Сегментация сети: как снизить риски кибератак

Количество кибератак в корпоративной ИТ-среде продолжает расти, а методы злоумышленников становятся более сложными. Получив доступ к одному узлу, атакующий стремится добраться до серверов, баз данных и систем управления. Разделение инфраструктуры на изолированные участки ограничивает распространение угроз.

Что такое сегментация сети и зачем она нужна бизнесу

Сегментация сети - это разделение корпоративной инфраструктуры на отдельные зоны, между которыми действуют заранее определенные правила доступа и обмена данными.

Сегмент сети - изолированный участок, например зона пользовательских устройств, серверов или гостевых подключений.

Каждый такой участок решает собственные задачи:

• разделение пользовательских, серверных и производственных систем;
• выделение критически важных сервисов в отдельные зоны безопасности;
• разграничение доступа между подразделениями и информационными ресурсами;
• контроль обмена данными между различными частями ИТ-среды.

Плоская архитектура считается уязвимой. Компрометация одного устройства может открыть путь ко всей внутренней среде организации. Вредоносное программное обеспечение получает возможность быстро распространяться между ресурсами, а злоумышленник - искать новые точки входа.

Разделение инфраструктуры дает несколько преимуществ:

1. снижение риска распространения инцидентов внутри компании;
2. уменьшение последствий компрометации отдельных сервисов;
3. усиление эффективности мониторинга и проверки прав пользователей;
4. повышение управляемости и прозрачности сетевой архитектуры;
5. выполнение требований отраслевых стандартов и регуляторов.

Такой подход стал одним из базовых принципов современной киберзащиты.

Какие угрозы помогает предотвратить сегментирование сети

Существенно сокращаются последствия многих сценариев атак.

Боковое перемещение злоумышленников (Lateral Movement)

После первоначального проникновения нарушитель пытается перемещаться между различными сервисами. При отсутствии разделения один скомпрометированный компьютер может стать отправной точкой для атаки на серверы, базы данных и системы управления.

Изоляция ресурсов затрудняет такой процесс. Каждый новый переход может сопровождаться дополнительной проверкой доступа и фильтрацией трафика.

Распространение программ-вымогателей

При наличии изолированных зон заражение локализуется в пределах ограниченного участка. Потенциальный ущерб сокращается, а восстановление занимает меньше времени.

Компрометация устройств интернета вещей (IoT) и промышленного оборудования

Камеры наблюдения, датчики, контроллеры и другое промышленное оборудование часто имеют ограниченные возможности защиты. Скомпрометированное устройство может использоваться как промежуточная точка для дальнейшего развития атаки.

Изолированные зоны для IoT и производственных комплексов позволяют ограничить взаимодействие подобных устройств с другими сервисами.

Утечки данных между подразделениями

Не вся информация должна быть доступна всем сотрудникам компании. Финансовые документы, сведения о клиентах и производственные данные требуют разграничения прав.

Изоляция корпоративных сервисов помогает ограничить круг пользователей и обеспечить дополнительную защиту конфиденциальной информации.

Основные виды сегментации

Для разделения инфраструктуры используется несколько подходов.

Физическая сегментация

Предполагает применение отдельных коммутаторов, линий связи и оборудования.

Преимущества:

• высокий уровень изоляции;
• минимизация влияния инцидентов;
• простота разграничения полномочий.

Недостатком считается высокая стоимость внедрения и ограниченная гибкость.

Логическая сегментация с помощью виртуальных локальных сетей (VLAN)

Наиболее распространенный подход в корпоративной среде.

Виртуальные локальные сети позволяют разделять устройства независимо от их физического подключения. Несколько групп пользователей могут находиться на одном коммутаторе, но работать в разных логических пространствах.

Такой метод обеспечивает гибкое управление и не требует значительного увеличения аппаратных ресурсов.

Микросегментация

Активно внедряется в центрах обработки данных и облачных инфраструктурах. Позволяет контролировать взаимодействие отдельных приложений, виртуальных машин и рабочих нагрузок. Политики безопасности могут применяться даже к отдельному сервису.

Сегментация на основе политик доступа

Технологии систем контроля доступа NAC и программно-определяемые сети позволяют централизованно применять политики предоставления прав пользователям и сервисам, а концепция нулевого доверия (Zero Trust) задает принципы их построения.

