Kako povečati varnost vašega podjetja z LAN omrežji

Alfa vodnik » Igre » Kako povečati varnost vašega podjetja z LAN omrežji

Lokalno omrežje (LAN) vašega podjetja je postalo živčni sistem celotnega podjetja : prenaša podatke o strankah, dostop do kritičnih aplikacij, interno komunikacijo in celo promet naprav interneta stvari. Če odpove ali je ogrožen, se ne ustavi le produktivnost, temveč je ogrožena sama kontinuiteta podjetja.

Maksimiranje varnosti vašega podjetja z omrežji LAN ni več le možnost »za velika podjetja «, temveč resnična nuja za mala in srednje velika podjetja ter organizacije vseh velikosti. Od kablov in topologije do VLAN-ov, IDS/IPS, požarnih zidov in usposabljanja zaposlenih, vse prispeva k izgradnji hitre, stabilne in zelo varne infrastrukture.

Kaj je omrežje LAN in zakaj je tako pomembno v podjetju?

LAN (lokalno omrežje) je omrežje, ki povezuje računalnike v omejenem fizičnem prostoru , kot je pisarna, tovarna, stavba ali majhen kampus. Njegova glavna funkcija je omogočiti računalnikom, strežnikom, tiskalnikom, IP-telefonom in drugim napravam hitro in nadzorovano izmenjavo podatkov ter skupno rabo virov.

V večini sodobnih poslovnih okolij LAN združuje žične ethernetne povezave in povezave Wi-Fi ter tvori notranje komunikacijsko omrežje, kjer sobivajo delovne postaje, datotečni strežniki, lokalne aplikacije, IP-telefonija, video nadzorne kamere, brezžične dostopne točke in vse večje število naprav interneta stvari.

Sodobna lokalna omrežja (LAN) imajo običajno eno samo vstopno točko v internet (prek usmerjevalnika ali požarnega zidu na obodu), zato je ves poslovni promet skoncentriran v tej osrednji strukturi: če je dobro zasnovana, je odlična nadzorna točka; če je zanemarjena, je ogromna vstopna točka za napadalce.

Poleg tega mnoga podjetja znotraj iste fizične infrastrukture uvajajo več logičnih lokalnih omrežij (LAN) , pri čemer ločujejo na primer upravljalno omrežje, omrežje za goste, produkcijsko omrežje ali omrežje naprav interneta stvari (IoT) z uporabo VLAN-ov in napredne segmentacije za izboljšanje varnosti in zmogljivosti.

Kako deluje lokalno omrežje: fizična, logična in podatkovna plast

Delovanje lokalnega omrežja (LAN) združuje fizične elemente (kable, stikala, usmerjevalnike) in logične elemente (protokole, IP-naslove, VLAN-e) , ki sodelujejo pri zagotavljanju urejenega potovanja podatkovnih paketov med različnimi napravami.

Vsaka naprava, ki sodeluje v lokalnem omrežju (LAN), ima omrežno kartico (fizično ali virtualno) z edinstvenim naslovom MAC in naslovom IP, ki ju dodeli ročno ali prek strežnika DHCP. Naslovi MAC trajno identificirajo napravo, medtem ko naslovi IP omogočajo usmerjanje in logično komunikacijo.

Stikala so odgovorna za sprejemanje paketov in njihovo posredovanje le prek potrebnih vrat , s čimer preprečujejo, da bi celotno omrežje bilo preobremenjeno z nepotrebnim prometom. Da bi to dosegli, se naučijo, kateri MAC naslovi so za posameznimi vrati, in vzdržujejo notranje tabele, ki jim omogočajo učinkovito usmerjanje prometa.

Usmerjevalnik ali požarni zid oboda se nahaja na točki, kjer se lokalno omrežje (LAN) povezuje z drugimi omrežji (običajno z internetom ali korporativnim omrežjem WAN). Ta naprava prevaja naslove, uveljavlja varnostne pravilnike, usmerja odhodne pakete in v mnogih primerih filtrira vsebino ali izvaja poglobljen pregled prometa.

