Dell PowerStore – абсолютная готовность к инновациям в IT

С момента своего анонса линейка массивов Dell PowerStore стабильно демонстрирует высокую динамику своего развития. В апреле 2021 года, спустя почти год с момента выхода платформы на рынок, произошло два знаковых события.

Первое из них – выход большого обновления программного обеспечения PowerStoreOS (так называемое обновление PowerStoreOS 2.0), под управлением которого функционируют СХД.

Второе – выход на рынок новой аппаратной платформы для PowerStore, в виде новой, самой младшей модели – PowerStore 500T.

 

В обновление программной составляющей — PowerStoreOS вошло достаточно большое количество новшеств. Кратко остановимся на основных из них.

Новая версия обеспечила значительное увеличение производительности для каждой модели в семействе. В реальных рабочих нагрузках показатели количества операций ввода-вывода в секунду (IOPS) увеличились на величину до 25%. Такой прирост обеспечивается кропотливо проведенной работой по оптимизации внутренних алгоритмов работы программного обеспечения.

 

То, что компания обещала на старте продаж PowerStore — полная поддержка протокола NVMe-over-Fibre Channel – также было реализовано в этом обновлении. Поддержка данной технологии обеспечивает возможность использования современных высокопроизводительных носителей данных NVMe с максимальной эффективностью – задержки (latency) при обращении к накопителям NVMe в составе дискового массива настолько же низкие, как и в случае использования локальных дисков NVMe непосредственно в составе серверов.

 

Также, была реализована анонсированная возможность кластеризации нескольких устройств для моделей семейства PowerStore X. Теперь и семейства PowerStore T и PowerStore X могут быть горизонтально масштабированы до восьми узлов (или – 4 различных модели в пределах семейства). Благодаря этому существующий функционал AppsON, дающий возможность запускать виртуальные машины и приложения непосредственно на СХД, теперь может функционировать в кластере из нескольких массивов PowerStore Х.

 

За счёт усовершенствования и оптимизации механизма дедупликации и компрессии данных, PowerStoreOS теперь также учитывает и уровень утилизации контроллеров СХД. В периоды экстремальной нагрузки на подсистему ввода-вывода, встроенная дедупликация PowerStore будет временно отложена, чтобы снизить загрузку на процессоры массива. При этом система отслеживает любые «пропущенные блоки» и вернётся к их автоматической обработке позже, когда нагрузка на контроллеры СХД будет снижена. Таким образом удаётся достичь почти полного отсутствия влияния на производительность массива со стороны механизмов оптимизации хранимых данных. При этом гарантированный Производителем средний коэффициент «Data Reduction» составляет все те же 4:1.

 

Благодаря улучшению технологии Dynamic Resiliency Engine (DRE) для дополнительного резервирования критичных данных теперь можно использовать механизм двойной четности. Выбор такого уровня защиты данных позволяет обеспечить их доступность в случае одновременного выхода из строя двух дисков SSD. Изменения произошли и в части использования накопителей Storage Class Memory (SCM). В отличие от подавляющего большинства существующих на рынке решений, PowerStore всегда поддерживал SCM для постоянного хранения данных, а не только для их кэширования. И теперь, массивы PowerStore получили ещё одну возможность использования накопителей SCM — для увеличения скорости доступа к метаданным. Причем система сама определяет, какие диски – NVMe и/или SCM есть в ее распоряжении – и перераспределяет данные и метаданные соответствующим образом, обеспечивая максимально эффективный доступ к их данным, размещенным на них.

 

Хотелось бы обратить внимание, что все перечисленные выше преимущества обеспечиваются простым обновлением системного ПО PowerStoreOS, без прерывания работы массива или доступа к его данным. Поэтому их также получают и те клиенты, которые успели приобрести PowerStore ранее – в рамках действия сервисного контракта на поддержку.

 

 

Благодаря вполне доступной цене, младшая модель PowerStore 500T вызвала живой интерес у большого количества Заказчиков.

 

 

Также, как и ее старшие собратья, модель поддерживает кластеризацию до четырех устройств PowerStore, причём кластер может состоять из разных моделей семейства PowerStore Т.  Например, к массиву PowerStore 500T можно подключить в кластер до трех таких же массивов, что позволит получить до 4.8 PB эффективной ёмкости. Если же в составе кластера сочетать и другие модели семейства PowerStore T — это позволяет получить до 9.8 PB эффективной ёмкости. Такая возможность дает чрезвычайную гибкость и запас для увеличения не только дисковой ёмкости, но и производительности по мере того, как потребности компании развиваются с течением времени.

 

Линейка PowerStore в максимальной степени готова и для внедрения таких инновационных направлений, как контейнеризация приложений.

 

На этом вопросе хотелось бы остановиться подробнее.

В течение многих лет архитектура приложений сохранялась монолитной. Традиционные типы приложений обладают большой мощностью и эффективностью и работают на виртуальных машинах. Однако, такие приложения достаточно сложны в задачах администрирования, имеют длительное время загрузки.

