通信服务提供商的网络安全
高性能的网络流量
概述
通信服务提供商(CSPs)在确保其网络安全方面面临着一个困难的挑战. 电信网络在全球范围内分布和多样化, 包括本地数据中心, 公共和私有云部署, 还有实体零售店. 这些位置通常包括客户无线网络和连接到企业广域网(WAN)的物联网设备。.
对于CSP来说，网络安全是最重要的问题. 所有的客户流量都要经过组织的数据中心, 使他们成为攻击的主要目标. 实体零售店的销售点(POS)系统也经常成为网络罪犯的目标. CSPs不仅必须按照适用的标准保护委托给他们的敏感数据, 比如支付卡行业数据安全标准(PCI DSS)和即将到来的PCI软件安全框架(SSF), 但也可以防止攻击，旨在降低他们向客户提供的服务. 要做到这一点，需要集中的可见性和全面的安全保护，而不会对网络性能和客户体验产生负面影响.
Headquarters网络安全
通信服务提供商(CSP)的Headquarters网络对其运营至关重要，并且包含大量的敏感信息. 从客户那里收集到的支付卡和账单信息流经并存储在这个网络上. 客户的流量在企业数据中心进行路由和处理, 为任何能够获得访问权限的攻击者提供了大量有价值的数据. 企业必须能够保护所有这些数据，并保持符合适用的法规.
然而，CSP的网络威胁暴露并不局限于数据盗窃. 分布式拒绝服务(分布式拒绝服务)攻击或勒索软件感染可能会导致关键服务下线. 这样做, 危害企业网络的攻击者可以利用和误用internet上的监控设备.
数字创新促使许多csp扩大他们的广域网，除了现有的企业数据中心外，还包括公共和私有云. 保护这样的异构网络环境需要完全集成, 全面的网络安全解决方案. FortiManager, FortiSIEM, FortiAnalyzer 使安全团队能够实现跨网络的集中可见性和控制，并轻松地执行遵从性报告. FortiClient 和FortiEDR(endpoint检测和响应)提供集成, 针对员工工作站和POS系统的高级终端安全解决方案. FortiWeb 和 FortiNAC 提供网站安全性，并对联网物联网设备进行自动识别和漏洞扫描, 与 FortiAuthenticator 简化的身份management.
对csp, Fortinet解决方案减轻了保护复杂系统的负担, 具有以下特征的分布式网络:
- 与主要云提供商的本地集成和超过250个第三方安全解决方案
- 集中的可见性、management和政策执行
- 对法规遵循management、监视和报告的开箱即用的支持
- 内置analytics解决方案，提高应用程序可用性，节省IT资源
案例研究
POS的PCI合规性
支付卡行业数据安全标准(PCI DSS)是通信服务提供商(CSPs)主要关注的问题。. 零售店遍布全国, 跟踪和保护消费者支付卡数据是复杂的. 即将发布的PCI软件安全框架(SSF), 这些要求将得到更有力的执行, 实现和维护遵从性的复杂性将会增加.
实现和维护法规遵循需要一个集成的和有意的法规遵循方法. 许多组织试图实现安全控制，以满足监管需求. 这常常导致没有底层结构的点安全性解决方案一团糟, 它提供很少或根本没有实际的安全利益.
随着公司零售网点网络的扩展，PCI需求变得更加复杂, 实现维护和演示法规遵从性所必需的网络范围的可见性和集中management变得越来越困难. 随着新设备加入网络，公司的数字足迹扩展到云计算，数字创新举措增加了IT和安全团队的负担. 随着云计算的发展，这种情况进一步恶化, 在什么情况下，组织需要适当地保护和控制对云基础设施上处理和存储的受保护数据的访问, 哪些不是在他们的完全控制之下.
与 新萄新京十大正规网站安全结构, CSPs可以实现PCI DSS/SSF和其他合规领域所需的集中可见性和控制. 安全Fabric包括12个Fabric连接器和135个以上的Fabric应用程序编程接口(api)，可以与第三方解决方案进行开箱即用的集成. 开放的API生态系统, 与30多个威胁共享组织合作, 与100多个第三方供应商的产品集成，可以无痛集成和集中management任何安全解决方案.
