Мережева безпека — це сукупність заходів, які захищають комп'ютерну мережу й інформацію в русі від чужого доступу, перехоплення, підміни та виведення з ладу. Розберемо, що таке безпека мережі на практиці, з яких шарів вона складається і чому одного міжмережевого екрана для неї замало.
Основи мережевої безпеки: три властивості, які треба зберегти
Захист має конкретну мету — утримати три властивості інформації:
- конфіденційність — вміст доступний лише тому, кому призначений;
- цілісність — вміст доходить незміненим, без підміни в дорозі;
- доступність — сервіси відповідають тоді, коли потрібні (саме доступність вибивають DDoS-атаки).
Ключова деталь, яку часто пропускають: мережа інформацію передає, а зберігають її вже інші системи. Тому мережевий захист відповідає передусім за дані в русі — за канали, з'єднання та вузли, крізь які вони проходять. Усе, що лежить у сховищах і резервних копіях, закривають інші заходи — від шифрування до фізичного контролю приміщень.
Де закінчується мережевий захист
Знати цю межу так само важливо, як її мати. Фільтрація трафіку безсила проти цілої низки речей:
- соціальна інженерія — працівник сам відкриває лист і сам вводить пароль у підроблену форму;
- логіка застосунку — SQL-ін'єкція заходить дозволеним 443-м портом, як звичайний запит до сайту;
- вкрадені облікові дані — нападник заходить із чинним ключем, і замок спрацьовує як належить;
- збережена інформація — украдений ноутбук чи копія бази на чужому носії лежать поза трафіком узагалі.
Звідси головний висновок: чимало гучних зламів обійшлося взагалі без пробиття периметра — зайшли в дозволені двері. Тому оборону будують шарами, а віра в єдиний бар'єр коштує найдорожче.
Безпека мережі: рівні захисту
Ешелонований підхід означає простий принцип: пробиття одного шару має впертися в наступний.
1. Периметр. Кордон між внутрішнім контуром та інтернетом. Тут працює міжмережевий екран, який пропускає лише дозволені з'єднання — за адресами, портами й протоколами. Він вирішує, кого пускати до дверей, але лишається сліпим до того, що робитимуть усередині.
2. Поділ на сегменти. Контур ділять на зони: сервери, робочі станції, гостьовий Wi-Fi, камери й розумні пристрої, промислове обладнання. Мета — щоб доступ до однієї зони обмежувався цією зоною.
3. Контроль доступу. Хто саме підключається і з якими правами. Спирається цей рівень на надійну автентифікацію та принцип мінімальних привілеїв: кожен обліковий запис отримує рівно ті права, без яких робота стає неможливою.
4. Захист каналу. Шифрування з'єднань (VPN, TLS), щоб перехоплений трафік лишався незрозумілим для стороннього. Важливий нюанс: криптографія закриває вміст, але сама по собі нічого не каже про право доступу — навіть бездоганно зашифрованим каналом заходить нападник з украденим паролем.
5. Прикладний рівень. Вебсервіси прикривають окремо, за допомогою WAF: фільтр периметра розбирає пакети, а сенс запиту до застосунку лишається поза його полем зору.
6. Видимість. Журнали й моніторинг трафіку відповідають на єдине питання: чи хтось уже всередині. Без цього шару перші п'ять працюють наосліп, а ознаки атаки помічають надто пізно.
Північ–південь і схід–захід: трафік поза увагою периметра
Фахівці розрізняють два потоки. Північ–південь — обмін між внутрішнім контуром і зовнішнім світом: його й фільтрує периметр. Схід–захід — обмін між вузлами всередині: робоча станція звертається до файлового сховища, застосунок — до бази, сервер — до сервера.
І ось головне: трафік схід–захід здебільшого оминає будь-який фільтр. Тому нападник, який закріпився на одному ноутбуці, рухається далі майже вільно: другого бар'єра там просто немає. Поділ на сегменти й існує заради того, щоб цей рух коштував зусиль і лишав сліди.