В отличие от монолитной архитектуры, в облачных приложениях необходимые компоненты сегментируются на микросервисы, которые затем объединяются и развертываются с помощью контейнеров. Это даёт возможность независимо обновлять и масштабировать облачные приложения.

Оба подхода присутствуют в сегодняшних современных приложениях, но скорость и гибкость облачных — повсеместно меняют приоритеты в свою пользу. При этом платформа Kubernetes выступает в качестве отраслевого стандарта, который позволяет успешно решать такие задачи, как: автоматизация операций развертывания, масштабирование и управление контейнерными приложениями, поиск дополнительных сервисов, балансировка нагрузки и управление хранилищами.

 

Экосистема Kubernetes быстро растет, как можно видеть на приведенном ниже графике. Ожидается, что к 2025 году до 70% предприятий будут использовать Kubernetes. При этом 54% таких нагрузок ​​будут развернуты в производственной среде предприятия, непосредственно в его дата-центре.

 

 

Но, не все так радужно. Kubernetes создает множество проблем, среди которых:

• Сложный регламент внутренних согласований, из-за которого команда DevOps зачастую предпочитает использовать ресурсы публичного облака, вместо утилизации существующей IT-инфраструктуры (например, в этом случае разработчикам совершенно не нужно задумываться откуда им будут предоставлены ресурсы).
• Усложнение работы администраторов из-за отсутствия прозрачности и мониторинга контейнерных нагрузок, а также соблюдения требований доступности, безопасности и соблюдения нормативных требований.

• Kubernetes не может автоматически гарантировать, что ресурсы правильно распределяются между различными рабочими нагрузками — необходима ручная настройка квот ресурсов.

 

 

Зачастую, разработчики не акцентируют своё внимание на присутствие в локальной IT-инфраструктуре централизованных систем хранения данных. При этом именно такие системы способны обеспечить выдающиеся показатели производительности, надёжности и эффективности.

Изящный способ решения вопроса — интеграция дисковых массивов с Kubernetes CSI (Container Storage Interface) API. Соответствующие плагины CSI позволяют предоставить блочные и файловые системы хранения для контейнерных рабочих нагрузок.

Благодаря наличию Container Storage Modules (CSM) дисковые массивы Dell расширяют возможности хранилища Kubernetes за пределы того, что по умолчанию доступно в спецификации CSI. 

Это снижает сложность управления, поэтому разработчики могут с легкостью самостоятельно использовать корпоративное хранилище и автоматизировать повседневные операции, такие как: выделение ресурсов, создание моментальных снимков, репликация, контроль, авторизация на основе ролевого управления доступом, отказоустойчивость. Модуль CSM имеет открытый исходный код и свободно доступен.

Конечные эффекты от использования такой интеграции — ускорение жизненного цикла развертывания приложений и укрепление роли корпоративного хранилища как жизнеспособной альтернативы публичному облаку.

Указанная функциональность применима к широкой номенклатуре систем хранения от Dell и затрагивает не только PowerStore, но и PowerScale, PowerMax, PowerFlex, Unity XT.

В частности, массивы PowerStore поддерживают интеграцию с широким спектром платформ для контейнеризации: Kubernetes, Red Hat OpenShift, Mirantis Kubernetes Engine, Google Anthos, VMware Tanzu, Rancher Kubernetes Engine.

Можно с уверенностью констатировать, что, выбирая массивы PowerStore от Dell, Заказчик не будет ограничен в технологиях не только сегодняшнего, но и завтрашнего дня. Специалисты компании «AM-BITS» всегда готовы оказать содействие в выборе оптимальной модели и конфигурации СХД под конкретные бизнес-задачи. Напишите нам на info@am-bits.com, если необходима дополнительная консультация по СХД DELL PowerStore.

 

Предлагаем так же воспользоваться возможностью и протестировать оборудование DELL PowerStore! Подробнее тут: https://am-bits.com/dell-powerstore-2

 

———

При написании статьи использовались материалы ресурса «Itzikr’sBlog» ( https://volumes.blog/ ).

Переход с HPE 3PAR на HPE Primera: новые возможности систем хранения данных для бизнеса

Что произойдет с бизнесом, если важные данные станут недоступными на несколько минут? Несколько часов? Даже небольшая компания может понести существенные репутационные потери, особенно если ситуация приведет к остановке основных приложений и ключевых процессов. Что уж говорить о рисках для крупного предприятия? Сейчас защита данных со 100% гарантированной работоспособностью — одна из основных задач современного бизнеса.

Компании, которые успешно использовали надежные системы хранения данных (далее — СХД) HPE 3PAR, могут оценить расширенные возможности с новым поколением СХД — HPE Primera. Почему стоит переходить на новую платформу и как это сделать, объясняет Вячеслав Романченко — руководитель департамента инфраструктурных решений системного интегратора AM-BITS.

