Ръководство за внедряване на мрежова сегментация: Намаляване на киберриска и ограничаване на прекъсванията на бизнеса

Ransomware атаката рядко остава ограничена само до първото устройство, което достига. След като атакуващият получи идентификационни данни или компрометира крайно устройство, една неограничена мрежа може да му позволи да се придвижи от работна станция към файлови споделяния, сървъри, резервни копия, свързани с облака системи и клиентски данни. Ръководството за внедряване на мрежова сегментация предоставя на бизнес лидерите практичен начин да ограничат този път и да намалят мащаба, разходите и отражението върху застрахователното покритие при инцидент.

Сегментацията не е просто проект за ИТ архитектура. Тя е мярка за защита на бизнеса, която помага да се ограничи оперативното прекъсване, да се защити регулирана информация и да се демонстрира, че достъпът до критични системи е умишлено ограничен. Ако е реализирана неправилно, може да прекъсне легитимни бизнес процеси. Когато е внедрена правилно, тя прави организацията по-трудна за компрометиране и по-лесна за възстановяване.

Какво всъщност представлява мрежовата сегментация

Мрежовата сегментация разделя средата на отделни зони и контролира трафика, който е разрешен между тях.

Вместо вътрешната мрежа да се разглежда като доверена среда, в която повечето устройства могат свободно да комуникират, сегментацията изисква системите да комуникират само когато има ясно определена бизнес необходимост.

Например служебните лаптопи могат да имат нужда от достъп до електронна поща, одобрени облачни услуги и приложен сървър.

Те не би трябвало автоматично да могат да достигат до инфраструктурата за резервни копия, платежни системи, домейн контролери, конзоли за управление на сигурността или производствени бази данни.

Безжичната мрежа за посетители трябва да предоставя достъп до интернет, но да няма достъп до вътрешните ресурси.

Тези граници могат да бъдат наложени чрез защитни стени, VLAN-и, списъци за контрол на достъпа, политики, базирани на идентичност, и механизми за контрол на мрежовия достъп.

Ползи от мрежовата сегментация

Основното предимство за сигурността е ограничаването на страничното придвижване. Ако фишинг имейл компрометира едно потребителско устройство, сегментацията може да предотврати превръщането на този пробив в прекъсване на работата на цялата организация.

Тя също така подобрява видимостта, защото необичайният трафик между отделните зони става по-лесен за идентифициране и разследване.

Ръководство за внедряване на мрежова сегментация: Започнете от риска

Най-честата грешка е внедряването да започне от технологията вместо от бизнес риска. Закупуването на защитна стена или създаването на VLAN-и преди да бъдат разбрани системите, потребителите и данните често води до сложна мрежа с много изключения и малко реално измерима защита.

Започнете с идентифициране на активите, които биха създали най-сериозни оперативни, правни или финансови последствия, ако бъдат компрометирани или станат недостъпни. Това обикновено включва клиентски и служебни данни, финансови записи, производствени приложения, услуги за управление на идентичности, резервни копия, инструменти за сигурност, оперативни технологии и облачни административни акаунти. Картографирайте къде се намира всеки актив, кой го използва и с кои приложения или услуги трябва да комуникира.

Примерни зони на доверие

След това класифицирайте системите в практични зони на доверие.

Точният модел зависи от организацията, но много компании се нуждаят от отделни зони за потребителски устройства, сървъри, привилегирана администрация, резервни копия, достъп за гости и безжични мрежи, връзки с трети страни, облачни натоварвания и платежни или регулирани данни.

Производствена компания може също да се нуждае от отделни зони за корпоративните ИТ системи и производствените системи на производствената площадка.

Компания за професионални услуги може да постави приоритет върху хранилищата за клиентски данни и инфраструктурата за отдалечен достъп.

Не приемайте, че малкият бизнес се нуждае от опростен дизайн.

Компания с 40 служители, която работи с чувствителни клиентски данни и дистанционни служители, може да има по-голяма нужда от ясно дефинирани граници в сравнение с по-голяма организация с по-малко критични системи.

Обхватът трябва да отразява реалната експозиция към риска, а не само броя на служителите.

Определете разрешения трафик преди да започнете да го ограничавате

Сегментацията е успешна тогава, когато политиките са базирани на известни и необходими комуникации. За всяка връзка между отделните зони трябва да се документират източникът, дестинацията, услугата, портът, протоколът, бизнес собственикът и причината, поради която достъпът е необходим. Това създава матрица за достъп, която може да бъде прегледана от ИТ екипите, оперативните екипи, отговорниците по съответствие и собствениците на системи.

Целевото състояние е принципът на най-малките привилегии: отказ на достъп по подразбиране и разрешаване само на необходимия трафик. Въпреки това твърде бързото преминаване към модел „забранено по подразбиране“ може да прекъсне обработката на заплати, складовите операции, клиентските портали или процесите по архивиране. Поетапният подход е по-безопасен. Използвайте мониторинг на трафика, за да разберете съществуващите зависимости, потвърдете ги със собствениците на приложенията и след това въвеждайте контролите поетапно.