Права пользователя, тип устройства, местоположение и уровень доверия становятся критериями принятия решений.

Каждый подход имеет собственную область применения. На практике организации часто комбинируют несколько методов.

Как правильно построить сегментированную сеть

Эффективность защиты определяется качеством проектирования.

Инвентаризация

Первый этап предполагает определение всех серверов, рабочих станций, приложений и сервисов. Без понимания состава ИТ-среды невозможно разработать корректную архитектуру.

Классификация данных и систем

Не все ресурсы имеют одинаковую ценность. Финансовые базы данных, системы управления производством и сервисы хранения информации требуют повышенного уровня защиты.

Формирование зон безопасности

Часто выделяются следующие группы:

• пользовательские устройства;
• серверные мощности;
• гостевые подключения;
• IoT-системы;
• производственные комплексы;
• средства управления;
• отдельная зона для публично доступных сервисов.

Настройка правил взаимодействия

Используется принцип минимально необходимых привилегий. Обмен информацией между различными участками должен проходить через механизмы фильтрации и контроля.

Постоянный мониторинг и аудит

Анализ информационных потоков помогает выявлять аномалии и подозрительную активность. Политики безопасности нуждаются в регулярном пересмотре.

Количество зон не определяет уровень защиты, гораздо важнее порядок взаимодействия между ними.

Типичные ошибки при сегментации

Наиболее распространенные недостатки:

1. создание чрезмерно крупных участков;
2. отсутствие контроля обмена информацией между изолированными частями среды;
3. избыточно открытые правила доступа;
4. недостаточное документирование архитектуры;
5. игнорирование облачных ресурсов;
6. отсутствие регулярного пересмотра политик безопасности.

Крупные зоны снижают эффективность изоляции. Открытый обмен данными между группами пользователей фактически сводит преимущества разделения к минимуму. Отсутствие документации затрудняет управление инфраструктурой и повышает вероятность ошибок при модернизации.

Какие технологии используются

Для реализации современных архитектур применяются различные средства:

• коммутаторы L2 обеспечивают поддержку VLAN, а L3 дополнительно позволяют организовать маршрутизацию между участками;
• межсетевые экраны нового поколения (NGFW) анализируют приложения и обмен данными на границах различных частей среды;
• системы контроля доступа (NAC) проверяют оборудование перед подключением;
• программно-определяемые сети (SDN) централизованно управляют политиками безопасности;
• решения для микросегментации применяются в виртуальных и облачных средах.

Надежный результат дает сочетание этих инструментов под единым управлением. Например, линейка KORNFELD включает модели с поддержкой VLAN и маршрутизации для построения корпоративной среды с изолированными участками. А для анализа ее защищенности и оценки потенциальных маршрутов распространения угроз могут применяться специализированные платформы управления уязвимостями, такие как Netopia Firewall Compliance.

Сегментация как основа архитектуры Zero Trust (концепции нулевого доверия)

Традиционная модель доверенной внутренней среды постепенно утрачивает эффективность. Современные атаки показывают, что компрометация одного ресурса может привести к масштабным последствиям.

Концепция Zero Trust строится на трех принципах:

• никогда не доверять по умолчанию;
• постоянно проверять доступ;
• ограничивать перемещение внутри инфраструктуры.

Изоляция ресурсов помогает значительно снизить вероятность распространения угроз.

Как выбрать оборудование для построения безопасной сегментированной сети

При подборе решений необходимо учитывать несколько параметров:

• производительность коммутаторов;
• поддержку VLAN и списков контроля доступа;
• возможности маршрутизации;
• интеграцию со средствами информационной защиты;
• поддержку программно-определяемых сетей;
• возможности масштабирования.

Рост количества устройств и цифровизация производственных процессов требуют создания гибкой архитектуры, способной адаптироваться к новым нагрузкам. Грамотно организованная сегментированная сеть остается одним из наиболее эффективных способов снижения рисков кибератак.

Компания Netwell более двадцати лет поставляет на рынок России и СНГ оборудование отечественных и мировых производителей. В каталоге представлены коммутаторы KORNFELD для высокопроизводительных дата-центров и системы Neutrino Foresight для сбора и анализа сетевых взаимодействий на базе NetFlow. Комплекс решений Netwell помогает строить надежные и масштабируемые инфраструктуры с учетом современных требований кибербезопасности.