Celoten tok se zanaša na standardizirane protokole (TCP/IP, ARP, DHCP, DNS in druge) in na operacijski sistem naprav, ki upravlja omrežni sklad in nadzoruje, kako se vzpostavljajo povezave, preverjajo seje in obravnavajo napake.

Ključne komponente varnega lokalnega omrežja (LAN)

Da bi bilo lokalno omrežje zanesljivo, hitro in varno, ni dovolj, da se "vse poveže z istim usmerjevalnikom" ; treba je pravilno kombinirati različne vrste specializirane strojne opreme in jih zaščititi z ustreznimi konfiguracijami.

Med najpogostejšimi elementi v infrastrukturi LAN podjetja najdemo :

• UsmerjevalnikiMedsebojno povezujejo lokalno omrežje (LAN) z internetom ali drugimi lokalnimi ali globalnimi omrežji (WAN), upravljajo usmerjevalne tabele, NAT, osnovne pravilnike požarnega zidu in v mnogih primerih tudi VPN.
• Upravljana stikalaStikala, ki medsebojno povezujejo več naprav znotraj lokalnega omrežja (LAN), kar vam omogoča ustvarjanje VLAN-ov, uporabo QoS, nadzor vrat in spremljanje prometa.
• Ethernet kabli (bakreni ali optični)Prenašajo informacije z veliko hitrostjo in v primeru bakrenih kablov s PoE lahko napajajo dostopne točke Wi-Fi, IP kamere ali VoIP telefone.
• Omrežne kartice (NIC)Integrirani v osebne računalnike, strežnike ali naprave, interpretirajo in ustvarjajo podatkovne pakete, ki krožijo po omrežju.
• Brezžične dostopne točke (WAP)Ponujajo povezljivost Wi-Fi in delujejo kot most med brezžičnim svetom in žičnim omrežjem.
• Požarni zidoviFiltrirajo promet med različnimi omrežnimi segmenti ali med lokalnim omrežjem (LAN) in internetom, s čimer blokirajo nepooblaščen dostop in znane napade.
• IDS/IPS in nadzorni sistemiSpremljajo promet za anomalne vzorce, poskuse vdorov ali zlonamerno programsko opremo, ustvarjajo opozorila in celo prekinejo zlonamerne povezave.

Nekatere arhitekture uporabljajo tudi mostove, repetitorje signalov in sisteme za samodejno upravljanje infrastrukture za razširitev pokritosti, boljšo segmentacijo ali vpogled v stanje vseh fizičnih povezav v realnem času.

Vrste omrežij LAN in primerjava z omrežji WAN, MAN in PAN

Lokalna omrežja (LAN) lahko razvrstimo glede na vrsto medija, topologijo ali model povezave , zato je pomembno razumeti te razlike, da bi lahko zasnovali omrežje, prilagojeno potrebam vsakega podjetja.

Glede na vrsto kabliranja ločimo predvsem žična in brezžična lokalna omrežja (LAN ). Žična lokalna omrežja uporabljajo bakrene ali optične kable, kar ponuja višje hitrosti in manjšo zakasnitev; brezžična lokalna omrežja (WLAN) uporabljajo Wi-Fi v skladu s standardom IEEE 802.11, da uporabnikom zagotovijo popolno mobilnost.

Če pogledamo, kako so organizirane fizične povezave, vidimo topologije, kot so zvezda, obroč, vodilo ali drevo . V trenutni praksi v poslovnih okoljih prevladujeta zvezdasta topologija (s stikali kot osrednjim vozliščem) in hierarhična drevesna različica.

Glede na model povezave sobivata odjemalsko-strežniška lokalna omrežja in lokalna omrežja peer-to-peer (P2P) . Prva se skoraj vedno uporabljajo v podjetjih z enim ali več strežniki, ki centralizirajo storitve in pravilnike; druga so bolj značilna za preprosta domača okolja.

