Hálózati szegmentáció
A lapos vállalati hálózatot zónákra bontjuk, hogy egy fertőzött eszköz ne érje el a teljes hálózatot.
Mikor van rá szükség
Ha egy munkaállomásról minden elérhető
A legtöbb szervezetnél a belső hálózat lapos: egy munkaállomásról elérhetők a szerverek, a mentőrendszer, a nyomtatók és a többi munkaállomás is. Ez évekig nem okoz gondot, egészen az első incidensig.
A támadás bentről indul
A tipikus incidens adathalászattal vagy ellopott jelszóval kezdődik, így a támadó megkerüli a peremvédelmet. Lapos hálózaton olcsó eljutnia az első kompromittált géptől a valódi célpontig.
A hálózat dönti el a kár mértékét
Az számít, hány rendszert ér el a támadó az első gépről, milyen gyorsan szerez magasabb jogosultságot, és hozzáfér-e a mentésekhez. Mindhárom a hálózat felépítésétől függ, ezen a végpontvédelem nem segít.
VLAN van, határ nincs
A VLAN logikai elkülönítés egyetlen fizikai infrastruktúrán. Ha a VLAN-ok között szűrés nélküli az útválasztás, a szegmensek szabadon elérik egymást, ezért a zónahatáron döntési pont kell.
Zónamodell
Amit elsőként érdemes leválasztani
A zónamodell rögzíti, melyik rendszer melyik zónába kerül. Az alábbi négy zóna mindegyike önállóan is leválasztható. A kimenő irány is a modell része, mert a kimenő forgalom korlátozása akadályozza meg a vezérlőcsatorna kiépítését és az adatkiszivárgást.
Belső hálózat szegmentálása: hol kezdjeMentési infrastruktúra
Ha a mentőszerver ugyanabból a szegmensből elérhető, mint a munkaállomás, a zsarolóvírus előbb a mentést törli, aztán titkosít. Ezért a mentés külön szegmensbe kerül, ahová csak a mentendő rendszerek felől engedett a forgalom.
Tartományvezérlők és identitás
A tartományvezérlők saját szegmensbe kerülnek, szigorúan meghatározott beengedett forgalommal. Ide tartozik a gyakran kimaradó tanúsítványszolgáltató (ADCS) is. Adminisztratív hozzáférés csak egy szintén elkülönített ugródeszka-szerveren keresztül lehetséges.
Munkaállomások egymástól
Kliens-izolációval a felhasználói szegmensben a gépek nem érik el egymást, csak a kiszolgálókat és a kijáratot. A legtöbb menedzselhető kapcsoló tudja, és éppen a gépről gépre terjedő támadást akadályozza meg.
Nem menedzselt eszközök
A nyomtatók, IP-kamerák, beléptető rendszerek és épületautomatizálási eszközök gyakran alapértelmezett jelszóval és soha nem frissített firmware-rel futnak. Saját szegmensbe kerülnek korlátozott kimenő forgalommal, a menedzsmentfelületük pedig csak az IT-szegmensből érhető el.
A folyamat
Így bontjuk zónákra a hálózatot
A szegmentálástól sokan azért tartanak, mert az első hibás szabály leállít valamit, és onnantól senki nem enged hozzányúlni a hálózathoz. Ezért a bevezetést ütemezzük, és úgy építjük fel, hogy a működést ne zavarja.
-
Feltérképezés
Dokumentáljuk a jelenlegi hálózatot, és megnézzük, mi kommunikál mivel. A forgalom gyűjtéséhez elég a NetFlow vagy a tűzfal naplója. Előbb a forgalom, aztán a szabály: a dokumentáció alapján írt szabály mindig hiányos lesz.
-
Zónamodell és szabályok
Kijelöljük a zónákat, és megtervezzük a köztük engedélyezett forgalmat. A legkisebb jogosultság elvét követjük: ami nincs kifejezetten engedélyezve, az tiltott.
-
Ütemezett bevezetés
A zónákat és a köztük lévő szabályokat ütemezetten vezetjük be, úgy, hogy a bevezetés a működést ne zavarja.
-
Záró teszt és átadás
Ellenőrizzük, hogy a leválasztott rendszerek a többi zónából csak a szabályokban engedett módon érhetők el. A végleges zónamodellt és szabályrendszert dokumentálva adjuk át.
Szállítandó anyagok
Mit kap a munka végén
átadott tétel
- A jelenlegi hálózat dokumentációja
- Zónamodell és zónák közötti szabályok
- Ütemezett, a működést nem zavaró bevezetés
- Záró teszt és dokumentáció
Kapcsolódó szolgáltatások
Ami a zónahatárokat megtartja
A zónák közötti szabályokat hálózati eszközök kényszerítik ki. Az alábbi szolgáltatások ezeket az eszközöket építik ki és ellenőrzik.
Tűzfal és VPN
Új generációs tűzfal tervezése, telepítése és beállítása, a telephelyek közötti és a távoli elérést biztosító VPN-nel együtt.
Switching és routing
A helyi hálózat kapcsoló és útválasztó infrastruktúrájának tervezése és kiépítése redundanciával, VLAN-struktúrával.
Hálózati hozzáférés-vezérlés (NAC)
Csak ismert és megfelelő eszköz csatlakozhat a hálózatra. Az ismeretlen eszközök elkülönített zónába kerülnek.
Tűzfal-konfiguráció hardening-audit
A meglévő tűzfalak szabálykészletének és beállításainak átvilágítása elfogadott biztonsági ajánlások alapján: felesleges, túl tág vagy elavult szabályok, gyenge beállítások.
Gyakori kérdések
Amit a legtöbben kérdeznek
Honnan tudhatom, hogy lapos-e a hálózatunk?
Egy gyors önteszttel: üljön le egy átlagos munkaállomáshoz, és próbálja megnyitni a mentőszerver adminisztratív felületét. Ha megjelenik a bejelentkező képernyő, és ez meglepően gyakran megtörténik, a szegmentálás hiányzik.
Mikroszegmentálással érdemes kezdeni?
Jellemzően nem. A mikroszegmentálás alkalmazás- vagy munkaterhelés-szintű zónákra bontja a hálózatot, szigorúan meghatározott forgalommal. A gépről gépre terjedő támadásnak ez a legerősebb akadálya, de sok tervezési munkával jár, és töredékét hozza annak a haszonnak, amelyet néhány jól megválasztott zóna leválasztása ad. Érdemesebb az alapzónákkal kezdeni, és később továbblépni. A Zero Trust útmutatónkban az alkalmazásszintű szegmentálás a harmadik kör.
Ipari hálózatra is ez a szolgáltatás való?
Az OT-környezetre külön szolgáltatásunk van. Ott a lapos OT-hálózatot bontjuk zónákra, hogy egy kompromittált eszközről ne lehessen az egész üzemre átterjedni. A zónák és a köztük lévő csatornák az IEC 62443 modelljét követik. Részletek az OT hálózati szegmentáció oldalán.
Mi a teendő a bevezetés után?
A szabályrendszert rendszeresen át kell nézni. A legtöbb tűzfal mutatja, melyik szabály hányszor talált, a nulla találatos szabályok törölhetők. Ha nincs leírva, miért van egy sor a szabályrendszerben, később senki nem mer hozzányúlni, és onnantól csak bővül. Az időszakos szabálykészlet-felülvizsgálatot hálózati karbantartásként is vállaljuk, egyedi megállapodás alapján, az ügyféllel egyeztetett keretek között.
