Сегментация сети и VLAN

Сегментация сети разделяет большую плоскую сеть на небольшие изолированные зоны. Без сегментации один взломанный узел может взаимодействовать с каждым другим устройством в сети, предоставляя злоумышленникам полную свободу действий после проникновения. Сегментация реализует принцип наименьших привилегий на сетевом уровне: рабочая станция не должна напрямую обращаться к серверу базы данных, а устройство гостевой Wi-Fi-сети не должно видеть внутренние общие файловые ресурсы. Сегментация значительно уменьшает радиус поражения при взломе.

VLAN (Virtual Local Area Network) — это логическая сеть, созданная на коммутаторе и объединяющая порты независимо от их физического расположения. Устройства в одной VLAN взаимодействуют так, будто находятся в одном физическом сегменте; устройства в разных VLAN не могут взаимодействовать без маршрутизатора или коммутатора Layer 3, который применяет контроль доступа. VLAN помечаются заголовком 802.1Q, содержащим ID VLAN (1–4094), благодаря чему один физический канал (магистральный порт) может одновременно передавать трафик нескольких VLAN.

Если VLAN сегментируют сеть на уровне 2, то подсети выполняют сегментацию на уровне 3 (IP). Обычно каждой VLAN соответствует отдельная подсеть, а маршрутизация между подсетями контролируется межсетевым экраном или маршрутизатором, применяющим списки управления доступом. Это обеспечивает четкое разделение: VLAN 10 может соответствовать подсети 10.10.10.0/24 для корпоративных пользователей, а VLAN 20 — подсети 10.20.20.0/24 для гостей. Правила межсетевого экрана между подсетями определяют, какой трафик разрешен, а какой блокируется на уровне IP.

DMZ (демилитаризованная зона), также называемая экранированной подсетью, — это сетевая зона, расположенная между Internet и внутренней сетью. Серверы, доступные из внешней сети, — веб-серверы, почтовые серверы и DNS-серверы — размещаются в DMZ, чтобы внешние пользователи могли обращаться к ним без прямого доступа к внутренним системам. Если узел в DMZ будет скомпрометирован, внутренний межсетевой экран не позволит злоумышленнику добраться до конфиденциальных внутренних ресурсов. DMZ — важнейшая концепция сегментации, которой в экзамене Security+ уделяется много внимания.

Микросегментация распространяет изоляцию сети на уровень рабочих нагрузок: политики безопасности применяются между отдельными виртуальными машинами, контейнерами или приложениями, а не только между сетевыми зонами. Программно-определяемые сети (SDN) и средства на основе гипервизоров (VMware NSX, AWS Security Groups) обеспечивают выполнение политик без изменения оборудования. Микросегментация — ключевой компонент архитектуры нулевого доверия, поскольку она устраняет неявное доверие между рабочими нагрузками, работающими в одном центре обработки данных или облачном регионе.

Переход между VLAN — это атака, позволяющая трафику покинуть свою VLAN и попасть в другую VLAN без прохождения через маршрутизатор. Существуют два метода: подмена коммутатора, при которой злоумышленник настраивает свою NIC для работы с транкингом 802.1Q и согласовывает с коммутатором транковое соединение, получая доступ ко всем VLAN; и двойная маркировка, при которой злоумышленник оборачивает кадр двумя заголовками 802.1Q, чтобы тот выглядел предназначенным для другой VLAN. Защита включает отключение протокола динамического транкинга (DTP), явную настройку портов доступа и отказ от использования native VLAN для пользовательского трафика.

Наиболее радикальная форма сетевой сегментации — это воздушный зазор: сеть, не имеющая физического или логического подключения к внешним сетям. Системы с воздушным зазором используются в особо секретных государственных сетях, промышленных системах управления и системах управления ядерными объектами. Для передачи данных требуются физические носители (USB-накопители, компакт-диски), что само по себе создает риски: например, Stuxnet распространился через USB и достиг иранских центрифуг, изолированных воздушным зазором. Даже изолированным системам необходимы средства контроля: строгие правила обращения с носителями, аппаратные блокираторы записи и защита конечных устройств.

NAC (контроль доступа к сети) обеспечивает соблюдение политик безопасности до того, как устройству будет разрешено подключиться к сети. Системы NAC проверяют состояние устройства — уровень установки исправлений, состояние антивируса и сертификат — прежде чем предоставить полный сетевой доступ. Устройства, не прошедшие проверки, помещаются в карантинную VLAN исправления, где могут обращаться только к серверам обновлений. NAC интегрируется с 802.1X для аутентификации и взаимодействует со службами каталогов, чтобы применять политики с учетом роли пользователя и типа устройства.

Традиционная периметровая защита сосредоточена на трафике с севера на юг — данных, поступающих в центр обработки данных из внешних источников и покидающих его. Современные злоумышленники используют трафик с востока на запад — боковое перемещение между серверами внутри центра обработки данных или облачной среды, которое исторически практически не проверялось. Микросегментация и внутренние межсетевые экраны устраняют риски, связанные с трафиком с востока на запад. Правила корреляции SIEM должны отслеживать необычные схемы таких соединений, например когда рабочая станция внезапно начинает взаимодействовать с десятками внутренних узлов, что может указывать на червя или активность злоумышленника.

Сети ICS/SCADA, управляющие физической инфраструктурой (электросетями, водоочистными сооружениями, производством), требуют строгого отделения от корпоративных IT-сетей. Модель Purdue определяет уровни от полевых устройств (Level 0) через управление предприятием (Level 2) до корпоративных IT-систем (Level 4); между уровнями 2 и 3 располагается DMZ, предотвращающая прямое подключение. Стандарты NERC CIP требуют такого разделения от организаций энергетического сектора. Нарушение безопасности в корпоративной сети ни в коем случае не должно позволять напрямую управлять физическими исполнительными механизмами или датчиками.

Конечная цель сетевой сегментации — минимизировать радиус поражения при любом отдельном взломе, то есть масштаб ущерба, который злоумышленник может причинить, проникнув в один сегмент. В сочетании с другими средствами контроля (обнаружением угроз на конечных устройствах, строгим IAM, управлением исправлениями) сегментация создает эшелонированную защиту: несколько независимых уровней, которые злоумышленнику приходится последовательно преодолевать. Сама по себе сегментация не предотвращает первоначальный взлом, но замедляет злоумышленников, создает возможности для обнаружения и ограничивает последствия программ-вымогателей и червей, использующих неограниченное боковое перемещение.

В этом уроке Вы узнали, что VLAN обеспечивают логическую сегментацию на уровне 2, ограничивая широковещательные домены и боковое перемещение; DMZ (экранированная подсеть) изолирует общедоступные серверы между внешним и внутренним межсетевыми экранами; а атаки с переходом между VLAN можно предотвратить, отключив динамический транкинг, изменив native VLAN и назначив неиспользуемые порты неиспользуемой VLAN. Далее мы рассмотрим распространенные сетевые атаки, включая отказ в обслуживании, подмену и атаки типа «человек посередине».