Co się dzieje, gdy wszystko widzi wszystko
Sieć płaska to taka, w której każde urządzenie może odezwać się do każdego innego. Laptop z sekretariatu widzi serwer z bazą, kamera widzi komputer kadr, telefon gościa widzi drukarkę i kontroler Wi-Fi. Dopóki nic się nie dzieje, wszystko działa i nikt nie ma powodu tego ruszać. Taka sieć rzadko powstaje z wyboru. Zwykle po prostu rośnie, od jednego przełącznika w szafie do kilku, i nikt nie zatrzymuje się, żeby ją poukładać.
Problem pojawia się w dniu, w którym jedno urządzenie zostaje zainfekowane. Złośliwe oprogramowanie nie robi niczego wyszukanego. Skanuje adresy w swojej sieci, sprawdza otwarte udziały plików, próbuje haseł na tym, co odpowie. W sieci płaskiej ma do przeszukania całą firmę, a nie jeden dział.
To samo dotyczy zwykłej pomyłki. Ktoś podłącza urządzenie do złego gniazdka, ktoś inny wpina prywatny router, żeby mieć lepszy zasięg w swoim pokoju. W sieci podzielonej takie zdarzenie kończy się w jednym segmencie. W sieci płaskiej dotyczy wszystkich.
Segmentacja to nie tylko obrona przed atakiem
Podział sieci daje trzy rzeczy naraz. Pierwsza to ograniczenie szkody, bo awaria albo infekcja zostaje w swoim segmencie. Druga to porządek w ruchu, bo widać, kto z kim się łączy, i szybciej znajduje się przyczynę, gdy coś zwalnia. Trzecia to spokojniejsza rozmowa przy audycie, bo rozdzielenie sieci jest jednym z pierwszych pytań, jakie padają.
Norma ISO 27001 w wersji z 2022 roku ma na to osobny punkt o rozdzielaniu sieci. Standard PCI DSS, który obowiązuje firmy obsługujące płatności kartami, nie wymaga segmentacji wprost, ale bez niej cała firmowa sieć wchodzi w zakres audytu. To zwykle najdroższa możliwa opcja.
Co warto rozdzielić i dlaczego
Nie ma jednego podziału dobrego dla każdej firmy, ale jest zestaw grup, które prawie zawsze powinny stać osobno:
- Wi-Fi dla gości. Ma dawać internet i nic więcej. Żadnego dostępu do drukarek, dysków sieciowych ani systemów firmowych.
- Komputery pracowników. Tu jest najwięcej ruchu i najwięcej okazji do infekcji, bo to tutaj otwiera się załączniki i strony.
- Serwery i systemy produkcyjne. Sięga się do nich po konkretnych usługach, a nie po wszystkim. Sterowniki maszyn i systemy produkcyjne bywają stare i nie da się ich łatać, więc tym bardziej nie powinny stać obok laptopów.
- Księgowość i kadry. Nie chodzi o brak zaufania do ludzi, tylko o to, że leżą tam dane, które najbardziej boli stracić i najdrożej wyciekają.
- Drukarki i urządzenia biurowe. Rzadko ktoś je aktualizuje, a potrafią mieć własny panel administracyjny z fabrycznym hasłem.
- Kamery, kontrola dostępu, automatyka budynku. Zwykle instaluje je zewnętrzna firma, często razem z dostępem zdalnym, o którym nikt w firmie już nie pamięta.
- Zarządzanie siecią. Panele przełączników, punktów dostępowych, firewalla i macierzy powinny być dostępne tylko z wyznaczonych stanowisk. To najcenniejszy cel w całej sieci.
Jak to się robi w praktyce
Sam podział na segmenty to VLAN-y, czyli logiczne sieci na tym samym sprzęcie. Standard, który opisuje znakowanie ruchu VLAN, nosi numer IEEE 802.1Q i obsługuje go każdy zarządzalny przełącznik. Sprzętu zwykle nie trzeba dokładać, trzeba go poprawnie skonfigurować.
VLAN sam z siebie nie blokuje niczego między segmentami. O tym, co przechodzi z jednego do drugiego, decydują reguły na urządzeniu, które je łączy, czyli na firewallu albo na przełączniku warstwy trzeciej. Zasada jest prosta. Domyślnie nie przechodzi nic, a otwiera się dokładnie te połączenia, które są potrzebne do pracy.
Zostaje pytanie, jak urządzenie trafia do właściwego segmentu. Można przypisać segment na sztywno do gniazdka, ale wtedy przeniesienie biurka wymaga zmiany konfiguracji. Lepiej działa uwierzytelnianie w samej sieci, opisane standardem IEEE 802.1X. Urządzenie albo użytkownik przedstawia się przy podłączeniu, a sieć przydziela segment na tej podstawie. Działa to zarówno w kablu, jak i w Wi-Fi.
