Pembahagian Rangkaian dan VLAN

Pembahagian Network membahagikan Network rata yang besar kepada zon yang lebih kecil dan terpencil. Tanpa pembahagian, satu Host yang terjejas boleh berkomunikasi dengan setiap peranti lain dalam Network — memberikan penyerang kebebasan sepenuhnya sebaik sahaja mereka berada di dalamnya. Pembahagian menguatkuasakan prinsip keistimewaan paling minimum pada lapisan Network: stesen kerja tidak sepatutnya dapat mencapai Server pangkalan data secara langsung, dan peranti Wi-Fi tetamu tidak sepatutnya melihat perkongsian file dalaman. Pembahagian mengurangkan dengan ketara jejak kemusnahan akibat pencerobohan.

VLAN (Virtual Local Area Network) ialah Network logik yang dicipta pada suis untuk mengumpulkan port bersama-sama tanpa mengira lokasi fizikal. Peranti dalam VLAN yang sama berkomunikasi seolah-olah berada pada segmen fizikal yang sama; peranti dalam VLAN yang berbeza tidak boleh berkomunikasi tanpa melalui penghala atau suis Layer 3 yang menguatkuasakan kawalan akses. VLANs ditandai dengan pengepala 802.1Q yang membawa ID VLAN (1-4094), membolehkan satu pautan fizikal (port Trunk) membawa trafik daripada berbilang VLAN secara serentak.

Walaupun VLAN melakukan segmentasi pada Lapisan 2, subnet melakukan segmentasi pada Lapisan 3 (IP). Setiap VLAN biasanya dipetakan kepada subnetnya sendiri, dan penghalaan antara subnet dikawal oleh tembok api atau penghala yang menggunakan senarai kawalan akses. Ini mewujudkan pengasingan yang jelas: VLAN 10 mungkin menggunakan 10.10.10.0/24 untuk pengguna korporat, manakala VLAN 20 mungkin menggunakan 10.20.20.0/24 untuk tetamu. Peraturan tembok api antara subnet menentukan trafik yang dibenarkan dan trafik yang disekat pada tahap IP.

DMZ (Zon Demiliterisasi), yang juga dipanggil subnet bertapis, ialah zon rangkaian yang terletak antara Internet dengan rangkaian dalaman. Pelayan yang menghadap umum — pelayan web, pelayan mel, pelayan DNS — ditempatkan dalam DMZ supaya pengguna luaran boleh mengaksesnya tanpa mendapat akses terus kepada sistem dalaman. Jika hos DMZ dicerobohi, tembok api dalaman menghalang penyerang daripada mencapai sumber dalaman yang sensitif. DMZ ialah konsep segmentasi penting yang banyak diuji dalam Security+.

Segmentasi mikro membawa pengasingan rangkaian ke tahap beban kerja, dengan menggunakan dasar keselamatan antara VM, bekas atau aplikasi individu, bukannya hanya antara zon rangkaian. Rangkaian ditakrifkan perisian (SDN) dan alat berasaskan hipervisor (VMware NSX, AWS Security Groups) menguatkuasakan dasar tanpa memerlukan perubahan perkakasan. Segmentasi mikro ialah komponen teras seni bina sifar kepercayaan kerana ia menghapuskan kepercayaan tersirat antara beban kerja yang berjalan dalam pusat data atau rantau awan yang sama.

Lompatan VLAN ialah serangan yang membolehkan trafik keluar daripada VLANnya dan mencapai VLAN lain tanpa melalui penghala. Terdapat dua kaedah: penyamaran suis, apabila penyerang mengkonfigurasi NIC mereka untuk berkomunikasi menggunakan trunking 802.1Q lalu merundingkan pautan trunk dengan suis dan memperoleh akses kepada semua VLAN; serta pengetegan berganda, apabila penyerang membalut bingkai dengan dua pengepala 802.1Q supaya bingkai itu kelihatan ditujukan kepada VLAN yang berbeza. Pertahanan termasuk menyahdayakan protokol trunking dinamik (DTP), mengkonfigurasi port akses secara jelas dan tidak menggunakan VLAN asli untuk trafik pengguna.