Примерна матрица за достъп

Временните правила заслужават специално внимание. Широкообхватно изключение, създадено за решаване на спешен проблем, може да остане активно с години и неусетно да обезсмисли цялата архитектура на сегментацията.

Всяко изключение трябва да има собственик, бизнес обосновка, дата на одобрение и срок за последващ преглед.

Когато е възможно, използвайте тясно дефинирани правила вместо да разрешавате комуникация между цели мрежови подсегменти.

Осигурете сигурен отдалечен достъп и връзки с трети страни

Отдалеченият достъп и връзките с външни доставчици също изискват внимателно дефинирани граници.

Доставчиците обикновено се нуждаят от достъп до конкретно приложение или система за поддръжка, а не до цялата мрежова инфраструктура.

Когато е възможно, използвайте удостоверен достъп с ограничена продължителност, ограничавайте достижимите ресурси и регистрирайте цялата активност.

В облачни среди приложете същия принцип чрез отделни акаунти, виртуални мрежи, групи за сигурност, роли за идентичност и строго контролирани административни интерфейси.

Тествайте поетапно и планирайте оперативната поддръжка

Проектът за сегментация трябва да бъде внедряван на управляеми етапи, започвайки с пилотна група или една критична граница. Наблюдавайте блокирания трафик, производителността на приложенията, заявките към help desk екипа и логовете за сигурност. Когато се появят неочаквани зависимости, определете дали са легитимни, остарели или потенциално подозрителни, преди да добавяте ново правило.

Тестването трябва да включва както нормални бизнес процеси, така и сценарии при отказ. Уверете се, че потребителите могат да изпълняват задълженията си, планираните задачи работят коректно и екипите за реакция при инциденти запазват достъп до необходимите логове и инструменти. Тествайте възстановяването от резервни копия от отделна зона. По време на ransomware атака резервните копия, които са достъпни от компрометирани производствени системи, могат да бъдат криптирани или изтрити заедно с останалата инфраструктура.

Контролен списък за тестване на сегментацията

Оперативната отговорност е от значение

Оперативната отговорност е също толкова важна, колкото и техническата конфигурация.

Някой трябва да отговаря за одобряването на нови връзки, прегледа на правилата във firewall системите, премахването на неизползван достъп и реакцията при аларми.

Промените в приложенията, офис локациите, придобиванията, облачните услуги и доставчиците могат да създадат нови комуникационни пътища в мрежата.

Сегментацията е контрол, който изисква постоянна поддръжка, а не еднократна инсталация.

Свържете сегментацията със съответствието и киберзастраховането

Много рамки за съответствие и въпросници за сигурност от клиенти изискват организациите да ограничават достъпа до чувствителни данни и да отделят критичните системи от общите потребителски мрежи. Сегментацията подпомага изпълнението на тези изисквания, но не замества по-широки контроли като многофакторна автентикация, решения за откриване и реакция при инциденти, управление на уязвимостите, защитени резервни копия, планиране на реакцията при инциденти и обучение на служителите за сигурност.

Тя има и практическо значение за киберзастраховането. Застрахователите все по-често оценяват дали една организация може да предотврати или ограничи ransomware атака, да защити привилегирования достъп и да възстанови системите след инцидент. Те могат да задават въпроси относно мрежовите контроли, отдалечения достъп, изолирането на резервните копия, логването и защитата на крайните устройства по време на процеса по оценка на риска. Добре поддържаната документация за мрежовите зони, правилата за достъп, извършените прегледи и тестове подпомага по-точната комуникация относно нивото на риска.

Киберзастраховане и мрежова сегментация

Застрахователното покритие трябва да бъде разглеждано заедно с техническата програма за сигурност. Дори добре реализираната сегментация не може напълно да елиминира прекъсването на бизнеса, разходите за уведомяване на засегнатите страни, правните разходи, разследванията по дигитална криминалистика, исканията за откуп или отговорността към трети страни след сериозен инцидент.

От друга страна, киберзастраховката сама по себе си не може бързо да възстанови слабо защитена среда. Най-силната позиция се постига чрез комбинация от превенция, ограничаване на щетите, документирани възможности за възстановяване, подходящо застрахователно покритие и достъп до експертна помощ при предявяване на претенция.

Измервайте дали сегментацията работи ефективно

Една ефективна програма за мрежова сегментация се измерва с реални доказателства, а не само с архитектурни диаграми.

Преглеждайте броя на неограничените пътища към критични активи, процента от firewall правилата с документиран собственик и предназначение, маршрутите за привилегирован достъп, блокираните опити за свързване и времето, необходимо за изолиране на компрометирано устройство.

Проследявайте всички изключения като част от регистър на риска, особено правилата, които позволяват широк достъп между потребителски и сървърни мрежи.

Ключови показатели за ефективност на сегментацията

Периодичните прегледи на достъпа са задължителни. Правило, което е било оправдано за определен проект преди шест месеца, може вече да не е необходимо.

Сканирането за уязвимости и тестовете за проникване също могат да открият неочаквани маршрути между сегментите.

Ако тестов потребител на стандартна работна станция може да достигне до системите за управление на резервни копия или чувствителна база данни без реална бизнес необходимост, тази граница изисква незабавно внимание.

Често задавани въпроси