Segmentacja sieci i zakres dostępu
Płaska sieć umieszcza wiele urządzeń i usług w jednym segmencie. Komunikacja odbywa się wtedy w jednej domenie rozgłoszeniowej, a reguły dostępu między działami lub typami zasobów są trudniejsze do zastosowania. Przejęcie jednego hosta może ułatwić ruch boczny do innych urządzeń, jeśli dodatkowe kontrole nie ograniczają połączeń.
dzieli zasoby według funkcji i wymagań ochrony. Ruch między segmentami przechodzi przez router, zaporę, przełącznik warstwy 3 lub kontrolę hostową. Reguły mogą ograniczyć ruch boczny i zakres skutków przejęcia, lecz segmentacja wymaga poprawnej konfiguracji oraz monitorowania.
Metody segmentacji sieci
Segmentację można uzyskać przez fizyczną izolację, VLAN-y, podsieci IP, zapory hostowe, bramy aplikacyjne i reguły oparte na tożsamości. Wybór metody zależy od wymaganej izolacji, kosztu, skali i sposobu zarządzania.
1. Segmentacja fizyczna i air gap
Segmentacja fizyczna używa oddzielnych przełączników, interfejsów, okablowania lub innych elementów infrastruktury. Dwie sieci mogą pozostać całkowicie odłączone, co określa się jako "przerwę powietrzną" (air gap). Taka izolacja ogranicza ścieżki komunikacji, lecz wymaga osobnego sprzętu i procedur.
Fizyczna separacja ogranicza połączenia, lecz zwiększa koszt, czas zmian i wymagania utrzymaniowe. Przeniesienie pracownika ze sprzedaży do inżynierii może wymagać przepięcia komputera lub instalacji dodatkowego interfejsu.
Sieć odłączona fizycznie wymaga kontroli nośników, urządzeń serwisowych i procedur przenoszenia danych. Każde połączenie tymczasowe powinno mieć właściciela, zakres, czas obowiązywania i zapis wykonanych czynności. Przeglądy sprawdzają, czy odłączone interfejsy pozostają nieaktywne.
2. Segmentacja logiczna za pomocą VLAN
pozwalają podzielić porty przełącznika na kilka domen warstwy 2. VLAN nie tworzy samodzielnie kontroli dostępu między segmentami, dlatego komunikacja między nimi wymaga routingu i reguł.
Jeden przełącznik może przenosić kilka logicznych segmentów, co ogranicza konieczność instalowania osobnego sprzętu dla każdej grupy.
Jak działają VLAN-y: tagowanie i izolacja
VLAN-y działają w warstwie 2 modelu OSI. Port dostępowy przełącznika przypisuje ramkę do określonego VLAN-u, na przykład VLAN 10 dla Sprzedaży i VLAN 20 dla Inżynierii. Na łączu trunk przełącznik oznacza ramki tagiem zdefiniowanym przez standard IEEE 802.1Q. Port dostępowy zwykle przekazuje ruch bez tego tagu, a port trunk może przenosić wiele VLAN-ów.
Przełącznik odczytuje tag i przekazuje ramkę tylko w obrębie dozwolonego VLAN-u. VLAN 20 nie otrzymuje ramek rozgłoszeniowych z VLAN 10, więc każdy z tych VLAN-ów ma odrębną domenę rozgłoszeniową. Ruch między VLAN-ami wymaga urządzenia warstwy 3 oraz reguł dostępu.
Konfiguracja trunku powinna określać dozwoloną listę VLAN-ów oraz sposób obsługi ramek nieotagowanych. Nieużywane porty i nieużywane VLAN-y warto wyłączyć, a zmiany konfiguracji rejestrować. Sama separacja ramek nie zabezpiecza aplikacji przed błędną regułą routingu.