Переход с СХД 3PAR на Primera: зачем это нужно

Жизненный цикл систем хранения данных 3PAR завершается. Безусловно, компании, которые используют эти системы, будут иметь возможность масштабировать их и продолжать сервисное сопровождение, однако основные технологические инновации компании Hewlett Packard Enterprise теперь представлены в новом семействе СХД — Primera.

Следует отметить, что количество используемых в Украине СХД 3PAR, очень популярных в последние несколько лет, довольно велико. В HPE учли это, и СХД Primera унаследовали многие достоинства предшественников, а также прошли глобальную доработку софтверного уровня, получив новую функциональность.

5 преимуществ перехода на Primera

1. Primera — платформа для бизнеса, которая обеспечивает высочайшую надежность. Система использует интеллектуальные методы предупреждения возможных проблем, аварий, с полной гарантией доступности данных в базовой комплектации от производителя. Она сохранила почти всю функциональность предшественника. Кроме того, внедрены инновации, например: вместо монолитного образа ОС используется архитектура микросервисов; каждая опция вынесена в отдельный контейнер; внесение изменений не повлияет на базовые опции массива. Такие нововведения обеспечивают надежность и доступность.
2. Все программные опции Primera вошли в базу массива all inclusive system. Опциональную лицензию нужно покупать только для задач шифрования, остальное входит в состав массива по умолчанию.
3. Primera спроектирована как система All-flash, однако ее можно приобрести и в виде гибридного массива. В этом случае механические диски будут работать в составе отдельного пула с относительно невысокой производительностью.
4. Владельцы получают 3-летнюю гарантию доступности 100% данных, входящую в базовую комплектацию без дополнительной оплаты. Если у клиента из-за сбоя массива пострадает доступность данных, компания HPE оперативно устранит проблему. Кроме того, разработчик предоставляет ваучер для будущих инвестиций в систему (модернизацию, обновление и расширение), сумма может покрывать до 20% оценочной стоимости массива. Конечно, предусмотрены условия: приобретение определенного уровня сервиса, интеграция систем хранения с облачным сервисом для отправки телеметрии, своевременная установка всех выпущенных патчей, релизов ОС и т. п.
5. Для Primera возможен сценарий поддержки новых технологий на длительный период при условии прогнозируемых расходов. Покупая любой All-flash массив Primera, клиенты могут подписаться на программу HPE Timeless Storage — платное приложение к услугам гарантийной поддержки. Продлевая подписку на эту программу каждые три года, владельцы СХД могут получать обновления технологий без прекращения работы массива. На практике это реализуется в виде установки контроллеров нового поколения с сохранением накопителей и данных на них. Вопреки тому, что подписка платная, ее наличие прогнозируемо сократит расходы на совокупную стоимость владения СХД до 40% по сравнению с классическим подходом (приобретением новой системы хранения, списанием старой и т. п.). Если же клиент не подписался на эту программу, но со временем решил провести апгрейд, это будет возможно только в рамках текущего поколения.

Дополнительное преимущество — упрощенный процесс перехода на новые микрокоды массива. В СХД 3PAR для этого требовалось участие технической команды вендора, а для Primera инженерный персонал владельца может реализовать значительную часть этапов самостоятельно. В частности, можно увидеть новые версии микрокодов для своей конфигурации массива и обновить их силами собственной инженерной команды.

 

Миграция без приостановления доступа к данным

У владельцев СХД есть несколько вариантов действий в зависимости от того, что используется на исходных системах.

 

Так, если компания имеет классическую виртуальную инфраструктуру (размещенную на дисковом массиве виртуальных машин), миграция будет простой. Достаточно ввести в работу новую систему, и виртуальные машины можно переместить, используя штатную функциональность среды виртуализации. Этот процесс понятен специалистам, и его могут осуществить системные администраторы компании.

 

Если нужно перемещать данные из физических сред, принципы будут другими. Конечно, компании важно минимизировать время недоступности данных, поэтому следует провести подготовительную работу: сопоставить версионность, проверить совместимость ОС хостов, ознакомиться с исключениями и т. п. Все это детально описано в специализированной документации HPE. В общем, миграцию из физических сред целесообразно поручать экспертам вендора или проводить ее совместно с технической командой компании-интегратора.

Три сценария реализации миграционного процесса

1. Классическая асинхронная репликация. Дает возможность обеспечивать передачу данных на каналах с высокой задержкой. Хорошо работает на больших (до 15 тыс. км) расстояниях, но снепшоты создаются с периодичностью от нескольких минут до нескольких месяцев. Это не всегда удобно для бизнеса.
2. Синхронная репликация для каналов с небольшой задержкой и значительно меньшей дистанцией между площадками. Ее используют, чтобы свести потерю почти к нулевому показателю.
3. Peer Persistence — принцип, основанный на синхронном удаленном копировании данных. Обеспечивает прозрачное переключение операций ввода-вывода хоста с одной системы хранения на другую.