控件提供的安全集成 新萄新京十大正规网站安全结构 为csp提供多种以合规为重点的解决方案，例如:
- PCI DSS和其他主要法规的开箱即用的报告模板
- 能够集中management和执行整个网络的安全策略
- 网络拓扑映射的自动设备识别
- Fortinet产品和Fabric-Ready合作伙伴解决方案提供的实时遥测数据
- 自动化威胁检测和响应，包括自动化拼接
分支机构位置的安全组网
通信服务提供商(CSPs)的分支位置需要快速访问, 可靠的, 以及可扩展的网络连接. 经常, 零售店必须为客户进行故障排除和维修, 这要求他们能够快速访问客户数据，并能够执行需要稳定, 可靠的网络连接.
通过传统的多协议标签交换(MPLS)线路部署这种连接是一种昂贵且不灵活的解决方案. 相比, 软件定义的广域网(SD-WAN)提供了MPLS的可靠性保证，但在宽带连接上运行. 通过优化使用多种传输媒体, SD-WAN提供更快的连接速度和更低的总拥有成本(TCO). 网络基础设施的优化可以提高网络性能，降低企业数据中心的负载, 提高操作效率. 这使得csp能够满足服务水平协议(sla)，同时最大限度地减少运营开支(OpEx).
部署SD-WAN时需要考虑的一个问题是，它需要额外的安全规定. 为了充分利用SD-WAN的edr, 在网络边缘部署安全是必要的，这导致了多点产品的出现. 这是不必要的 Fortinet安全SD-WAN, 不同于市场上其他解决方案的SD-WAN解决方案, 为SD-WAN提供了一个包括强大的SD-WAN威胁保护的一体化解决方案. 设备内置下一代防火墙(NGFW)，采用业界首个专用的SD-WAN专用集成电路(ASIC)芯片，为设备提供三层至七层的安全控制和业界领先的性能. Fortinet安全SD-WAN设备还包括一个集成的入侵防御系统(IPS), 在分公司进行全面的交通检查. 这使得流量可以直接路由到目的地, 提高网络性能, 尤其是云端交通, 在不牺牲安全.
Fortinet 安全SD-Branch为使用Fortinet扩展分支位置安全奠定了基础 SD-Branch. Fortinet SD-Branch集中了从internet到交换层各个分支位置的安全基础设施的可见性和management. 这提高了安全操作的效率, 简化合规活动的安全控制执行和数据收集, 提高企业广域网的可见性和安全性. 这使得csp能够减少开销和优化运营成本. Fortinet SD-Branch的一部分， FortiAP 无线接入点提供高性能, 为业务和客户网络提供安全的网络连接, 而 FortiNAC 为连接到网络的所有设备提供自动识别和访问控制.
提供可靠、安全的网络连接 Fortinet安全SD-WAN, 分支机构还可以部署VoIP (Voice over IP)来代替单独的电话服务，而无需担心带宽消耗, 可用性, 或者体验的质量. 在这里, FortiVoice 提供易于配置和灵活的VoIP解决方案，使用内置的交换和访问控制edr，可以与其他业务和公共Wi-Fi网络隔离 Fortinet SD-Branch. 为了确保网络中断时的连通性， FortiExtender 提供3G/4G/LTE/5G备份解决方案.
选择组网方案时, csp需要能够满足其性能和安全基准的解决方案, 提供如下edr:
- 超过5000个签名，用于应用流量的自动识别和优化路由
- FortiGuard实验室针对应用数据库的恶意软件特征更新
- 集成下一代防火墙(NGFW), 杀毒, 入侵防御系统(IPS), 和应用程序控制，完全的威胁保护
- 高吞吐量检测安全套接字层(SSL)和传输层安全(TLS)的高性能流量, 综合威胁保护
- 集成web过滤，使独立的安全web网关(SWG)没有必要
- 可伸缩的, 高吞吐量覆盖VPN (virtual private network)隧道，保证机密流量的加密
Fortinet SD-Branch使csp能够将其集中的安全可见性和management扩展到分支位置，具有如下特性:
- 使用FortiGate ngfw和FortiNAC实现物联网设备的自动发现和安全
- 有线和无线网络的全面安全集成
- 零触摸设备配置，单窗格可见性和management
- 从单一位置management防火墙、以太网交换机和WLAN接口
视频
先进的威胁保护
通信服务提供商(csp)是恶意软件攻击的常见目标. 在CSP网络上的一个据点 被用来向客户传播恶意软件 利用他们相互信任的关系. csp需要能够检测和阻止在其网络上运行的恶意软件. 然而，根据FortiGuard实验室的analytics， 40%的新恶意软件 每天检测到的是零天或以前未知的.