Routing między VLAN-ami
VLAN-y są odrębnymi domenami warstwy 2. Kontrolowana komunikacja między nimi wymaga urządzenia warstwy 3, zwykle routera lub przełącznika warstwy 3. Przykładem jest dostęp Sprzedaży do drukarki w VLAN-ie Marketingu.
Router może łączyć wiele VLAN-ów przez interfejsy logiczne, konfigurację "router on a stick" albo przełącznik warstwy 3. Administrator tworzy Listy Kontroli Dostępu (ACL), które określają dozwolony kierunek, adres, protokół i port. Przykładowa reguła zezwala urządzeniom VLAN-u Sprzedaży na dostęp do drukarki o adresie IP w VLAN-ie Marketingu oraz blokuje pozostały ruch między tymi VLAN-ami.
3. Segmentacja warstwy 3: podsieci IP
Segmentacja warstwy 3 używa podsieci IP. Podsieć jest logicznym zakresem adresów z własną trasą i zwykle własną domeną rozgłoszeniową warstwy 2. Projekt często przypisuje jeden prefiks IP do jednego VLAN-u, aby routing i reguły ACL były czytelne.
Na przykład:
- VLAN 10 (Sprzedaż) może używać podsieci .
- VLAN 20 (Inżynieria) może używać podsieci .
- VLAN 99 (Goście) może używać podsieci .
Router wybiera interfejs dla pakietu przeznaczonego do sieci , a ACL określa, czy przepływ jest dozwolony. Segmentacja IP łączy adresację z routingiem i kontrolą ruchu między VLAN-ami.
Każda podsieć wymaga spójnego planu bramy domyślnej, DHCP, DNS, tras i monitorowania. Reguły powinny uwzględniać ruch wymagany przez usługę oraz kierunek inicjowania połączenia. Przegląd tras i ACL po zmianie adresacji ogranicza ryzyko niezamierzonego połączenia segmentów.
Mikrosegmentacja
VLAN-y i podsieci tworzą segmenty o zakresie określonym przez projekt. Segment Finansów może obejmować wiele serwerów i aplikacji, a reguły dostępu mogą pozostawić między nimi zbyt szeroką komunikację. Przejęcie jednego serwera zwiększa wtedy ryzyko ruchu bocznego do pozostałych systemów.
pozwala stosować reguły bliżej hosta, usługi lub obciążenia roboczego. Wspiera model Zero Trust, lecz sama obecność segmentów nie zastępuje uwierzytelnienia, autoryzacji i monitorowania.
Mikrosegmentacja może obejmować pojedynczy host, usługę lub aplikację. Reguły definiują dozwolone połączenia między komponentami i ograniczają komunikację boczną do wymaganych przepływów.
Zasada minimalnych uprawnień dla przepływów
Mikrosegmentacja pozwala opisać, które komponenty aplikacji mogą się ze sobą komunikować. Polityka obejmuje port, protokół, kierunek, tożsamość usługi oraz stan urządzenia, gdy te informacje są dostępne.
Przykładowa trójwarstwowa aplikacja internetowa obejmuje:
- Warstwa WWW: Publicznie dostępne serwery WWW.
- Warstwa Aplikacji: Serwery uruchamiające logikę biznesową.
- Warstwa Bazy Danych: Serwery przechowujące wrażliwe dane.
Przykładowa polityka mikrosegmentacji może określać:
- Serwer WWW może komunikować się tylko z serwerem aplikacji na porcie TCP .
- Serwer aplikacji może komunikować się tylko z serwerem bazy danych na porcie TCP .
- Wszelka inna komunikacja jest domyślnie blokowana. Serwery WWW nie mogą rozmawiać bezpośrednio ze sobą. Serwer bazy danych nie może zainicjować połączenia z internetem.
Takie reguły ograniczają powierzchnię ataku i zakres dozwolonego ruchu. Po przejęciu serwera WWW atakujący może korzystać z przepływów dopuszczonych przez politykę, dlatego reguły powinny blokować połączenia między serwerami WWW oraz bezpośredni dostęp do bazy danych. Zasięg incydentu zależy od poprawności tych reguł i ich monitorowania.