Оптимизация расходов в процессе перехода на СХД нового поколения

В Украине часто практикуется подход, при котором бизнес сначала приобретает объем системы хранения, достаточный для миграции самых важных бизнес-приложений и информационных сервисов. Позже он докупает дисковый массив и переносит на него второстепенные программы. Это оптимизирует расходы, к тому же заказчик может проверить, насколько эффективно новая система компрессии и дупликации данных на дисковом массиве работает с его информацией и экономит дорогое дисковое пространство. Это создает основу рационального планирования дальнейшего масштабирования. При необходимости оценить коэффициент оптимизации данных можно с помощью утилит. Они доступны партнерам компании HPE.

Какие тонкости важно учесть

• Корректное применение: насколько можно сжать данные, которые будут размещать на целевой системе, с учетом их типа. Тут важна экспертиза партнера или вендора, которая поможет заказчику выйти на разумный объем хранения, который покрывает его потребности.
• Возможное приобретение услуги HPE Timeless Storage для перехода на контроллеры новых поколений без простоев системы.
• Глубокая экспертиза по выбору модели Primera: 2- или 4-контроллерной. Следует отметить, что можно сначала приобрести 2-контроллерный массив, а позже перейти на 4-контроллерный.
• Планы роста бизнеса: выяснить потребности и найти модель, способную обеспечить необходимую производительность и выйти на нужный уровень масштабируемости.

 

HPE Primera — относительно новый для украинского рынка продукт, однако он обладает потенциалом, необходимым для современного бизнеса. Это уникальная по ценовому позиционированию и возможностям интеллектуальная СХД для критически важных приложений. При поддержке официального интегратора HPE можно подобрать оптимальное решение с учетом индивидуальных потребностей компании и стратегии будущего расширения.

 

Если у вас возникла необходимость перехода с HPE 3PAR на HPE Primera, обращайтесь к специалистам компании АМ-БИТС, которая является платиновым сертифицированным партнером Hewlett Packard Enterprise (HPE Platinum Certified Partner).

• Platinum Hybrid IT specialist
• Gold Services specialist
• Service Delivery Partner
• Aruba Silver Partner

HPE Primera 600 — СХД для критически важных приложений

В процессе роста и развития бизнеса компаниям часто непросто поймать баланс между  управлением сложной ИТ-инфраструктурой и поддержкой ее бесперебойной работы. Предприятиям необходимо ускорять вывод на рынок новых приложений, при этом продолжать обеспечивать производительность и работоспособность уже действующих сервисов. Возможности HPE Primera Storage избавят компании от необходимости выбирать между гибкостью бизнеса и бесперебойной работой приложений. Эта система хранения ориентирована на выявление и использование максимального потенциала данных для целей бизнеса. Портфель решений сочетает преимущества автоматизации работы администраторов, при этом обеспечивая исключительную доступность, высокую производительность и отказоустойчивость корпоративных приложений.

 

Бизнес-преимущества HPE Primera

Эти системы хранения, основанные на использовании аналитических возможностей HPE InfoSight, обеспечивают доступ к данным без малейших задержек и высокую надежность, при этом подключаются и настраиваются менее чем за полчаса. С этими решениями компании получают ряд преимуществ.

 

Использование без лишних сложностей

С HPE Primera Storage предприятия могут сократить до 93% времени, необходимого на развертывание или масштабирование системы:

• полная настройка от установки оборудования в стойку до запуска приложений занимает около 20 минут;
• большинство задач по настройке возьмет на себя самооптимизирующаяся система на основе ИИ;
• не потребуется привлечение сервисных инженеров для установки и настройки или использование специальных инструментов для управления;
• возможно создание «инфраструктуры как кода» благодаря управлению через интерфейс API;
• для обновления ПО потребуется до 5 минут.

 

100% доступность гарантирована

Решение обеспечивает высокую производительность и исключает простои в работе приложений. Повышенная отказоустойчивость каждой модели гарантирует отсутствие сбоев. За это отвечают адаптированная для приложений защита данных, аналитика и встроенные интеллектуальные опции и на основе ИИ и машинного обучения. Система эффективно прогнозирует и предотвращает сбои и проблемы от СХД до приложения, обеспечивает оптимизацию рабочих задач и мгновенную доступность данных в любой момент.

 

Встроенная аналитика

Задачи оптимизации производительности и автоматизированного размещения рабочих задач в реальном времени решают технологии искусственного интеллекта. ПО HPE InfoSight обеспечивает быструю аналитику в режиме реального времени и динамическую оптимизацию производительности. Благодаря таким возможностям вмешательство пользователей в процесс управления сведено к минимуму, а система хранения становится самоуправляемой.

 

Уникальная операционная система

ОС HPE Primera обеспечивает простое использование и управление СХД, надежность и ускоренный доступ к обновлениям. При появлении новой версии ПО, HPE InfoSight немедленно отправит уведомление, а для установки обновления достаточно нажать одну кнопку. Сервисно ориентированная операционная система дает возможность обновлять ОС за несколько минут без перезагрузки контроллера и остановки бизнес-приложений. В решении доступно развертывание и обновление одних служб данных независимо от других.