高级威胁防护需要多层防御，包括以下edr:
- 识别和保护已知和未知威胁
- 内部威胁的检测和补救
- 自动隔离和analyticsSandboxing内的可疑内容
- 利用Deception技术识别内部威胁
- 人工智能(AI)和机器学习(ML)驱动的实时威胁情报
- 持续的威胁情报和恶意软件特征更新
每天analytics超过100亿个安全事件, FortiGuard实验室可以快速收集, analytics, 并以极高的准确性对威胁进行分类. 它利用AI和ML编写恶意软件签名，并在整个系统中发布它们 新萄新京十大正规网站安全结构. Fortinet安全结构提供的跨组织网络的集成还使安全团队能够利用最新的安全业务流程, 自动化, 和响应(上升).
广泛分布的csp网络为未知的威胁提供了许多可能的途径来获取访问权, 包括公共wi - fi, 移动设备, 以及联网物联网设备. 检测到的任何可疑内容 FortiGate 下一代防火墙(NGFW)被转发到 FortiS和box 用于隔离和检查—包括解密安全套接字层(SSL)/传输层安全(TLS)内容—在它到达网络之前. 威胁情报由 FortiS和box 然后通过?与其他安全元素共享 新萄新京十大正规网站安全结构. FortiEDR(endpoint检测和响应)高级endpoint保护提供高级endpoint保护(占地面积小)和高可用性保证, 使其甚至能够保护业务关键系统.
当然，网络威胁并不仅限于外部攻击者. 使用 FortiDeceptor，一个组织可以识别进入网络的恶意内部人员或攻击者. 用户和实体行为analytics(UEBA)的特性 FortiInsight 帮助识别异常, 不合规的, 或终端或用户可能威胁业务的可疑行为.
解决方案指南
案例研究
自适应云安全
企业越来越多地将云服务用于关键业务数据存储和应用程序, 这些资源需要强大的安全性. 而大多数云服务提供商都提供内置的安全设置, 它们经常被组织错误地配置, 这使得敏感数据容易被外泄. 造成这种情况的一个常见原因是对云共享责任模型的误解, 哪些概述了分配给云服务提供商的安全责任, 客户, 以及他们之间共享的东西.
在云中实现集中的可见性和一致的安全配置management也很复杂, 每个云供应商都提供不同的内置安全控制和接口. 保护云需要跨内部部署和云部署和安全解决方案的集中式可见性，这些解决方案旨在为跨多云环境的基于云的应用程序提供一致的安全性和策略management.
保护多云网络的第一步需要全网可见性和集中的配置management. Fortinet安全结构与主要云提供商和超过250个第三方安全解决方案集成. 这使得它能够打破不同云部署之间的竖井——提供集中的可见性和跨整个网络的安全策略的实施. 这种集中控制使得安全团队无需手动配置每个云服务提供商提供的安全设置.
一旦实现了对组织云部署的全面可见性, 下一步是保护基于云的应用程序. 许多规章制度, 比如支付卡行业数据安全标准(PCI DSS), 需要一个web应用程序防火墙(WAF). 根据PCI DSS要求6.6., WAF在DevOps环境中是必需的，除非组织对应用程序的每次修改都进行完整的代码审查.
因此，WAF是公司云安全部署的重要组成部分. FortiWeb WAF可以作为一个物理设备使用, 虚拟机(VM), 或者作为软件即服务(SaaS)，为组织的网站提供本地云保护, 付款门户, 和web应用程序编程接口(api).
组织还必须对其云部署的访问进行整体management. FortiCASB 和 FortiCWP 提供云本地访问控制和工作负载保护, 简化跨云部署的可见性和安全性management. 最后, FortiGate下一代防火墙(ngfw)以云原生的基础设施即服务(IaaS)形式提供, 为任何部署环境提供可伸缩的安全性.
应用程序和数据存储并不是组织需要保护的唯一基于云的资产. 企业越来越多地利用基于云的SaaS电子mail解决方案，如谷歌Mail或Microsoft Office 365. FortiMail 使组织能够使用相同的电子mail网关保护SaaS和内部电子mail部署.
