usuários. A visibilidade e a aplicação de políticas sobre o payload do tráfego dos usuários também podem ser fornecidas pelo BIG-IP® Policy Enforcement Manager™ (PEM), permitindo proteger e monetizar o tráfego de serviços.

As plataformas físicas e virtuais BIG-IP também fornecem um endpoint de criptografia e descriptografia SSL de alto desempenho e altamente escalável para habilitar e impor conexões seguras de e para o núcleo da operadora, protegendo assim a infraestrutura da rede de acesso. O uso das plataformas de segurança BIG-IP AFM e BIG-IP ASM nos pontos de interconexão protege tanto a infraestrutura de rede quanto os clientes móveis contra ataques de parceiros de rede em roaming.

Por fim, os sistemas OSS e BSS, incluindo bancos de dados de assinantes, DNS e outros sistemas de sinalização e cobrança na rede da operadora, podem ser protegidos contra ataques de funcionários mal-intencionados ou ameaças móveis e da Internet pelo BIG-IP AFM, BIG-IP DNS e F5 Traffix® Signaling Delivery Controller™ (SDC). A F5 também oferece um conjunto completo de opções de gerenciamento e orquestração para arquiteturas de última geração, como SDN e NFV, incluindo APIs northbound e a plataforma de gerenciamento BIG-IQ.

Figura 7: O conjunto de soluções de nível de operadora da F5 pode garantir segurança abrangente, desde a rede principal até os dispositivos dos usuários.

Em resumo, a F5 oferece soluções abrangentes de segurança para provedores de serviços, capazes de proteger:

1. Dispositivos móveis dos assinantes.
2. A camada de dados da própria rede S/Gi, bem como as conexões com data centers e de peering.
3. A rede de acesso para conexões sem fio e cabeadas.
4. A camada de sinalização com o Traffix SDC e os serviços do BIG-IP DNS.
5. Aplicações para as funções de rede virtualizadas (VNFs) no data center.

Todos os serviços acima podem ser coordenados de ponta a ponta em toda a rede e aplicados com um conjunto consistente de políticas. Por fim, a proteção contra DDoS pode ser fornecida em todas as camadas da rede, em todas as plataformas de hardware ou de edição virtual BIG-IP.

Benefícios das soluções de segurança da F5

As soluções de segurança e gerenciamento de tráfego da F5 para provedores de serviços permitem que as operadoras de rede:

• Mantenha a segurança do provedor de serviços em um cenário em constante mudança. A F5 oferece aos provedores de serviços uma solução de segurança abrangente, com enorme escalabilidade, capacidade de programação e extensibilidade.
• Simplifique. Como todas as funções acima (exceto o Traffix SDC) estão disponíveis em uma única plataforma BIG-IP, uma operadora pode consolidar e simplificar sua infraestrutura de data center e suas operações de rede, reduzindo assim o CapEx, o OpEx e o TCO.
• Proteja a marca do provedor de serviços. As soluções de segurança da F5 integram-se a uma única arquitetura de entrega de serviços, que proporciona uma postura de segurança proativa e experiências ideais para os assinantes.
• Proteja-se contra ataques de última geração. As soluções de segurança da F5 oferecem aos provedores de serviços uma plataforma altamente escalável, que proporciona maior taxa de transferência, mais conexões por segundo e mais sessões simultâneas, além de proteger contra ataques de última geração.
• Expansão segura para novas fontes de receita. A F5 protege e garante a disponibilidade das redes de provedores de serviços e da infraestrutura de aplicações nas condições mais exigentes, viabilizando a entrega segura de novas aplicações e serviços de rede que impulsionam o crescimento da receita.

Conclusão

A principal preocupação dos provedores de serviços continua sendo proteger contra ataques toda a sua infraestrutura crítica de rede, mas os ataques a equipamentos de usuários agora também estão definitivamente entre suas preocupações. Embora, no passado, alguns provedores de serviços possam ter considerado os ataques a dispositivos móveis como algo fora do âmbito de suas responsabilidades, a maioria agora compreende plenamente os possíveis danos causados por esses ataques e reconhece que precisa dispor de ferramentas para evitar que esses incidentes ocorram.

O desafio dos provedores de serviços de garantir a segurança de ponta a ponta em toda a prestação de serviços é agravado pelo fato de que a distinção entre ataques a equipamentos de usuários e ataques a elementos de rede está cada vez menos clara. Isso reforça a necessidade de os provedores de serviços implementarem uma estrutura de segurança escalável, avançada e abrangente, que proteja suas redes e seus clientes e, ao mesmo tempo, ofereça ferramentas e recursos para enfrentar novas ameaças sofisticadas à medida que surgem. Adotar uma postura de segurança robusta é agora mais importante do que nunca, e os provedores de serviços móveis podem proteger melhor suas redes LTE em evolução com os amplos recursos de segurança para provedores de serviços que somente a F5 pode oferecer.

Saiba mais sobre o conjunto de soluções da F5 para provedores de serviços em f5.com/solutions/service-provider.

PUBLICADO EM 28 DE JANEIRO DE 2016