 

Инвестиции в СХД под защитой

Модель HPE Timeless Storage предлагает компаниям комплексное лицензирование с фиксированной оплатой за поддержку, а также с обновлениями, которые не потребуют остановок в работе системы хранения и бизнеса. В это предложение входят гарантии отказоустойчивости и бесперебойной работы, возможность выбора гибких вариантов использования в соответствии с бизнес-потребностями. Компаниям не нужно дополнительно платить за обновления технологий, программные опции и сжатие данных с HPE Store More Guarantee. HPE Primera — это вечная СХД, которая в будущем не потребует глобальных модернизаций.

 

Новый уровень производительности

СХД HPE Primera основана на архитектуре с томами, активными на всех контроллерах, портах и носителях 24/7. Это массово-параллельная, постоянно активная система, с оптимизацией для использования NVMe-модулей. Решение обеспечивает высокую производительность, необходимую для современных и сложных критически важных приложений.

 

Компонуемость и интеллектуальные опции

СХД предоставляет компаниям возможности для ускоренного вывода на рынок новых продуктов, снижения количества проблем и сбоев, а также быстрого упрощенного масштабирования по мере роста и развития бизнеса. Например, интеллектуальная инфраструктура решения обеспечивает сокращение времени на развертывание баз данных Oracle на 89%. Благодаря мониторингу всей инфраструктуры системой на основе ИИ достигается автоматическое устранение сбоев и проблем и обеспечивается постоянная доступность данных.

 

Возможности гибридного облака

В HPE Primera реализована расширенная защита данных, интегрированная в приложения, доступная в том числе в облаке. Решение гарантирует быстродействие и мобильность данных, упрощая процессы управления и обеспечивая безопасное и экономное перемещение данных между облаками.

 

 

Модельный ряд HPE Primera 600 Storage

На данной аппаратной платформе разработаны три модели систем хранения. Каждая из них доступна в двух конфигурациях: All Flash (с индексом «А») и гибридная (с индексом «С»):

• HPE Primera 630. Это младший массив решения производительностью 75 тыс. IOPs, оснащенный двумя контроллерами.
• HPE Primera 650. Модели оборудованы двумя или четырьмя контроллерами, производительность составляет 235 тыс. IOPs.
• HPE Primera 670. Старший массив хранения, в котором число контроллеров — два или четыре, а производительность достигает 300 тыс. IOPs.

 

На начальном этапе компаниям может подойти СХД HPE Primera 630 с наиболее выгодным price-предложением. При дальнейшем масштабировании для всех моделей доступна модернизация с заменой контроллера, при этом не потребуется останавливать работу критически важных приложений. Уведомление о перегруженности установленной модели направит HPE InfoSight. Таким образом, HPE Primera Storage, обеспечивает стабильный бесперебойный рост бизнеса, позволяя высвободить до 90% времени на администрирование СХД.

Эффективность APM-решений AppDynamics: Интервью с экспертом АМ-БИТС

Cisco CATALYST 9000

Новое поколение коммутаторов Catalyst 9к на данный момент состоит из серии Catalyst 93xx, 94xx, 95xx и представляет собой линейку устройств, разработанных с учетом новых реалий цифровой эпохи и обеспечивающих новый уровень безопасности, программируемости и производительности, реализованный на основе инноваций Cisco Systems в области аппаратного и программного обеспечения.

Так, например, если сравнивать наиболее распространённый сейчас коммутатор фиксированного ядра Cisco Catalyst 4500Х и 9500 (рекомендуемая замена для 4500Х), то линейка 9500 обладает в 3 раза большей производительностью и пропускной способностью, в 5 раз большей буферизацией и скоростью CPU, в 4 раза большим объёмом памяти, флеш и скорости работы портов, в 2.4 раза большей плотностью портов 10G. Но и это ещё не всё, поддерживается UADP 2.0, Perpetual/fast PoE, SD-Access, x86 CPU и контейнеры (containers), ETA, AES256/MACSEC256, StackWise Virtual, IEEE1588 и AVB, NBAR2,Model-driven programmability, Patching/GIR, Streaming telemetry:

 

 

Функционал SD-Access и ETA хотелось бы отметить отдельно. SD-Access, он же Software-Defined Access (программно определяемый доступ) представляет собой технологию автоматизации применения политик и сегментации сети, используется для существенного упрощения доступа к сети со стороны пользователей, устройств и других объектов. Благодаря Cisco DNA Center и SD-Access (программно-определяемому доступу) платформа коммутации Catalyst 9к способна работать как часть единой интеллектуальной сетевой фабрики, что значительно ускоряет выполнение задач проектирования сети, выделение ресурсов и обслуживание. Больше нет необходимости копировать, модифицировать и вставлять настройки для каждого коммутатора по отдельности. Автоматизация и контроль за соблюдением политик через единый интерфейс Cisco DNA Center позволяют создать настройки всего один раз и применить их ко всей сети.

ETA (Encrypted Traffic Analytics, анализ зашифрованного трафика).

