W wielu firmach sieć komputerowa powstaje stopniowo. Dochodzą kolejne komputery, drukarki, serwery, telefony VoIP, urządzenia Wi-Fi, monitoring czy systemy kontroli dostępu. Jeżeli wszystkie te urządzenia mogą swobodnie komunikować się ze sobą, powstaje tzw. płaska sieć.
Taka architektura jest wygodna, ale może zwiększać skutki incydentu bezpieczeństwa. Po przejęciu jednego urządzenia atakujący może próbować komunikować się z kolejnymi systemami i przemieszczać się wewnątrz infrastruktury. CISA wskazuje segmentację jako jeden ze sposobów ograniczania takiego ruchu bocznego i skutków włamania. (CISA)
Segmentacja sieci firmowej polega na podzieleniu infrastruktury na mniejsze strefy i określeniu, jaki ruch pomiędzy nimi jest rzeczywiście potrzebny. Nie zatrzyma każdego cyberataku, ale może znacząco utrudnić jego rozprzestrzenianie.
Czym jest segmentacja sieci firmowej?
Najprościej mówiąc, zamiast traktować całą sieć LAN jako jedną przestrzeń, dzielimy ją na kilka logicznych lub fizycznych obszarów.
Przykładowa firma może posiadać oddzielne strefy dla:
- komputerów pracowników,
- serwerów,
- urządzeń administracyjnych,
- telefonów VoIP,
- drukarek i urządzeń IoT,
- monitoringu CCTV,
- sieci Wi-Fi dla pracowników,
- sieci Wi-Fi dla gości,
- systemów kopii zapasowych.
Sam podział nie wystarczy. Kluczowe jest kontrolowanie komunikacji pomiędzy strefami, np. za pomocą firewalla oraz reguł określających dozwolone kierunki i rodzaje ruchu.
CISA opisuje segmentację jako fizyczne lub wirtualne dzielenie sieci na podsieci zapewniające dodatkową kontrolę nad dostępem do urządzeń, danych i aplikacji. (CISA)
Dlaczego płaska sieć zwiększa skutki ransomware?
Wyobraźmy sobie komputer pracownika, który zostaje przejęty w wyniku phishingu albo wykorzystania podatności. Samo uzyskanie dostępu do jednej stacji roboczej nie musi jeszcze oznaczać przejęcia całej infrastruktury.
Problem pojawia się wtedy, gdy z tego komputera można bez ograniczeń komunikować się z serwerami, urządzeniami administracyjnymi, systemem backupu i komputerami innych pracowników.
Atakujący może wtedy próbować tzw. lateral movement, czyli przemieszczania się pomiędzy systemami wewnątrz organizacji.
CISA w swoich zaleceniach dotyczących ransomware wskazuje, że segmentacja może ograniczyć możliwość rozprzestrzeniania się ransomware właśnie poprzez kontrolowanie przepływu ruchu pomiędzy poszczególnymi podsieciami. (CISA)
Dlatego dobrze zaprojektowane bezpieczeństwo sieci firmowej nie powinno opierać się wyłącznie na zabezpieczeniu połączenia z Internetem. Istotna jest również kontrola ruchu wewnętrznego.
Jak segmentacja ogranicza skutki ransomware?
Załóżmy, że firma posiada osobne segmenty:
VLAN 10 – komputery pracowników
VLAN 20 – serwery
VLAN 30 – urządzenia IoT i drukarki
VLAN 40 – monitoring
VLAN 50 – Wi-Fi dla gości
VLAN 60 – infrastruktura administracyjna
Firewall kontroluje komunikację pomiędzy nimi.
Komputer użytkownika może potrzebować dostępu do konkretnej aplikacji na serwerze, ale nie oznacza to, że powinien mieć możliwość komunikowania się ze wszystkimi portami wszystkich serwerów.