W Wi-Fi odpowiednikiem jest tryb korporacyjny, czyli WPA2-Enterprise albo WPA3-Enterprise z serwerem RADIUS. Każdy loguje się swoimi danymi albo certyfikatem, zamiast wpisywać jedno hasło, które zna cała firma i połowa byłych pracowników. Sieć dla gości zostaje osobna, z hasłem, które można zmieniać bez informowania wszystkich.
Mamy VLAN-y, więc jesteśmy podzieleni
To najczęstsze zdanie, jakie słyszy się przed przeglądem sieci, i najczęściej nieprawdziwe. VLAN-y bywają założone, adresacja rozdzielona, a między segmentami stoi jedna reguła przepuszczająca wszystko do wszystkiego. Ruch chodzi tak samo jak w sieci płaskiej, tylko na diagramie wygląda porządnie.
Drugi wariant tego samego problemu to reguły dopisane kiedyś przy awarii i nigdy nie zdjęte. Ktoś potrzebował dostępu z komputerów do serwera na chwilę, otworzono cały segment, awaria minęła, reguła została. Po kilku latach takich wyjątków podział istnieje już tylko w dokumentacji.
Dlatego segmentację ocenia się nie po liczbie VLAN-ów, tylko po tym, co faktycznie przechodzi między nimi. Jeżeli nikt nie umie odpowiedzieć na to pytanie z pamięci, warto po prostu wyeksportować reguły i przeczytać je po kolei.
Co przemyśleć, zanim cokolwiek zmienisz
Segmentacja wygląda na zadanie konfiguracyjne, a w praktyce jest zadaniem inwentaryzacyjnym. Zanim powstanie pierwszy nowy VLAN, trzeba mieć trzy rzeczy:
- Spis urządzeń. Co stoi w sieci, gdzie, kto za to odpowiada i czy w ogóle jeszcze jest używane. Prawie zawsze wychodzi kilka rzeczy, o których nikt już nie pamiętał.
- Plan adresacji. Osobne zakresy dla segmentów, z zapasem na wzrost, żeby za dwa lata nie robić tego samego drugi raz.
- Mapę połączeń. Kto z kim naprawdę musi się łączyć i po czym. Nie kto się łączy dzisiaj, bo dzisiaj łączy się wszystko z wszystkim, tylko co jest potrzebne do pracy.
Najwięcej niespodzianek siedzi w tym trzecim punkcie. Drukarki, które znajduje się przez rozgłaszanie w sieci lokalnej i które przestają być widoczne po podziale. Program magazynowy z adresem serwera wpisanym na sztywno w pliku konfiguracyjnym. Agent kopii zapasowych, który musi dosięgnąć każdej maszyny. Urządzenie, którym zdalnie opiekuje się producent. Każde z tych połączeń da się przewidzieć, jeżeli ktoś je wcześniej wypisze.
Czego nie robi się jednym cięciem w środku dnia
Podział sieci wprowadzany jednego wieczoru w całej firmie kończy się wszędzie tak samo. Rano nie działa kilka rzeczy naraz, nikt nie wie, która zmiana za to odpowiada, i pod presją wraca się do stanu wyjściowego.
Rozsądna kolejność jest odwrotna. Najpierw wychodzą segmenty, które nikomu nie przeszkadzają, czyli Wi-Fi dla gości, kamery i drukarki. Potem, po jednym, segmenty użytkowe. Reguły między segmentami warto najpierw uruchomić w trybie, który przepuszcza ruch, ale go zapisuje. Po tygodniu z logów widać prawdę o tym, co się z czym łączy, a dopiero potem się zamyka.
Każdy taki krok robi się w oknie serwisowym, z zapisaną konfiguracją przed zmianą i z decyzją, po czym uznajemy, że trzeba się wycofać. To nie jest ostrożność na pokaz. Segmentacja dotyka wszystkich, więc jedno przeoczone połączenie zatrzymuje pracę ludziom, którzy nawet nie wiedzieli, że coś się w sieci zmieniało.
Od czego zacząć
Jeżeli nie wiesz, czy Twoja sieć jest podzielona, sprawdzenie jest krótkie. Weź zwykły komputer z biura i spróbuj sięgnąć z niego do panelu przełącznika, do kamery i do serwera z bazą. Jeżeli wszystkie trzy odpowiadają, sieć jest płaska niezależnie od tego, co mówi diagram.
Dalej to już zwykła robota. Spis urządzeń, mapa połączeń, plan adresacji, potem segmenty po kolei, każdy w oknie serwisowym. Zwykle wystarcza sprzęt, który już stoi w szafie, a największym kosztem jest czas na rozpoznanie, kto z kim faktycznie musi się łączyć.
Projektujemy i utrzymujemy sieci firmowe razem z segmentacją VLAN i regułami ruchu między segmentami. Jeżeli chcesz wiedzieć, od którego segmentu zacząć u siebie, zwykle wystarczy krótka rozmowa i rzut okiem na obecną konfigurację.