 

 

Эта технология является дальнейшим развитием идеологии Cisco «Сеть как Сенсор», когда интегрируясь с ISE (Identity Services Engine) и Stealthwatch сеть способна не только обнаружить угрозу, но и автоматически её изолировать:

 

 

 

Только данное решение Cisco позволяет выявлять угрозы в зашифрованном трафике с точностью 99% при уровне ложных срабатываний менее 0,01%:

• 6 лет сбора статистики + машинное обучение + аналитика
• 180 патентов
• Множество методов и техник
• Точность 99%
• Ложных срабатываний 0,01%

 

Большинство кибератак сегодня маскируются в зашифрованном трафике, и численность их постоянно растет. Благодаря использованию Cisco Talos и машинному обучению, появилась возможность определять сигнатуры известных атак даже в зашифрованном трафике:

 

 

 

Пример обнаружения инцидента с помощью ETA в зашифрованном трафике показан на рисунке ниже:

 

 

 

Поведенческая аналитика зашифрованного трафика на основе паттернов позволяет обеспечить безопасность без ущерба для конфиденциальности, быстро обнаружить аномалию в трафике, а также избежать довольно ресурсоёмкую нагрузку на оборудование, связанную с процессом дешифрования. К тому же – во многих случаях это может быть практически невозможно.

 

 

 

Комплексная безопасность сокращает возможность атаки на сеть, и фактически защищает сеть ещё на этапе возникновения атаки, применяя активную аналитику для обнаружения вредоносного ПО и угроз во время атаки, а также обеспечивая быстрое автоматическое реагирование на угрозу и предотвращение ее распространения после атаки.

Cisco Catalyst 9k как платформа сетевых данных и обеспечение исполнения (Network Data Platform and Assurance).

 

 

 

Коммутаторы Cisco Catalyst 9k нового поколения выступают как мощная аналитическая платформа оперативно выполняющая классификацию и корреляцию больших объемов передаваемых по сети данных и с помощью машинного обучения трансформирующая их в проактивную аналитику, бизнес-информацию и оперативную информацию, выдавая результаты с помощью сервиса DNA Center Assurance.

Cisco FirePower

Включая в себя Next Generation Firewall, Next Generation IPS, URL-фильтрации, Advanced Malware Protection и VPN, FirePower позволяет раскрывать угрозы усиливать политики безопасности, обнаруживать, блокировать, защищать сеть от атак, устранять пробелы в безопасности и предотвращать будущие атаки, предоставляя комплексную защиту до, во время, и после атаки.

 

 

1. Автоматической подстройки сигнатурного набора

Порой для качественного отслеживания инцидентов и адекватной реакции на них человеческих ресурсов бывает недостаточно. Собирая следующую информацию у FirePower появляется возможность автоматически подстраивать наборы сигнатур для отдельных элементов сети:

• Актуальный список хостов/систем;
• перечень операционных систем с версиями и патчами на конечных устройствах;
• версиями и наличием клиентского ПО;
• список пользователей, находящихся за хостами;
• перечень возможных уязвимостей;
• наличие обмена данными между хостами в пассивном режиме.

2. Next-Generation Firewall (NGFW)

Межсетевой экран нового поколения, использует сигнатуры определения типов приложений и теперь способен производить фильтрацию вплоть до 7-го уровня, позволяя контролировать не только приложения, но и их функции.

При формировании политики фильтрации и политики обнаружения вторжений мы можем указать множество условий:

• Зоны, и/или сети и/или VLAN между которыми будет производиться фильтрация;
• интересующие нас пользователи AD, трафик которых хотим фильтровать;
• приложения, доступ к которым хотим ограничить/разрешить;
• порты tcp/udp, обращения с/на которые будем фильтровать;
• URL, разбитые по категориям и репутации.

Каждая запись ACL может быть усилена политиками предотвращения вторжений, политиками файловой фильтрации и защиты от Malware и/или политиками логирования.

 

3. Функция защиты Advanced Malware Protection

Эта технология включает защиту от Malware на уровне сети. Файлы, проходящие через устройство FirePower, подвергаются анализу с использованием облачных решений. Процедура выглядит следующим образом: инспектируемого файла снимается хэш SHA-256 и производится запрос в базу данных для выяснения диспозиции этого файла (является ли этот файл чистым). Если диспозицию файла выяснить не удается. То файл посылается в песочницу, для анализа его поведения. Дополнением к этому присутствует ретроспективный анализ, при котором запоминаются все пути распространения файлов и их атрибуты. В случае, если файл оказался-таки зловредом, система с легкостью его может отследить и заблокировать на уровне сети и показать все дополнительные компоненты, Malware программы и обращения к процессам, которые дали возможность заразить и дали начало распространения угрозы.

 

4. Функция Compliance Whitelist

Функция позволяет указать перечень хостов, с определенными операционными системами, наборами патчей, клиентскими приложениями, мы разрешаем видеть в сети. Если хост не соответствует критериям, система уведомит администратора и использует методы корреляции.