总之, Fortinet自适应云安全解决方案包括保护甚至是多云环境所需的edr, 如:
- 与所有主要云服务提供商的安全特性进行本地集成
- 全网络可见性和management的多云环境从一块玻璃
- 原生云网站保护、电子mail和防火墙解决方案
- 实时, 人工智能(AI)驱动的威胁情报分布在整个安全基础设施
- 自动识别5,000种应用流量, 包括加密的云应用程序数据
- 与云资源的安全、高性能连接 安全SD-WAN
CSP面临的主要网络安全挑战
网络性能
客户希望他们的CSP网络具有更高的性能——无论他们是在零售场所使用店内无线访问，还是等待他们的流量通过企业数据中心路由. 如果安全技术降低了网络性能，就会对用户体验产生负面影响.
运营效率
保护CSP庞大的网络需要许多不同的安全元素. 如果没有集成这些安全解决方案，则必须手动management安全工作流. 这些操作效率低下会延迟威胁检测, 预防, 和响应, 创建冗余, 并增加运营费用(OpEx)成本.
端到端可见性
csp有不同的网络, 包括本地数据中心, 云部署, 以及拥有联网销售点(POS)系统的零售店. 保护这些异构网络需要全网可见性. 然而, 该点安全产品部署，以防范复杂, 多面攻击会产生削弱能见度的筒仓.
复杂的威胁景观
CSP数据中心和部署在零售地点的POS设备是网络犯罪分子的一个有吸引力的目标. 这些设备上的数据被窃取，或者通过分布式拒绝服务(分布式拒绝服务)拒绝访问关键服务，或者通过勒索软件攻击拒绝访问关键系统, 这会损害CSP满足服务水平协议(sla)的能力. 随着数字创新创造出新的攻击载体, 包括零售地点的客户无线网络和物联网设备的部署, 防范这些威胁变得越来越困难.
法规遵从性
csp从客户那里收集支付卡和其他敏感数据——包括实体零售店和在线门户网站. 这些敏感数据在整个组织的网络中存储和处理——包括在内部数据中心和私有和公共云中, 包括软件即服务(SaaS)应用程序. 按照监管标准保护这些数据, 如PCI DSS, 随着组织网络变得越来越复杂，挑战也越来越大.
分支机构网络
csp有许多远程办公室，在客户入职和故障排除时处理敏感的用户数据. 这些分支位置可能成为攻击者的目标，攻击者试图访问敏感数据，或将它们用作访问Headquarters网络的垫脚石.
用于CSP网络安全的Fortinet微商
可见性
Fortinet安全结构, 哪些提供了超过250个第三方安全解决方案的开箱即用集成, 使csp能够实现对其网络中的安全元素的单窗格可见性和配置management. 这支持一致的安全策略实施, 即使在云环境中, 同时加速威胁检测和反应. 紧密集成允许csp在满足sla的同时最小化运营支出(OpEx).
自动化
Fortinet解决方案支持最新的安全业务流程, 自动化, 和响应(高飞)能力. 这加强了CSP在整个公司范围内的安全，并使这些企业能够通过最大化可用技术人员的效率来扩展和解决资源限制. 集中的安全management支持在整个网络中实施策略，并为监管者自动生成报告, 最高management者, 和董事会.
主动的，人工智能驱动的威胁情报
由FortiGuard实验室的人工智能(AI)和机器学习(ML)产生的威胁情报通过Fortinet安全结构实时传递给安全设备. 这为网络中已知和未知的威胁提供了全面的保护, 从组织的POS系统到基于云的基础设施.
高性能
FortiGate下一代防火墙(ngfw)，通过NSS实验室的性能测试，提供了行业最低的延迟. 高效定制专用集成电路(ASIC), 以及世界上第一个软件定义的广域网(SD-WAN)专用集成电路, 使Fortinet能够在广域网边缘和整个网络提供高性能的安全性. 此外, 启用高级edr，如安全套接字层/传输层安全(SSL/TLS)加密检查不会影响网络性能的速度或吞吐量. 除了, FortiGate VM系列支持数据包加速技术，如数据平面开发工具包(DPDK)。, 单根输入输出虚拟化(SR-IOV), 英特尔快速辅助技术(QAT), 以及Fortinet虚拟安全处理单元(vSPU)技术, 以提供csp数据中心所需的最佳性能, 无论是本地云还是私有云或公共云.