Podobnie drukarka sieciowa zazwyczaj nie potrzebuje inicjować połączeń z serwerem kopii zapasowych, a urządzenie gościa korzystającego z Wi-Fi nie powinno mieć dostępu do firmowej sieci LAN.
W przypadku infekcji ograniczenia te tworzą dodatkowe bariery dla atakującego.
Nie oznacza to, że ransomware zostanie automatycznie zatrzymane. Segmentacja jest jedną z warstw zabezpieczeń i musi współpracować m.in. z aktualizacjami, ochroną endpointów, kontrolą uprawnień, MFA, monitoringiem oraz właściwie zabezpieczonym backupem.
ENISA również rekomenduje stosowanie odpowiedniej segmentacji i ograniczeń sieciowych, a w zaleceniach dotyczących ransomware podkreśla znaczenie izolowania kopii zapasowych od sieci produkcyjnej. (ENISA)
Segmentacja sieci a awarie
Korzyści nie dotyczą wyłącznie cyberataków.
Podział infrastruktury może również ułatwiać ograniczenie skutków części problemów technicznych i diagnostykę sieci. Jeżeli infrastruktura jest właściwie zaprojektowana, administrator może szybciej ustalić, którego obszaru dotyczy problem.
Przykładowo awaria albo błędna konfiguracja urządzenia znajdującego się w wydzielonym segmencie nie musi wpływać w identycznym stopniu na pozostałe części infrastruktury.
Segmentacja nie zastępuje jednak redundancji. Jeżeli wszystkie segmenty korzystają z jednego przełącznika, firewalla lub łącza internetowego, awaria tego elementu nadal może zatrzymać znaczną część firmy.
Dlatego przy analizie odporności infrastruktury trzeba sprawdzać zarówno jej podział logiczny, jak i fizyczne punkty awarii.
VLAN to nie to samo co bezpieczeństwo
Jednym z najczęściej stosowanych mechanizmów segmentacji są sieci VLAN. Pozwalają one logicznie oddzielić urządzenia nawet wtedy, gdy korzystają z tej samej infrastruktury przełączników.
Samo utworzenie VLAN-ów nie rozwiązuje jednak problemu.
Jeżeli ruch pomiędzy wszystkimi VLAN-ami jest swobodnie routowany, efekt bezpieczeństwa będzie ograniczony. Potrzebne są reguły określające, kto, skąd i do jakiej usługi może się połączyć.
W praktyce oznacza to często połączenie kilku mechanizmów:
- VLAN,
- firewalli,
- list kontroli dostępu ACL,
- odpowiedniego routingu,
- kontroli dostępu administracyjnego,
- monitorowania ruchu i logów.
W bardziej zaawansowanych środowiskach można zastosować również mikrosegmentację i rozwiązania zgodne z koncepcją Zero Trust. NIST podkreśla, że Zero Trust nie zakłada automatycznego zaufania do urządzenia lub użytkownika tylko dlatego, że znajduje się on wewnątrz firmowej sieci. (NIST)
Od czego zacząć segmentację sieci?
Pierwszym krokiem nie powinno być przypadkowe tworzenie VLAN-ów. Najpierw trzeba wiedzieć, co faktycznie znajduje się w sieci i jakie zależności występują pomiędzy systemami.
Warto określić:
- jakie urządzenia działają w sieci,
- gdzie znajdują się najważniejsze dane,
- które systemy są krytyczne dla działalności,
- kto administruje infrastrukturą,
- jakie urządzenia wymagają komunikacji między sobą,
- jakie usługi powinny być dostępne dla użytkowników,
- gdzie znajdują się kopie zapasowe,
- jakie systemy mają dostęp do Internetu,
- jak wygląda dostęp zdalny.
CISA rekomenduje również utrzymywanie aktualnego diagramu sieci obejmującego główne sieci, topologię, zależności i dostęp przyznany podmiotom zewnętrznym. (CISA)
Jeżeli dokumentacja infrastruktury jest nieaktualna albo nie istnieje, punktem wyjścia może być audyt IT, obejmujący inwentaryzację urządzeń, analizę konfiguracji i identyfikację ryzyk.
