Kroz ovu seriju tekstova, pominjali smo VLAN kao tehnički alat za segmentaciju mreže. U ovom tekstu podižemo perspektivu na viši nivo — segmentacija mreže kao sveobuhvatna strategija koja kombinuje više alata i principa, ne samo pojedinačnu tehnologiju.
Zašto segmentacija predstavlja strategiju, ne samo tehnologiju
VLAN, o kojem smo pisali ranije, je tehnički mehanizam koji omogućava segmentaciju. Sama segmentacija, međutim, predstavlja širu strategiju razmišljanja o tome kako organizovati mrežu tako da ograniči štetu ako jedan deo bude kompromitovan, poveća preglednost i olakša upravljanje, i podrži specifične poslovne i regulatorne zahteve.
Osnovni princip — zone poverenja
Segmentacija se najbolje razume kroz koncept zona različitog nivoa poverenja. Umesto tretiranja cele mreže kao jedne, homogene celine gde svi uređaji imaju podjednak pristup svemu, segmentirana mreža deli infrastrukturu na logičke zone, svaku sa sopstvenim nivoom poverenja i pravilima pristupa.
Tipične zone u poslovnoj mreži
Zona za kritične servere
Serveri koji hostuju najosetljivije podatke — finansijske sisteme, bazu klijenata — mogu biti izolovani u sopstvenu zonu sa strožom kontrolom pristupa, dostupnu samo onim uređajima i korisnicima kojima je taj pristup zaista neophodan.
Zona za standardne radne stanice
Većina zaposlenih radi unutar ove zone, sa pristupom standardnim poslovnim resursima, ali bez direktnog pristupa najosetljivijim sistemima bez dodatne autorizacije.
Gostinska zona
Kao što smo pominjali kroz ranije tekstove, potpuno izolovana mreža za posetioce, bez ikakvog pristupa internim resursima.
Zona za IoT i pametne uređaje
Kamere, senzori, i drugi povezani uređaji, koji su često manje bezbedni od standardnih računara, izolovani u sopstvenu zonu kako eventualno kompromitovanje jednog takvog uređaja ne bi ugrozilo ostatak mreže.
DMZ (Demilitarized Zone) za javno dostupne servise
Za firme koje hostuju servise dostupne sa interneta (na primer, sopstveni veb sajt ili email server), ovi sistemi se često smeštaju u posebnu zonu koja je delimično izložena internetu, ali odvojena od interne mreže, ograničavajući štetu ako taj javno izložen sistem bude kompromitovan.
Kombinovanje VLAN-a sa firewall pravilima
Sama VLAN segmentacija stvara logičku odvojenost, ali prava vrednost dolazi kada se kombinuje sa pažljivo definisanim firewall pravilima (o kojima smo pisali u ranijem tekstu) koja kontrolišu i beleže tačno kakva komunikacija je dozvoljena između različitih zona, umesto da segmenti budu potpuno izolovani ili, suprotno, da imaju neograničenu međusobnu komunikaciju.
Princip najmanjeg potrebnog pristupa između zona
Slično principu najmanjih privilegija koji smo pominjali kroz raniju seriju o Zero Trust pristupu, segmentacija mreže treba da prati isti princip na nivou čitavih zona — komunikacija između različitih segmenata treba da bude dozvoljena samo za specifične, opravdane potrebe, ne generalno, “za svaki slučaj”.
Praktičan primer sveobuhvatne segmentacije
Zamislimo proizvodnu firmu sa administrativnom kancelarijom, proizvodnim pogonom sa povezanom opremom, i gostinskim prostorom za posetioce. Sveobuhvatna segmentacija bi uključivala odvojenu zonu za administrativne računare, odvojenu zonu za proizvodnu opremu (često sa specifičnim, strožim pravilima s obzirom na to da industrijska oprema često ima slabiju ugrađenu bezbednost), potpuno izolovanu gostinsku mrežu, i posebnu zonu za server sa finansijskim i poslovnim podacima, sa pažljivo definisanim pravilima o tome koja komunikacija je dozvoljena između svake od ovih zona.
Segmentacija kao odbrana od bočnog kretanja napadača
Kao što smo pisali u ranijoj seriji o ransomware-u, jedan od ključnih razloga zašto je segmentacija toliko važna jeste otežavanje bočnog kretanja napadača kroz mrežu. Ako napadač uspe da kompromituje jedan uređaj u jednoj zoni, dobra segmentacija sprečava ili značajno otežava da se ta kompromitacija proširi na ostatak mreže, ograničavajući ukupnu štetu.
Postepeno uvođenje segmentacije
Za firme koje trenutno imaju potpuno neseglentiranu, “ravnu” mrežu, segmentacija ne mora biti uvedena odjednom. Praktičan pristup je početi od najkritičnijih, najosetljivijih zona (na primer, izolacija servera i gostinske mreže), i postepeno proširivati segmentaciju kako se izgradi iskustvo i poverenje sa novom strukturom.
Naš pristup u Trace Link-u
Pristupamo segmentaciji mreže kao sveobuhvatnoj strategiji, kombinujući VLAN tehnologiju sa pažljivo definisanim firewall pravilima, prilagođenu specifičnoj strukturi i rizicima svake firme, umesto univerzalnog šablona koji ne uzima u obzir stvarne poslovne potrebe. Radimo sa firmama u Novom Sadu, Beogradu i širom Srbije.
Zaključak
Segmentacija mreže predstavlja sveobuhvatnu strategiju organizacije infrastrukture u zone različitog nivoa poverenja, kombinujući VLAN tehnologiju sa pažljivo definisanim pravilima pristupa, značajno otežavajući napadačima bočno kretanje kroz mrežu ako jedan deo bude kompromitovan. Za firme koje ozbiljno pristupaju bezbednosti, ovo predstavlja osnovnu arhitekturnu odluku, ne samo tehničku sitnicu. Ako vaša mreža trenutno nema jasnu segmentacionu strukturu, javite nam se preko kontakt forme za procenu.