Хроники связи СВО

VLAN разделили. Доступ остался В посте про VLAN мы разбирали, как ограничить распространение широковещательного шторма. Но у разделённой на сегменты сети остаётся другая задача: ограничить доступ к сервисам. Можно аккуратно разнести рабочие места, серверы и резервное копирование по разным VLAN. А потом разрешить между ними почти весь трафик, потому что иначе что-то перестало работать. На схеме порядок. У атакующего после взлома одной машины по-прежнему большой выбор следующих адресов. Повод вернуться к теме — материал о микросегментации. Публикация рекламная, но сама задача вполне настоящая. Представим обычную компанию. Сайт, сервер приложения, база данных и система резервного копирования. Серверу приложения нужен доступ к определённому сервису базы. Из этого не следует, что ему заодно необходимы доступ к файловым ресурсам бухгалтерии, управление гипервизором и возможность подключаться к хранилищу резервных копий. Каждое такое разрешение должно иметь понятную причину. VLAN создаёт отдельный широковещательный домен. Обмен между IP-подсетями обеспечивает маршрутизация. Разрешать или запрещать конкретные соединения должны политики доступа: правила межсетевого экрана, ACL и другие подходящие механизмы. Сам номер VLAN эту работу не выполняет. Микросегментация делает разграничение более подробным: на уровне отдельных серверов, виртуальных машин или приложений. Можно ограничивать взаимодействие и между системами внутри одного сетевого сегмента. Такой подход описан, например, в документации Cisco. При этом важно расположение контроля. Две виртуальные машины на одном физическом сервере могут обмениваться через виртуальный коммутатор. Их трафик способен вообще не выйти к внешнему межсетевому экрану. Поэтому правила должны исполняться там, где реально проходит соединение: в подходящем сетевом устройстве, на узле или в виртуальной инфраструктуре. Варианты реализации различаются, одного общего названия технологии недостаточно. Самая трудная часть обычно начинается с описания нужных связей. У приложения обнаруживаются DNS, синхронизация времени, каталог пользователей, лицензирование, мониторинг и обмен с соседней системой. Часть зависимостей вспоминают только в день формирования месячного отчёта. Поэтому копировать в разрешения всё замеченное в сети тоже нельзя. Ненужное соединение могло годами существовать просто потому, что его никто не запрещал. Сначала требуется понять назначение обмена, согласовать его с владельцем сервиса, проверить правила и вводить ограничения поэтапно. С журналированием отказов и возможностью отката. Иначе вместо ограничения последствий атаки получится собственная авария. Пределы защиты тоже остаются. Через разрешённое соединение можно причинить вред. Украденная учётная запись сохраняет свои права. Компрометация общего управления инфраструктурой может затронуть сразу множество систем. Но сокращать ненужный доступ всё равно полезно. Взлом одного сервера должен оставлять атакующему как можно меньше возможностей добраться до остальных. Для этого мало раскрасить схему сети. Нужно разобраться с каждым разрешением, которое на ней осталось. Communicatio est victoria. — Душнила t.me/zas_svo vk.com/zas_svo #СВО #связь #VLAN #Инфобез #Микросегментация