Płaska sieć, w której drukarka, kontroler domeny i laptop gościa są w jednej podsieci, ma jedną zaletę: nie trzeba jej projektować. Ma też jedną wadę, która ujawnia się dokładnie raz: pierwszy zainfekowany komputer widzi wszystko, co jest w sieci, i nic po drodze nie zapisze, że próbował się połączyć z serwerem plików o trzeciej w nocy.
VLAN to nie segmentacja
Częsty błąd polega na utożsamieniu segmentacji z utworzeniem VLAN-ów. VLAN sam w sobie dzieli domenę rozgłoszeniową i nic więcej. Jeśli ruch między VLAN-ami przechodzi przez router bez reguł, sieć jest nadal płaska pod względem bezpieczeństwa, tylko z większą liczbą podsieci do udokumentowania.
Segmentacja to trzy elementy razem:
- podział na segmenty o różnym poziomie zaufania,
- ruch między segmentami przechodzący przez urządzenie, które potrafi go filtrować i logować,
- reguły, które domyślnie blokują, a jawnie przepuszczają tylko to, co jest potrzebne.
Bez trzeciego punktu dwa pierwsze są kosztem bez korzyści.
Minimalny zestaw segmentów
Dla organizacji bez działu sieciowego sprawdza się pięć lub sześć segmentów:
- Użytkownicy: stacje robocze i laptopy pracowników. Mają dostęp do usług, a nie do serwerów jako takich.
- Serwery: usługi wewnętrzne, kontrolery domeny, bazy danych. Jeśli część usług jest wystawiona do internetu, warto je oddzielić w osobny segment.
- Zarządzanie: interfejsy hypervisorów, przełączników, zasilaczy, konsole zdalne serwerów, system kopii zapasowych. Dostęp wyłącznie z wyznaczonych stacji administracyjnych lub hosta pośredniego.
- Goście i urządzenia IoT: drukarki, kamery, telefony, telewizory w salach. Dostęp do internetu i do konkretnych usług drukowania, nic więcej.
- Klaster i kontenery: własna przestrzeń adresowa, z ruchem wchodzącym przez zdefiniowane punkty wejścia, a nie przez adresy pojedynczych węzłów czy podów.
- Łącza zewnętrzne: strefa, przez którą wchodzi i wychodzi ruch z internetu, oddzielona od reszty.
Kiedy segmentów jest za dużo
Reguła jest prosta: nowy segment ma sens tylko wtedy, gdy jego polityka różni się od polityki istniejących segmentów. VLAN na każdy dział, gdy wszystkie działy mają identyczny dostęp, to dodatkowa konfiguracja bez efektu. VLAN na każdą aplikację serwerową jest uzasadniony w środowiskach z rygorystycznymi wymaganiami audytowymi, ale w małej firmie oznacza dziesiątki reguł, których nikt nie będzie utrzymywać.
Sygnały, że podział jest zbyt drobny: reguły między segmentami zawierają „zezwól na wszystko”, bo nikt nie wie, co dokładnie jest potrzebne; dodanie nowego serwera wymaga zmian w kilku miejscach; dokumentacja nie zgadza się z konfiguracją.
Reguły, które działają
- Domyślnie blokuj. Każda reguła zezwalająca ma właściciela i powód. Reguła bez uzasadnienia jest usuwana.
- Zezwalaj na usługi, nie na segmenty. Użytkownicy mogą dotrzeć do portów usług katalogowych, DNS, plików i konkretnych aplikacji. Nie do „całego segmentu serwerów”.
- Zarządzanie tylko z jednego miejsca. Do segmentu zarządzania prowadzi jedna droga: stacja administracyjna lub host pośredni, z uwierzytelnianiem wieloskładnikowym.
- Loguj odrzucony ruch. Odrzucenia między segmentami są jednym z najtańszych źródeł informacji o tym, co dzieje się w sieci. Zainfekowana stacja skanująca segment serwerów zostawia ślad, zanim cokolwiek się uda.
- Przeglądaj reguły cyklicznie. Raz na kwartał: co jest używane, co nie, co zostało dodane „tymczasowo” pół roku temu.
Podsumowanie
Segmentacja nie jest projektem, który się kończy. Jest strukturą, w której każdy nowy system trafia do segmentu o odpowiednim poziomie zaufania i dostaje dokładnie te połączenia, których potrzebuje. Pięć dobrze utrzymanych segmentów ogranicza skutki incydentu bardziej niż dwadzieścia, które nikt nie rozumie.