Lokalna omrežja se od drugih omrežij razlikujejo po svojem fizičnem obsegu : WAN (širokopasovno omrežje) povezuje več lokalnih omrežij po državi ali celini, običajno s pomočjo operaterskih povezav in tehnologij za prenos na dolge razdalje, medtem ko MAN (metropolitansko omrežje) pokriva mesto ali metropolitansko območje. Na nasprotnem koncu spektra PAN (osebno omrežje) združuje osebne naprave v dosegu nekaj metrov, kot so slušalke Bluetooth ali povezava med prenosnikom in mobilnim telefonom.

VLAN-i in segmentacija: temelj varnosti v sodobnih lokalnih omrežjih

Eno najmočnejših orodij za krepitev varnosti in učinkovitosti lokalnega omrežja (LAN) so VLAN-i (virtualna lokalna omrežja) , ki omogočajo ustvarjanje neodvisnih logičnih omrežij na isti fizični infrastrukturi.

Namesto enega samega ravnega omrežja, kjer lahko vsi vidijo vse ostale , VLAN-i ločujejo promet po oddelkih, funkcijah ali stopnjah zaupanja: administracija, gostje, internet stvari, glas, produkcija, razvoj itd. Vsaka skupina je izolirana in komunicira z drugimi le prek strogo nadzorovanih pravil.

Tehnično gledano se VLAN-i zanašajo na standard IEEE 802.1Q, ki vsakemu ethernetnemu okvirju doda oznako, ki označuje, kateremu VLAN-u pripada. Upravljana stikala preberejo to oznako in pošiljajo promet samo prek vrat, povezanih s tem virtualnim omrežjem.

Obstajajo statična VLAN-a, kjer članstvo določajo vrata stikala, in dinamična VLAN-a , kjer je dodelitev odvisna od parametrov, kot so naslov MAC, protokoli ali celo preverjanje pristnosti uporabnikov v imeniku podjetja.

Segmentacija VLAN zmanjša promet oddajanja, izboljša zmogljivost in omejuje napadalčevo lateralno gibanje . Če je sistem ogrožen, je škoda veliko bolj omejena, možnosti za širjenje izsiljevalske programske opreme na kritične strežnike ali finančne sisteme pa so drastično zmanjšane.

Glavne grožnje za korporativno lokalno omrežje (LAN)

Samo zato, ker je lokalno omrežje »notranje«, še ne pomeni, da je varno . Številne grožnje, opisane v našem vodniku o napadih in grožnjah kibernetske varnosti , izkoriščajo ranljivosti znotraj samega lokalnega omrežja, pri čemer združujejo človeške napake, šibke konfiguracije in nezaščitene naprave.

Med najpogostejšimi vrstami napadov na LAN omrežja najdemo :

• Zlonamerna programska oprema in izsiljevalska programska oprema: zlonamerna koda, ki se vnese prek lažnih e-poštnih sporočil, prenosov ali naprav USB, šifrira podatke ali poškoduje sisteme in se širi po lokalnem omrežju.
• Aktivno poslušanje (vohanje in vohunjenje): zajemanje omrežnega prometa za krajo poverilnic, vohunjenje za komunikacijo ali pripravo na nadaljnje napade.
• Ponarejanje DNS-a (zastrupljanje DNS-a): manipulacija odgovorov DNS za preusmeritev uporabnikov na lažna spletna mesta in krajo prijavnih ali bančnih podatkov.
• Spreminjanje in nedovoljeno spreminjanje podatkov: namerna sprememba podatkovnih baz, datotek ali računovodskih evidenc s posledičnimi ekonomskimi ali pravnimi posledicami.
• Kraja identitete in nepooblaščen dostop: uporaba ukradenih poverilnic ali šibkih gesel za dostop do notranjih sistemov, kot da bi bil zakonit zaposleni.