Przykłady segmentacji w firmie
Biuro z siecią Wi-Fi dla klientów
Firma udostępnia klientom bezprzewodowy Internet. Sieć gościnna powinna być oddzielona od infrastruktury wykorzystywanej przez pracowników.
Gość potrzebuje dostępu do Internetu, a nie do serwera plików, drukarek czy paneli administracyjnych urządzeń sieciowych.
Firma posiadająca monitoring IP
Kamery i rejestratory mogą zostać umieszczone w wydzielonym segmencie. Komunikacja pomiędzy monitoringiem a pozostałą infrastrukturą powinna odpowiadać rzeczywistym potrzebom systemu, zamiast pozostawiać urządzeniom nieograniczony dostęp do sieci firmowej.
Firma z własnymi serwerami
Serwery powinny znajdować się w odpowiednio chronionej strefie, a dostęp administracyjny może zostać dodatkowo wydzielony od zwykłego ruchu użytkowników.
W przypadku infrastruktury wymagającej stałego nadzoru istotne jest również odpowiednie zarządzanie serwerami firmowymi, obejmujące m.in. aktualizacje, monitoring i kontrolę konfiguracji.
Firma z urządzeniami IoT
Telewizory, systemy kontroli dostępu, rejestratory, drukarki czy inne urządzenia sieciowe nie zawsze wymagają dostępu do wszystkich zasobów firmy.
Oddzielenie ich od stacji roboczych i serwerów ogranicza liczbę dostępnych ścieżek komunikacji.
Segmentacja nie zastępuje innych zabezpieczeń
To szczególnie ważne w kontekście ransomware.
Nawet bardzo dobrze podzielona sieć nie zapewni pełnej ochrony, jeżeli administrator używa jednego konta z szerokimi uprawnieniami wszędzie, kopia zapasowa jest stale dostępna z sieci produkcyjnej albo urządzenia nie są aktualizowane.
Segmentację należy więc traktować jako część szerszej architektury bezpieczeństwa.
CERT Polska rekomenduje segmentację również w kontekście ochrony środowisk OT – minimalnie na granicy sieci przemysłowej i innych sieci, a zależnie od skali infrastruktury także wewnątrz środowiska OT. (CERT Polska)
Wnioski
Dobra segmentacja powinna wynikać z potrzeb biznesowych i technicznych, a nie wyłącznie z możliwości posiadanych urządzeń sieciowych.
Najważniejsza zasada jest prosta: urządzenie powinno mieć dostęp tylko do tych systemów i usług, których rzeczywiście potrzebuje.
Ograniczenie zbędnej komunikacji zmniejsza liczbę możliwych dróg przemieszczania się atakującego i pozwala lepiej odseparować szczególnie ważne zasoby.
Podsumowanie
Segmentacja sieci firmowej nie gwarantuje, że firma uniknie ransomware lub awarii. Jej zadaniem jest przede wszystkim ograniczenie skutków problemu i utrudnienie jego rozprzestrzeniania się pomiędzy różnymi częściami infrastruktury.
W praktyce szczególnie warto oddzielać stacje robocze, serwery, systemy administracyjne, urządzenia IoT, monitoring oraz sieci dla gości. Ostateczny podział powinien jednak wynikać z analizy konkretnego środowiska.
Delikatne CTA
Jeżeli nie wiadomo, które urządzenia komunikują się ze sobą i czy obecna konfiguracja sieci właściwie izoluje najważniejsze systemy, warto rozpocząć od analizy infrastruktury. Exabytes może pomóc w audycie, zaprojektowaniu segmentacji oraz konfiguracji zabezpieczeń sieciowych. Możesz skontaktować się z Exabytes i omówić obecny układ sieci.
Najnowsze komentarze