Zabezpieczenie sieci i dostępu
Projektuję i wdrażam sieci, w których ruch między strefami przechodzi przez zaporę, a dostęp zdalny jest szyfrowany i kontrolowany. Najczęściej pracuję na sprzęcie Fortinet: FortiGate, FortiSwitch, FortiAP i FortiAnalyzer.
Segmentacja sieci
Dzielę sieć na strefy, żeby infekcja jednego komputera nie dotarła do serwerów i urządzeń zarządzających.
W wielu urzędach i firmach komputery, serwery, drukarki i sala szkoleniowa pracują w jednej sieci. Każde urządzenie może wtedy rozmawiać z każdym, a zainfekowany laptop gościa ma tę samą drogę do serwera co komputer księgowej.
Poniżej przykładowy podział sieci urzędu z jednego z moich projektów. Numery i adresacja zawsze wynikają z inwentaryzacji na miejscu.
| Strefa | Co w niej jest | Domyślna zasada |
|---|---|---|
| Zarządzanie | zapora, przełączniki, interfejsy zarządzające macierzy i urządzeń | dostęp wyłącznie z uprawnionych stanowisk administratorów |
| Serwery | serwery i usługi infrastrukturalne | dostęp tylko z wymaganych stref i na wymaganych portach |
| Użytkownicy | komputery pracowników | dostęp do serwerów, drukarek i Internetu według polityk |
| Drukarki | drukarki i urządzenia wielofunkcyjne | bez swobodnego ruchu do użytkowników i strefy zarządzania |
| Sala szkoleniowa | laptopy osób szkolonych | Internet tak, sieć wewnętrzna nie |
| Goście | Wi-Fi dla gości i urządzeń prywatnych | Internet tak, sieć wewnętrzna nie |
Bo tylko wtedy da się egzekwować polityki dostępu, zapisywać, kto z kim się łączy, i używać mechanizmów inspekcji bezpieczeństwa. Przełączniki pracują jako warstwa dostępowa, a nie jako obejście zapory. Ruch wewnętrzny nie przechodzi przez pełną inspekcję, żeby nie przeciążać urządzenia.
Co wdrażam
Zapory
- FortiGatedostawa i wymiana zapory z migracją konfiguracji, uporządkowaniem i optymalizacją polityk, testami i odbiorem
- Klastry wysokiej dostępnościdwie zapory pracujące razem, żeby awaria jednej nie odcięła organizacji od sieci
- FortiAnalyzerlogi i raporty z zapór, podstawa do analizy incydentów i dowód dla audytora
Dostęp zdalny
- VPN IPsec między lokalizacjamistałe, szyfrowane połączenia oddziałów i systemów partnerów
- VPN dla pracownikówFortiClient z dostępem tylko do potrzebnych zasobów
- Uwierzytelnianie wieloskładnikowe (MFA)drugi składnik przy logowaniu do VPN i systemów udostępnionych z zewnątrz
Przełączniki i Wi-Fi
- FortiSwitchprzełączniki zarządzane centralnie z zapory, połączone w pierścień z łączami 10 Gb/s, z zasilaniem PoE dla punktów dostępowych i kamer
- FortiAP i UniFiWi-Fi dla pracowników, gości i sal szkoleniowych, każda sieć w swojej strefie
Gdy VPN „nie widzi” zasobu
Typowa sprawa z praktyki: pracownik łączy się przez VPN, ale nie ma dostępu do systemu w drugiej lokalizacji.
Co sprawdzam
- trasy dla puli adresów VPN, w tym pozostałości po starych konfiguracjach
- polityki między tunelami (ruch typu hairpin) i translację adresów
- selektory fazy 2 po obu stronach tunelu
- trasy przekazywane klientowi VPN (split tunneling)
Co z tego wynika
Problem rzadko ma jedną przyczynę. Po diagnozie usuwam zbędne reguły i trasy, porządkuję konfigurację i spisuję zmiany, żeby kolejny administrator nie szukał od zera.
Jak pracuję
- Inwentaryzacja na miejscuadresacja, DHCP, DNS, usługi domenowe, serwery, macierze i urządzenia ze stałymi adresami
- Projekt stref i politykplan VLAN, reguły ruchu między strefami i lista wyjątków do zatwierdzenia
- Wdrożenie etapamiw oknach serwisowych, z planem powrotu dla każdego kroku
- Testy i odbiórsprawdzenie dostępu z każdej strefy i protokół odbioru
- Dokumentacjaschemat sieci, plan adresacji i opis reguł na zaporze
Pozostałe usługi z cyberbezpieczeństwa
Sieć do uporządkowania albo zapora do wymiany?
Opisz, co masz, a zaproponuję zakres prac i kolejność kroków.