Mnogi od teh napadov se zanašajo na predhodne faze omrežnega izvidovanja ali skeniranja , kjer napadalec ugotovi, katera vrata so odprta, katere storitve se izvajajo na posameznem računalniku in katere slabosti je mogoče izkoristiti pozneje.

Tudi na videz pasivne tehnike, kot je vohljanje prometa ali uporaba vohljalnika na zrcalnih vratih stikala , lahko vsiljivcu dajo zelo podroben vpogled v to, kako se podatki premikajo, kdo se s kom pogovarja in kateri protokoli so napačno konfigurirani.

IDS/IPS v lokalnem omrežju: praktičen primer s Suricato in MikroTikom

Da bi varnost dvignili na višjo raven, številna podjetja v samem lokalnem omrežju (LAN) uvajajo sisteme za zaznavanje in preprečevanje vdorov (IDS/IPS) , ki so sposobni poglobljeno analizirati promet in odkriti sumljive dejavnosti.

Suricata je eden najzmogljivejših in najpogosteje uporabljenih odprtokodnih mehanizmov IDS/IPS . Razvil ga je OISF in lahko deluje v načinih zaznavanja, preprečevanja, spremljanja omrežne varnosti (NSM) in analize prometa brez povezave, pri čemer pregleduje glave paketov in koristne tovore z zelo dovršenimi pravili.

Zelo učinkovit scenarij vključuje kombinacijo usmerjevalnika MikroTik z virtualnim strojem Debian, na katerem se izvaja Suricata . Usmerjevalnik upravlja lokalni omrežni promet in kopira ali preusmeri tok, ki nas zanima, na vmesnik virtualnega stroja, kjer ga Suricata pregleda.

Ta arhitektura lahko deluje v načinu IDS (samo spremljanje in opozarjanje) ali načinu IPS (ukrepa tudi proti zlonamernemu prometu) . Tipična topologija bi bila nekaj takega: internet ↔ RouterOS ↔ hipervizor ↔ most Linux ↔ virtualni stroj s Suricato, kjer je vmesnik za analizo postavljen v promiskuitetni način za ogled vsega prometa.

Pri MikroTiku imamo dve možnosti za pošiljanje prometa v Suricato :

• Prikazovanje vrat: promet se klonira iz enega vmesnika v drugega, kjer je priključen Suricata VM, idealno, če je fizična vrata mogoče nameniti izključno za spremljanje.
• Vohanje s pravili CALEAPromet se zajame na ravni požarnega zidu in pošlje na določen IP-naslov v lokalnem omrežju (naslov računalnika Suricata) za oddaljeno analizo.

V Debian VM se po posodobitvi sistema Suricata namesti iz backports , glavna datoteka pa je konfigurirana z navedbo poslušalnega vmesnika (na primer ens2), omrežnih razponov, definiranih kot HOME_NET, in vrst izhodnih podatkov dnevnika (fast.log, eve.json itd.).

Ko so pravila prilagojena in storitev ponovno zagnana, preprosto ustvarite testni promet (pingi, SSH povezave, brskanje po spletu), da v dnevnikih preverite, ali Suricata zaznava dogodke in jih razvršča glede na naložene podpise.

Napredno spremljanje: Meerkat + ELK in opozorila v realnem času

Da bi bil sistem za vdor v sistem (IDS) resnično uporaben v vsakodnevnem delovanju, sta bistvenega pomena dobra vidljivost in agilna opozorila . Zaznavanje tisočih dogodkov je malo koristno, če jih nihče ne vidi ali če se izgubijo v navadnih dnevnikih.

Zelo pogosta integracija je povezovanje Suricate s skladom ELK (Elasticsearch, Logstash in Kibana) . Logstash zbira dnevnike Suricate, jih preoblikuje in pošlje Elasticsearchu, ki jih indeksira za iskanje in korelacijo. Kibana ponuja grafične nadzorne plošče v realnem času s toplotnimi zemljevidi, grafi napadov ter podatki o izvoru in cilju.

