Назначение ЕПСК

Единая платформа сервисов кибербезопасности (ЕПСК) — набор сервисов для защиты ИТ-инфраструктуры и приложений от сетевых угроз и вредоносного ПО. Применение ЕПСК позволяет идентифицировать и закрыть слепые зоны в сетевом периметре организации, обеспечить применение лучших практик по защите информации и круглосуточное реагирование на инциденты безопасности, а также привести процессы защиты информации в соответствие с требованиями регуляторов и законодательства РФ.

Помимо повышения уровня защищенности применение ЕПСК позволяет перевести капитальные затраты в операционные, что приводит к снижению издержек на кибербезопасность и повышает точность их прогнозирования. Параметры ЕПСК можно гибко настраивать под текущие потребности бизнеса — быстро уменьшать или увеличивать производительность, расширять функциональность, а также подключать новые филиалы или точки продаж.

Одной из главных ценностей ЕПСК является переход от фрагментарной защиты информации, когда эксплуатация систем ИБ осуществляется только в будние дни (режим 8×5), к непрерывной защите от кибератак в режиме 24×7.

Таким образом, переход на ЕПСК приводит к повышению уровня защищенности сетевого периметра организации при одновременном снижении издержек на кибербезопасность, позволяя сконцентрироваться на решении первоочередных бизнес-задач.

Архитектура ЕПСК

ЕПСК располагается в облачной инфраструктуре Ростелеком-Solar и управляется командой квалифицированных ИБ-специалистов Solar JSOC — центра мониторинга и реагирования №1 в России. Это позволяет гарантировать производительность и отказоустойчивость сервиса, применение самых актуальных настроек и сигнатур, а также обнаружение и устранение инцидентов безопасности в максимально сжатые сроки.

В состав ЕПСК входят три сервиса: сервис по защите от сетевых угроз (UTM), сервис по защите электронной почты (SEG) и сервис защиты веб-приложений (WAF). Они могут использоваться как одновременно, так и по отдельности.

Для передачи трафика между ЕПСК и заказчиком у него устанавливается телекоммуникационное оборудование Ростелекома — CPE (Customer Premises Equipment). По желанию заказчика возможна организация защищенного туннеля для обеспечения конфиденциальности передаваемой информации.

CPE управляются и конфигурируются автоматически (технология Zero Touch Provisioning), что позволяет подключать новые локации менее чем за 24 часа. Возможна установка двух CPE для создания отказоустойчивой конфигурации — при выходе из строя одного устройства его мгновенно подменяет второе (режим Active-Standby).

Варианты исполнения CPE

Исполнение № 1
скорость до 70 Мбит/с

Исполнение № 2
скорость до 200 Мбит/с

Исполнение № 3
скорость до 1 000 Мбит/с

Типовые схемы подключения к ЕПСК

Схема № 1

CPE ставится «в разрыв» между инфраструктурой заказчика и интернет-провайдером. Весь поток данных направляется на «внутренний» LAN-порт CPE. На «внешнем» WAN-порте CPE организуется защищенный туннель от CPE в ЕПСК. При таком варианте подключения CPE является шлюзом заказчика для доступа в Интернет и терминирует на себе канал провайдера.

Схема № 2

CPE ставится «в разрыв» между инфраструктурой заказчика и пограничным маршрутизатором, организующим доступ в Интернет. Весь поток данных направляется на «внутренний» LAN-порт CPE, после чего поступает через «внешний» WAN-порт CPE на один из LAN-портов маршрутизатора. До прохождения трафика через маршрутизатор используется внутренняя IP-адресация («серая»), после — внешняя («белая»). Для IP-адреса WAN-интерфейса CPE настраивается NAT на маршрутизаторе заказчика.

Схема № 3

Заказчик определяет часть своей инфраструктуры, которая должна проходить через ЕПСК (остальная часть трафика маршрутизируется в Интернет в обычном режиме). Весь поток данных направляется на «внутренний» LAN-порт CPE, после чего поступает через «внешний» WAN-порт CPE на один из LAN-портов маршрутизатора. До прохождения трафика через маршрутизатор используется внутренняя IP-адресация («серая»), после — внешняя («белая»). Для IP-адреса WAN интерфейса CPE настраивается NAT на маршрутизаторе заказчика.

Данная схема подключения рекомендуется при необходимости разграничить сетевые ресурсы заказчика. В случае, если к одному из портов маршрутизатора подключен ресурс, открытый для доступа из Интернета, но который необходимо пропускать через сервисы ЕПСК, то в схеме подключения его следует поставить до CPE.

Для организации данной схемы подключения используется либо стандартная маршрутизация, либо маршрутизация на базе политик (PBR, Policy Base Routing).