U mnogim firmama svi uređaji su u istom prostoru: kancelarijski računari, serveri, štampači, kamere, gostinjski Wi-Fi i onaj stari uređaj koji niko ne sme da dirne. Ako se jedan laptop zarazi, napadač može da vidi i dohvati gotovo sve. Tako mali incident postaje incident cele firme.
Segmentacija mreže pomoću VLAN-ova jedan je od najdelotvornijih i najpovoljnijih načina da se ta šteta ograniči. Ovaj vodič objašnjava šta je to, kako da je planirate i gde ljudi greše.
Šta je VLAN?
VLAN (virtuelna lokalna mreža) deli jednu fizičku mrežu na više odvojenih logičkih mreža. Uređaji u različitim VLAN-ovima ne mogu direktno da komuniciraju. Da bi komunicirali, saobraćaj mora da prođe kroz ruter ili firewall, gde vi odlučujete šta je dozvoljeno.
Zamislite poslovnu zgradu sa zaključanim vratima između sektora umesto jedne velike otvorene sale. Svi i dalje rade u istoj zgradi, ali problem u jednoj prostoriji ne dolazi automatski do svih ostalih.
Zašto je važno za bezbednost
- Ograničava bočno kretanje. Ransomver i napadači se šire skakanjem sa jedne mašine na drugu. Segmenti sa strogim pravilima to usporavaju ili zaustavljaju.
- Štiti vaše najvrednije sisteme. Serveri, backup i interfejsi za upravljanje nisu dostupni sa svakog računara.
- Izoluje uređaje kojima se ne veruje. Gosti, lični telefoni, IoT uređaji, kamere i štampači često su slabo zaštićeni i ne treba da budu pored fajl servera.
- Smanjuje šum. Manji broadcast domeni poboljšavaju performanse i olakšavaju nadzor.
- Podržava usklađenost. Mnogi standardi očekuju razdvajanje osetljivih sistema.
Razuman početni dizajn
| Segment | Sadržaj | Tipična pravila pristupa |
|---|---|---|
| Korisnici | Kancelarijski računari i laptopovi | Internet, samo izabrani serveri i aplikacije |
| Serveri | Fajl, aplikacioni i serveri baza podataka | Samo potrebni portovi od korisnika; strogo kontrolisan odlazni saobraćaj |
| Upravljanje | Sič, firewall, hipervizor i administratorski interfejsi | Dostupno samo sa administratorskih uređaja ili preko VPN-a |
| Govor | IP telefoni i telefonska centrala | QoS prioritet; dohvataju samo centralu i pružaoca |
| Gosti | Wi-Fi za posetioce | Samo internet, bez pristupa internim resursima |
| IoT / uređaji | Kamere, štampači, senzori, pametni uređaji | Samo ono što svaki uređaj treba, bez pristupa korisnicima i serverima |
| Backup | Backup skladište i serveri | Veoma ograničeno; izolovano od redovnog korisničkog saobraćaja |
Ne treba svakoj firmi sve ovo. Počnite sa onim što daje najviše zaštite po uloženom trudu: odvojite goste, odvojite servere, odvojite upravljanje.
Sprovođenje korak po korak
- Mapirajte šta imate. Popišite uređaje, sa čim komuniciraju i zašto. Iznenađenja se obično pojave ovde.
- Dizajnirajte segmente i IP opsege. Neka budu jednostavni i dokumentovani.
- Proverite hardver. Trebaju vam upravljivi svičevi koji podržavaju VLAN-ove (802.1Q) i firewall ili ruter koji može da rutira između njih.
- Prvo napišite firewall pravila. Podrazumevano zabrani između segmenata, pa dozvolite samo potreban saobraćaj, kao što je korisnici ka fajl serveru ili telefonska centrala ka pružaocu.
- Premeštajte uređaje u fazama, počevši od najmanje rizičnih (gosti), i testirajte svaki korak.
- Izuzetke rešavajte promišljeno. Štampanje, skeniranje i protokoli za otkrivanje obično prvi puknu. Dozvolite konkretne tokove umesto da otvorite sve.
- Dokumentujte i pratite. Čuvajte šemu, evidentirajte odbijen saobraćaj i redovno pregledajte pravila.
Segmentacija bez pravila je samo nazivanje. Ako firewall dozvoljava sve između VLAN-ova, imate složenost, a nikakvu zaštitu. Firewall pravila između segmenata čine da to radi.
Česte greške
- Pravljenje VLAN-ova uz ostavljeno pravilo „dozvoli sve“ između njih.
- Interfejsi za upravljanje u korisničkom VLAN-u.
- Zaboravljen Wi-Fi: i bežične mreže moraju da se mapiraju na prave VLAN-ove.
- Bez dokumentacije, pa posle godinu dana niko ne zna zašto neko pravilo postoji.
- Menjanje svega u jednoj večeri, bez plana za vraćanje.
Šta očekivati
Osnovna segmentacija male kancelarije može da se uradi za nekoliko dana uz minimalne smetnje ako je dobro isplanirana. Veće ili starije mreže traju duže, jer je pravi posao otkriti ko sa kim komunicira. Rezultat je mreža koju je lakše razumeti i mnogo teže napasti.
Kako vam možemo pomoći
Alficom projektuje core, distribution i access slojeve sa VLAN segmentacijom i izolacijom saobraćaja, i sprovodi firewall politike koje je čine delotvornom, uključujući na pfSense i MikroTik platformama. Možemo da počnemo mapom vaše trenutne mreže i predložimo plan segmentacije koji odgovara vašem budžetu.