S to shemo lahko IT ekipa filtrira po vrsti dogodka, izvornem IP-naslovu, protokolu ali celo po uporabnikih ter zazna porast aktivnosti, ponavljajoče se vzorce ali tipične scenarije skeniranja, surove sile ali izkoriščanja ranljivosti.

Za takojšnja opozorila je Suricata pogosto povezana s Telegramom prek posebnih skriptov , ki pošiljajo sporočila kanalu ali skupini, ko pride do kritičnega zaznavanja. Na ta način so lahko odgovorni takoj obveščeni, kjer koli že so.

Kombinacija obvestil Suricata + ELK + Telegram spremeni lokalno omrežje v nenehno nadzorovano okolje , kjer poskusi vdora niso več nevidni in postanejo incidenti, ki jih je mogoče hitro obvladati.

Bistveni ukrepi za zaščito lokalnega omrežja vašega podjetja

Poleg naprednih orodij obstaja nabor najboljših praks, ki bi jih moralo vsako podjetje uvesti v svojem lokalnem omrežju , ne glede na njegovo velikost ali sektor.

Prvi del se osredotoča na varnost osnovne fizične in logične infrastrukture : posodabljanje strojne opreme (usmerjevalniki, stikala, dostopne točke) in programske opreme (operacijski sistemi, vdelana programska oprema), redno nameščanje varnostnih popravkov ter pogosto varnostno kopiranje podatkov in konfiguracij.

Gesla so še en ključni steber . Morajo biti dolga, kompleksna, edinstvena in se redno spreminjati; izogibajte se imenom, datumom ali zlahka uganjenim informacijam in seveda odstranite vse privzete poverilnice iz omrežne opreme in notranjih storitev.

Poleg zgoraj navedenega je priporočljivo aktivirati dodatne mehanizme za preverjanje identitete , kot so večfaktorska avtentikacija, biometrija ali pametne kartice, zlasti za dostop do občutljivih virov in omrežnih administratorskih plošč.

Nadzor dostopa do lokalnega omrežja (LAN) mora biti tudi strog : določiti je treba, katere naprave se lahko povežejo, kateremu VLAN-u pripadajo, omejiti omrežja za goste, po možnosti uporabiti rešitve NAC (Network Access Control) in beležiti, kdo vstopa in izstopa iz posameznega segmenta.

Segmentacija, šifriranje in obramba v globino

Varno lokalno omrežje mora predvidevati, da ga bo prej ali slej nekdo poskušal vdreti , zato je ključnega pomena uporaba obrambe v globino z več dopolnjujočimi se plastmi zaščite.

Segmentacija VLAN, ki jo podpirajo notranji požarni zidovi, napadalcu preprečuje prosto gibanje po organizaciji . Vsak VLAN ima lahko posebna pravila, ki omejujejo dostop le na bistvene storitve in preprečujejo, da bi testna okolja, gostujoči sistemi ali naprave interneta stvari dosegle kritične sisteme.

Šifriranje prometa je še ena ključna točka . Uporaba varnih protokolov, kot je TLS in šifrirnih praks za interne spletne aplikacije, VPN-jev za oddaljeni dostop in na splošno izogibanje nešifriranim storitvam (telnet, FTP itd.) drastično zmanjša učinkovitost prisluškovanja in prestrezanja podatkov.

Omrežni sistemi IDS/IPS, kot sta Suricata ali komercialne rešitve , morajo biti integrirani z antivirusnim programom in EDR na končnih točkah, pa tudi z orodji za skeniranje ranljivosti, ki lahko prepoznajo zastarele ali napačno konfigurirane sisteme, preden jih lahko napadalec. Poleg tega je za dokončanje te plasti zaščite priporočljivo preučiti posebne priročnike za varnost končnih toček .

Končno lahko rešitve SIEM združujejo in povezujejo dnevnike iz različnih naprav (požarnih zidov, strežnikov, stikal, IDS, krmilnikov Wi-Fi), da zagotovijo popolnejši pregled, zaznajo kompleksne vzorce in olajšajo odzivanje na resne incidente.