Bentuk segmentasi rangkaian yang paling ekstrem ialah jurang udara — rangkaian yang tidak mempunyai sambungan fizikal atau logik kepada rangkaian luaran. Sistem berjurang udara digunakan untuk rangkaian kerajaan yang sangat sulit, sistem kawalan industri dan kawalan kemudahan nuklear. Pemindahan data memerlukan media fizikal (pemacu USB, CD), yang juga memperkenalkan risiko (Stuxnet merebak melalui USB untuk mencapai emparan Iran yang berjurang udara). Sistem berjurang udara juga memerlukan kawalan: pengurusan media yang ketat, penyekat tulis perkakasan dan perlindungan titik akhir.

NAC (Kawalan Akses Rangkaian) menguatkuasakan dasar keselamatan sebelum sesuatu peranti dibenarkan masuk ke rangkaian. Sistem NAC memeriksa keadaan peranti — tahap tampalan, status antivirus dan sijil — sebelum memberikan akses rangkaian penuh. Peranti yang gagal dalam pemeriksaan dikuarantin ke VLAN pemulihan, tempat peranti tersebut hanya boleh mencapai pelayan kemas kini. NAC disepadukan dengan 802.1X untuk pengesahan dan berkomunikasi dengan perkhidmatan direktori bagi menggunakan dasar berdasarkan peranan pengguna dan jenis peranti.

Keselamatan perimeter tradisional menumpukan pada trafik utara-selatan — data yang masuk ke dan keluar dari pusat data daripada sumber luaran. Penyerang moden mengeksploitasi trafik timur-barat — pergerakan sisi antara pelayan dalam pusat data atau persekitaran awan, yang secara sejarahnya kurang menjalani pemeriksaan. Segmentasi mikro dan tembok api dalaman menangani risiko timur-barat. Peraturan korelasi SIEM harus memantau corak sambungan timur-barat yang luar biasa, seperti stesen kerja yang tiba-tiba berkomunikasi dengan berpuluh-puluh hos dalaman, yang mungkin menunjukkan cecacing atau penyerang yang sedang aktif.

Rangkaian ICS/SCADA yang mengawal infrastruktur fizikal (grid kuasa, rawatan air, pembuatan) memerlukan segmentasi yang ketat daripada rangkaian IT korporat. Model Purdue mentakrifkan tahap daripada peranti medan (Level 0), melalui kawalan loji (Level 2), hingga IT perusahaan (Level 4), dengan DMZ antara Level 2 dan 3 untuk menghalang kesalinghubungan terus. Piawaian NERC CIP mewajibkan pengasingan ini bagi organisasi sektor tenaga. Pencerobohan dalam rangkaian korporat tidak sepatutnya dapat memanipulasi penggerak atau penderia fizikal secara terus.

Matlamat utama segmentasi rangkaian ialah meminimumkan jejari letupan bagi setiap pencerobohan — skop kerosakan yang boleh disebabkan oleh penyerang selepas mereka berada dalam satu segmen. Apabila digabungkan dengan kawalan lain (pengesanan titik akhir, IAM yang ketat, pengurusan tampalan), segmentasi mewujudkan pertahanan berlapis: berbilang lapisan bebas yang perlu ditembusi oleh penyerang satu demi satu. Segmentasi sahaja tidak menghalang pencerobohan awal, tetapi ia memperlahankan penyerang, menghasilkan peluang pengesanan dan mengehadkan kesan perisian tebusan serta cecacing yang bergantung pada pergerakan sisi tanpa sekatan.

Dalam pelajaran ini, anda telah mempelajari bahawa VLAN menyediakan segmentasi logik Lapisan 2 yang mengehadkan domain siaran dan pergerakan sisi, DMZ (subnet bertapis) mengasingkan pelayan yang menghadap umum antara tembok api luaran dengan tembok api dalaman, dan serangan lompatan VLAN boleh dicegah dengan menyahdayakan trunking dinamik, menukar VLAN asli dan menetapkan port yang tidak digunakan kepada VLAN mati. Seterusnya, kita akan meneroka serangan rangkaian lazim termasuk DoS, penyamaran dan MITM.