5. Функция профилей трафика

Функция отслеживания параметров соединений, устанавливаемых хостами сети. Основываясь на статистических данных, система собирает параметры соединения и создает базовый профиль соединений для каждого хоста.

6. Функция корреляции событий

Функция по отслеживанию, эскалации и реагированию на события предоставляет возможность по событию выставлять наборы условий с логическими их связками для генерации реактивного воздействия.

Система мониторинга и отчетности

Функция предоставляет статистическую информацию как по системе в целом, так и по каждой активности любого трафика. Например:

• активность пользователей, приложений (учитывая уровень рисков), операционных систем;
• оценка событий безопасности по уровню воздействия и уровню приоритета;
• статистика обнаружения активности зловредов и передачи зараженных файлов;
• местоположение хостов, реализующих враждебную активность и/или наиболее интенсивный информационный обмен;
• статистику наиболее часто посещаемых категорий сайтов, в том числе по репутации и самых посещаемых URL.

Каждое событие или инцидент детально изучается вплоть до содержимого пакета. Система так же содержит информацию о сработавшей сигнатуре и текста этой сигнатуры.  По необходимости можно сформировать отчет как по заранее подготовленным, так и по персональным шаблонам. Шаблон может включать графики таблицы, а также содержимое пакетов.

 

 

8. Система предотвращения вторжений (IPS) нового поколения

Система IPS следующего поколения устанавливает новый стандарт защиты от угроз благодаря интеграции функций учета контекста в реальном времени, интеллектуальной автоматизации и обеспечению непревзойденной производительности систем предотвращения вторжений. Возможности IPS:

• Учет контекста в реальном времени: возможность просмотра и сопоставления больших объемов данных событий, связанных с элементами ИТ – среды — приложениями, пользователями, устройствами, операционными системами, уязвимостями, службами, процессами, поведением сети, файлами и угрозами.
• Усовершенствованная защита от угроз: защита от современных угроз благодаря передовой технологии предотвращения угроз, эффективность которой подтверждена независимым тестированием и опытом использования тысячами заказчиков по всему миру.
• Интеллектуальная автоматизация: значительное сокращение совокупной стоимости владения и обеспечения соответствия меняющимся потребностям бизнеса благодаря автоматизации оценки влияния событий, настройки политик IPS, управления политиками, анализа поведения сети и идентификации пользователей.

9. URL-фильтрация

Опция фильтрации URL-адресов, с помощью которой организации могут применить фильтрацию веб-адресов на основе категорий и репутации, чтобы внедрить политики допустимого использования и сократить риск вторжения или заражения.

10. Система управления Defense Center

Полноценное управление всеми функциями FirePower осуществляется посредством Defense Center. Локально производится, только первоначальная конфигурация FirePower которая позволяет подключить устройство в сеть и настроить связь с центром управления.

 

 

Cisco Prime Infrastructure

Cisco Prime Infrastructure входит в раздел Cisco Prime for IT, который в свою очередь входит в Cisco Prime suite.

Cisco Prime suite довольно обширен и кроме Cisco Prime for IT также включает в себя отдельное портфолио Cisco Prime for Service Providers и Cisco Prime for Cloud, а те в свою очередь – собственные подразделы и продукты. Так, например, только Cisco Prime for IT включает в себя следующие продукты:

• Cisco Prime Infrastructure
• Cisco Prime Service Catalog
• Cisco Prime Network Analysis Module (NAM)
• Cisco Prime IP Express
• Cisco Prime Collaboration
• Cisco Prime Data Center Network Manager

 

Cisco Prime Infrastructure (также очень часто используется аббревиатура «PI») является наиболее распространённым и часто используемым заказчиками Network Management решением от Cisco Systems и используется для управления IT инфраструктурой предприятия Enterprise сектора. Основными преимуществами использования Cisco Prime Infrastructure являются:

• продуманный интерфейс и интуитивная настройка
• визуализация различной информации (например, Device 360 View)
• возможность кастомезировать профиль интерфейса (дашборды)
• простота и удобство эксплуатации
• поддержка огромного парка устройств Cisco Systems

 

К сожалению, есть и недостатки, система изначально нацелена на оборудование Cisco Systems и не является мультивендорной. Поддержка оборудования третьих производителей возможна, но только при наличии соответствующего MIB, чем обеспечивается контроль доступности.

Cisco Prime Infrastructure обладает модульной структурой, и в зависимости от набора модулей может обладать той или иной функциональностью. В состав Cisco Prime Infrastructure входят следующие программные компоненты (модули):

 

Lifecycle –основной модуль, помогает администраторам в решении ежедневных задач:

• мониторинг инфраструктуры, также включает возможность мониторинга и диагностики проблем беспроводной инфраструктуры
• гибкая настройка фильтров инцидентов
• создание резервных копий (ПО сетевых устройств, конфигурации)
• управление образами ПО
• статистика по работе устройств (uptime, состояние, инциденты и т.д.)
• инвентаризация устройств
• настройка оборудования, в т.ч. использование шаблонов
• базовый аудит сети

 

На сегодня наиболее актуальной версией Cisco Prime Infrastructure является версия 3.х. Интерфейс управления формируется с помощью необходимых администратору дашбордов (Dashboard) и позволяет вывести сразу всю наиболее важную и необходимую для администратора информацию (доступность устройств, алармы и инциденты, загрузка и т.д.)