Človeški dejavnik: usposabljanje in kultura kibernetske varnosti

Ne glede na to, kako napredna je vaša tehnologija lokalnega omrežja (LAN), je najšibkejši člen pogosto oseba za tipkovnico . Številni resni incidenti se začnejo s preprostim klikom na lažno e-pošto ali uporabo očitnega gesla.

Usposabljanje zaposlenih in vodij o najboljših praksah kibernetske varnosti je prav tako pomembno kot namestitev dobrega požarnega zidu . Znati morajo prepoznati sumljiva e-poštna sporočila, se izogibati prenosu programske opreme brez dovoljenja, se vzdržati uporabe neznanih USB-ključkov ter spoštovati pravilnike o dostopu in nastavitve osebnih naprav; spodbujanje usposabljanja o kibernetski varnosti znotraj podjetja je v ta namen dragoceno orodje.

Redna usposabljanja o zlonamerni programski opremi, izsiljevalski programski opremi, socialnem inženiringu in notranjih politikah pomagajo drastično zmanjšati število incidentov, ki so posledica človeških napak, ki ostajajo eden glavnih virov varnostnih kršitev.

Poleg tega je pomembno spodbujati kulturo, kjer se poročanje o morebitni napaki ali incidentu ne obravnava kot problem , temveč kot prispevek h kolektivni varnosti. Prej ko se odkrije nenavadno vedenje, lažje ga bo omejiti.

Načrtovanje, oblikovanje in razvoj poslovnega lokalnega omrežja (LAN)

Gradnja varnega in na prihodnost pripravljenega lokalnega omrežja (LAN) vključuje več kot le dodajanje stikal, ko pisarna raste . Zahteva načrtovano zasnovo, ki je usklajena s poslovno strategijo in dovolj prilagodljiva, da se prilagodi tehnološkemu razvoju.

Dobro izhodišče je standardizacija kablov in opreme , na primer z izbiro kategorije 6A za podporo višjih hitrosti in PoE ter za upravljana stikala, ki omogočajo rast števila vrat, VLAN-ov in varnostnih funkcij brez preoblikovanja celotnega omrežja.

Omrežni skrbniki bi si morali zastaviti ključna vprašanja o odpornosti in neprekinjenem poslovanju : kaj se zgodi, če odpove osrednje stikalo, kako je zagotovljena redundanca, kakšen vpliv bi imel izpad omrežja Wi-Fi ali glavne internetne povezave in kateri mehanizmi so vzpostavljeni za zmanjšanje izpadov.

Pomembna je tudi agilnost omrežja . Dobro zasnovana strukturirana kabelska topologija z modularnimi komponentami omogoča premikanje delovnih postaj, dodajanje naprav ali uvajanje novih tehnologij (Wi-Fi 6/7, 5G v zaprtih prostorih, več interneta stvari) brez dotikanja hrbtenice ali povzročanja nenehnih izpadov.

Poleg vsega tega je treba lokalno omrežje integrirati s storitvami v oblaku, hibridnim delom in oddaljenim dostopom . Lokalno omrežje ni več izolirano okolje, temveč točka povezave med pisarnami, javnimi oblaki, aplikacijami SaaS in uporabniki, ki se povezujejo od koder koli; priporočljivo je pregledati dejavnosti v oblaku in kibernetsko varnost, da se opredelijo ustrezni nadzorni mehanizmi.

Če želi vaše podjetje izkoristiti digitalizacijo, ne da bi živelo v nenehnem strahu pred kibernetskim napadom , je treba z lokalnim omrežjem (LAN) ravnati kot s strateško prednostjo: premišljeno zasnovano, segmentirano z VLAN-i, zaščiteno s požarnimi zidovi in ​​IDS/IPS, šifrirano, nadzorovano in podprto s strani dobro podkovanih in usposobljenih zaposlenih. Vse to vsakodnevno povezljivost spremeni v gonilo produktivnosti in ne v vir tihih tveganj.