Проста перевірка: якщо ноутбук бухгалтера технічно бачить контролер домену, резервне сховище й сервер відеоспостереження — шар у вас рівно один, хай яка схема намальована в документах.
Рівні мають бути незалежними
Шар вважається окремим лише тоді, коли він падає з інших причин, ніж попередній:
- два фільтри одного виробника з тією самою базою правил падають від тієї самої хиби — один шар, поставлений двічі;
- спільний пароль адміністратора для всіх пристроїв перетворює п'ять шарів на один: підібрали раз — відкрили все;
- резервна копія, доступна з тієї ж зони, у якій працює шифрувальник, зникне разом із робочими даними.
Питання для самоперевірки просте: «Якщо цей рівень пробито — що саме зупинить нападника далі?» Коли чесна відповідь «нічого», рівень у вас один, хай скільки засобів куплено.
Скільки шарів достатньо
Відповідь звучить неромантично: стільки, щоб вартість зламу перевищила цінність здобутого. Інтернет-магазину та енергокомпанії потрібні різні контури — і різні гроші. Кількість шарів визначає оцінка ризиків, а не перелік модних абревіатур у комерційній пропозиції. Дешеві шари — поділ на зони, мінімальні права, багатофакторна автентифікація, журнали — майже завжди дають більше захисту за ті самі гроші, ніж дорогий пристрій, якого нікому налаштовувати.
Периметр розмивається: звідки взялася нульова довіра
Модель «усередині свої, зовні чужі» працювала, поки контур збігався зі стінами офісу. Віддалена робота, хмарні сервіси й особисті пристрої цю межу стерли: працівник підключається з дому, застосунок живе в чужому центрі обробки даних, підрядник має доступ ззовні.
Відповіддю стала нульова довіра (zero trust) — підхід, описаний, зокрема, у документі NIST SP 800-207 (2020). Його суть: довіру не видають за місцем підключення. Кожен запит перевіряють окремо — хто звертається, з якого пристрою, до якого ресурсу і чи потрібен йому цей доступ узагалі.
Купити нульову довіру в коробці неможливо — це радше спосіб мислення, ніж продукт. Практичні кроки, з яких він починається:
- багатофакторна автентифікація в усіх сервісах, а найперше — у віддаленому доступі;
- доступ до конкретного застосунку замість доступу до всього контуру (стара модель «увійшов у VPN — потрапив усюди» віджила своє);
- права видають на завдання й на строк, рівно під потребу;
- у журнал потрапляє кожне звернення, а вхід — лише перший його рядок.
Принципи, на яких усе тримається
- «Заборонено все, крім дозволеного». Доступ відкривають під конкретну потребу; решта лишається зачиненою за замовчуванням.
- Ешелонованість. Кілька незалежних шарів замість одного «супербар'єра».
- Мінімальні привілеї. Зайві права — це майбутній інцидент, виданий авансом.
- Припускай компрометацію. Питання ставлять інакше: що робитиме нападник, коли вже опиниться всередині.
- Простота. Заплутаний набір правил сам стає діркою: «тимчасовий» дозвіл на все живе роками, а походження того рядка вже ніхто й не пояснить.
- Постійність. Разове налаштування застаріває швидше, ніж здається: контур змінюється постійно.
Типові помилки
- поділ на зони «на папері»: сегменти є, а правило між ними — «дозволити все»;
- міцний периметр і беззахисне ядро: усередині ані фільтрів, ані журналів;
- керування обладнанням, відкрите просто з інтернету — «щоб зручно було з дому»;
- адміністрування з тієї самої станції, з якої читають пошту й відкривають вкладення;
- журнали, які збирають, але ніколи не відкривають;
- забуте обладнання: стара точка доступу, тестовий сервер, принтер із вебінтерфейсом назовні.
Практичні загрози й способи їх закривати розібрано у статті Безпека корпоративної мережі, а з яких документів і засобів починати — у матеріалі Політика мережевої безпеки.