 

 

Assurance – опциональный модуль:

• Информационная панель состояния услуг предоставляет обзорную информацию по состоянию важных приложений;
• Поддерживаеттехнологий Cisco AVC 2.0, NetFlow, Flexible NetFlow, NBAR2, Performance Agent, Medianet
• Контроль и диагностика приложений
• Настройка и мониторинг QoS на интерфейсах
• Поддержка NAM: Анализ трафика, Метрики по отклику приложений, Анализатор протоколов

 

 

Plug and Play – опциональный модуль, отвечает за возможность автоматической настройки оборудования без использования консольного доступа (используется механизм Automated Deployment Gateway). Улучшения в Cisco Prime Infrastructure 3.x

 

 

Cisco Prime Infrastructure доступен как в виде аппаратного решения (appliance), так и виртуального (может быть развернут на виртуальной машине). Ниже приведены требования к ресурсам для вариантов Express, Express Plus, Standard и Pro (виртуальная машина) и для appliance (в таблице соотв. EXP, EXP-Plus, STD, PRO и Gen2)

 

 

И в заключение немного предыстории, до 2011 года существовал довольно широкоизвестный портфель решений под названием Cisco Works, было большое количество инсталляций и у многих заказчиков он по-прежнему находится «в строю» и работает несмотря на то, что уже давно объявлен End of Life и End of Support. Cisco Works был переработан и составил основу Cisco Prime. Периодически, для устаревших продуктов вендор Cisco Systems запускает так называемую программу «trade in», которая позволяет существенно сэкономить на апгрейде устаревшего ПО и оборудования. Мы очень рекомендуем заказчикам, у которых остался и работает Cisco Works связаться с отделом продаж нашей компании и обсудить возможность апгрейда, т.к. Cisco Works не только морально устарел, но и претерпел довольно сильных изменений с точки зрения удобства эксплуатации, нового функционала, а также поддержки нового оборудования, появившегося в Cisco Prime.

Cisco Identity Service Engine (ISE)

Cisco Identity Service Engine (ISE) – представляет собой высокопроизводительное и гибкое решение для контроля доступа с учетом контекста, которое объединяет сервисы аутентификации, авторизации и учета (AAA), оценки состояния, профилирования и управления гостевым доступом в рамках единой платформы.

 

ISE имеет следующий функционал:

• Проведение аутентификации корпоративных пользователей и конечных устройств – предоставляет возможность определить каким корпоративным пользователям и/или устройствам разрешено получить доступ к сети.
• Обеспечение авторизации корпоративных пользователей и конечных устройств – определяет к каким сетевым ресурсам разрешен доступ пользователю и/или устройству, которые успешно прошли аутентификацию.
• Предоставление гостевого доступа – создание временного гостевого аккаунта для гостей, заказчиков, посетителей и определение доступных им корпоративных сетевых ресурсов.
• Использование корпоративными пользователями личных устройств – позволяет пользователю регистрировать личные устройства, с которых будет разрешен ограниченный доступ к ресурсам компании.
• Профилирование устройств – поддержка встроенных профилей устройств, а также их создание для более гибкой настройки политик доступа.
• Оценка состояния подключаемых устройств – позволяет проверять устройства, подключенные к сети на соответствие требованиям (например, к установленной ОС, антивирусу, обновлениям антивируса, антишпионского ПО и т.д.) и в случае несоответствия, уведомлять пользователя об этом и предлагать необходимые действия для выполнения этих требований.
• Предоставление ААА для сетевого оборудования – обеспечение единого места аутентификации, авторизации и учета доступа администраторов к сетевому оборудованию, без необходимости создания многих локальных учетных записей и правил доступа на этих устройствах.
• Обмен данными между платформами (pxGrid) – используется для обмена контекстной информацией между платформами Cisco и партнеров, для повышения скорости реакции на угрозы.

 

Cisco ISE может быть представлен в виде аппаратного (на базе Secure Network Server) или виртуального решения. Лицензирование осуществляется по количеству устройств и функционалу.

 

Типы лицензий:

• Base – постоянная лицензия которая разрешает функционал аутентификации и авторизации корпоративных пользователей и устройств, гостевого доступа и использования корпоративными пользователями личных устройств.
• Plus – является подпиской и дополнением к лицензии Base, добавляет функционал профилирования устройств и обмена данными между платформами (pxGrid).
• Appex – является подпиской и дополнением к лицензии Base, добавляет функционал оценки состояния подключаемых устройств.
• Device Administration – постоянная лицензия включает возможность предоставления ААА для сетевого оборудования для активации необходимо Base лицензия минимум на 100 устройств.