Сегментация сети на доступном языке

Сегментация сети — это когда компьютерную сеть компании делят на зоны и оставляют проходы между ними только там, где они действительно нужны. Она нужна, чтобы взлом одного компьютера не превращался во взлом всей компании.

Представьте офис, где все двери открыты настежь. Зашёл в подъезд — можешь попасть в любой кабинет: в бухгалтерию, в серверную, в кабинет директора. Пока все свои, всё в порядке. Но стоит зайти одному постороннему, и он гуляет по всему зданию, куда захочет. Обычная сеть в компании без сегментации устроена ровно так же.

Зачем это нужно

Главная мысль: взлом одного компьютера почти неизбежен, а вот распространение по всей сети — нет, если ему есть куда упереться.

Типичная история выглядит так. Сотрудник открыл вложение из письма. На его компьютере запустилась вредоносная программа. Дальше она смотрит, что вокруг, и идёт по сети: заражает соседние компьютеры, добирается до файлового сервера, потом до сервера с базой данных. Через несколько часов встаёт вся компания, а не один компьютер.

В сегментированной сети та же программа упирается в стену через один шаг. Заражённым остаётся один компьютер, а не всё предприятие целиком.

Как это выглядит на практике

Сеть делят на зоны по одному принципу: «кому с кем действительно надо разговаривать по работе».

Между зонами ставят правила: кто, куда и по какому поводу может обращаться. Всё, что не разрешено явно, запрещено. Это важный разворот привычной логики: обычно сеть настроена наоборот — разрешено всё, кроме отдельно запрещённого, а такой подход и открывает вредоносной программе путь через всю компанию.

Чем это отличается от межсетевого экрана

Межсетевой экран на границе с интернетом защищает от того, что приходит снаружи. Это забор вокруг здания — полезный, но решающий только одну задачу.

Сегментация — это двери внутри самого здания. Она нужна для случая, когда нарушитель уже внутри: пришёл через почту, через заражённую флешку, через подрядчика с ноутбуком или через ту самую камеру с заводским паролем, о которой никто не подумал при установке.

Забор без внутренних дверей защищает ровно до первого проникновения — а способов попасть внутрь у злоумышленника заметно больше одного. Схожая логика работает и с обновлениями программ, и с обучением сотрудников: об этом разбирали в статье про искусственный интеллект в кибербезопасности, где сегментация сети — одна из пяти базовых мер, которые дают больше эффекта, чем любая дорогая система анализа.

С чего начинают

1. Понять, что вообще есть в сети.

   Почти в каждой компании при инвентаризации находится оборудование, о котором никто не помнил: старый сервер, тестовый компьютер, камера от прошлого подрядчика. Разделить сеть, не зная её состава, невозможно физически.

2. Описать, кто с кем работает.

   Какие программы обращаются к каким серверам, кому нужен доступ к базе, что ходит наружу. Обычно выясняется, что реальных связей в разы меньше, чем разрешено в текущих настройках.

3. Начать с самого простого и заметного.

   Отрезать гостевой Wi-Fi и вынести оборудование в отдельную зону. Это две меры, которые дают наибольший эффект при наименьшем риске что-то сломать в текущей работе.

4. Вводить правила постепенно.

   Сначала в режиме наблюдения: правило записано, но не блокирует, а только сообщает, что бы оно заблокировало. Так находятся забытые связи до того, как из-за них встанет реальная работа компании.

Где обычно ошибаются

Делят слишком мелко. Сорок зон вместо шести. Такую сеть невозможно нормально обслуживать: каждое изменение требует правок в десятке мест, и через год правила настраивают «на всякий случай пошире», а весь смысл разделения теряется.

Забывают про удалённый доступ. Сеть аккуратно разделена на зоны, а подключение из дома пускает человека сразу во все зоны без исключения. Дверь есть, но рядом стоит лестница, о которой все забыли.

Не проверяют результат. Разделили и забыли. Через полгода при устранении какого-то сбоя кто-то временно открыл проход между зонами — и он остался навсегда, потому что закрыть забыли. Правила нужно пересматривать так же регулярно, как проверяют резервные копии.

Стоит ли это делать небольшой компании

Полная сегментация с десятком зон маленькой компании не нужна и почти никогда не окупается — сложность обслуживания превысит пользу.

Но два действия имеет смысл сделать при любом размере компании, и они почти бесплатны:

1. Отделить гостевой Wi-Fi от рабочей сети полностью.

   Без общих проводов и без общих точек доступа — гость не должен даже теоретически видеть рабочую сеть.

2. Вынести камеры, принтеры, кассы и датчики в отдельную зону.

   Без доступа к рабочим компьютерам — это самые уязвимые устройства в любой сети, и держать их рядом с остальным не стоит.

Эти два шага закрывают самые частые пути, которыми беда попадает внутрь небольшой компании. Остальное можно делать позже и по мере роста, особенно если параллельно появляется собственный сервер с чувствительными данными — например, при переходе на размещение искусственного интеллекта внутри компании, а не в облаке. Об этом выборе — в статье про железо для искусственного интеллекта.

Сегментация внутренней сети офиса — отдельная задача от безопасности самого сайта, и делает её обычно системный администратор или ИТ-подрядчик по инфраструктуре. Мы со своей стороны можем закрыть смежный участок — сайт компании, который снаружи виден любому: устаревшие версии CMS, слабые доступы в панель управления, дыры в формах, резервные копии.

Аудит безопасности сайтаПроверим версии CMS, доступы, формы и резервные копии сайта — и подскажем, что закрыть первым