Reguły mikrosegmentacji powinny być testowane na podstawie mapy zależności aplikacji. Logi dozwolonych i odrzuconych przepływów pomagają wykryć brakujące wyjątki oraz połączenia zbędne. Po wdrożeniu właściciel usługi przegląda politykę po zmianie wersji, adresacji lub sposobu komunikacji.
Technologie wspierające mikrosegmentację
Mikrosegmentacja może korzystać z następujących technologii:
- Sieci definiowane programowo (SDN): Oddzielają płaszczyznę sterowania od płaszczyzny danych, co pozwala definiować polityki w oprogramowaniu i stosować je na zarządzanej infrastrukturze.
- Zapory hostowe: Stosują reguły bezpośrednio w systemie operacyjnym serwera. Kontrola może obejmować pojedynczy host i jego usługi.
- Zapory nowej generacji (NGFW): Mogą działać jako bramy segmentacyjne i klasyfikować ruch według aplikacji lub tożsamości, gdy zapewnia to konfiguracja oraz integracja z systemami tożsamości.
Wdrożenie mikrosegmentacji zaczyna się od obserwacji zależności i utworzenia polityki dla usług wymaganych przez aplikację. Tryb raportowania pozwala porównać ruch z założeniami przed zaostrzeniem reguł. Każdy wyjątek powinien mieć właściciela, termin przeglądu i opis ryzyka.
Skutki segmentacji sieci
Segmentacja wpływa na zakres komunikacji, domeny rozgłoszeniowe, monitorowanie i dowody zgodności. Rezultat zależy od reguł, topologii oraz jakości utrzymania konfiguracji.
- Ograniczenie skutków naruszenia: Izolacja ruchu ogranicza powierzchnię osiągalną po przejęciu hosta. Segmentacja może zawęzić zakres ruchu bocznego, jeśli reguły blokują połączenia zbędne dla usług.
- Mniejsze domeny rozgłoszeniowe: W płaskiej sieci ruch rozgłoszeniowy jednego urządzenia dociera do większej grupy. VLAN ogranicza taki ruch do własnej domeny, co może zmniejszyć obciążenie i ułatwić diagnozowanie.
- Kontrola dostępu i monitorowanie: Ruch między segmentami przechodzi przez router, zaporę lub kontrolę hostową. Administrator może rejestrować przepływy i porównywać je z regułami dostępu.
- Zakres oceny zgodności: Segmentacja może ograniczyć systemy objęte zakresem PCI DSS, jeśli konfiguracja i dowody potwierdzają izolację środowiska danych posiadaczy kart. Sam standard nie nakazuje jednego sposobu segmentacji, dlatego projekt trzeba udokumentować i zweryfikować.
VLAN-y, podsieci, zapory hostowe i mikrosegmentacja rozwiązują różne problemy. Projekt powinien dobrać poziom podziału do przepływów aplikacji, wymagań ochrony, kosztu utrzymania i możliwości monitorowania.
Skuteczność segmentacji ocenia się przez testy przepływów dozwolonych i odrzuconych, przegląd konfiguracji oraz analizę logów. Wynik powinien potwierdzić, że ścieżki administracyjne, kopie zapasowe i usługi wspólne mają jawnie opisane wyjątki.
Zmiana topologii lub reguł może wpłynąć na dostępność usług, opóźnienia i obsługę awarii. Projekt powinien opisywać dozwolone ścieżki awaryjne, punkty kontroli oraz sposób wycofania zmiany. Testy obejmują także ruch zarządzania, DNS, synchronizację czasu i kopie zapasowe.
Wyniki testów i przeglądów powinny być przechowywane jako dowód działania kontroli. Właściciel usługi zatwierdza wynik i termin kolejnego przeglądu.