Как защищать сеть, к которой подключено все.

Продолжаем препарировать «белую книгу» по корпсетям от Huawei. Решили в этот раз заодно ее выложить файлом для самостоятельного изучения. На сайте кнопки скачать нет, но и мы не из простых, поэтому – держите.

Основной тезис в том, что консолидация сетей, переход на облако и т.п. порушило концепцию «замка и рва». Корпсеть стала настолько интегрирована и цифровизирована, что по факту является частью большой, общедоступной сети. Она все еще изолирована, но точек контакта стало сильно больше. Мест для атаки стало резко больше.

Внутри одной инфраструктуры работают очень разные устройства. В перечне рисков книги есть камеры и датчики с непрошитыми уязвимостями, промышленные контроллеры с паролями по умолчанию и личные ноутбуки без управления со стороны компании. Описывается также перемещение атакующего внутри сети и заражение программой-вымогателем, которое переходит из ИТ-сегмента в производственный. Причем подобные атаки вычислить сразу не получается, потому что трафик ходит между серверами, приложениями и устройствами и не пересекает периметр. Что делать, если устройство скомпроменитровано?

Шаг 1 – узнать устройство

Защита начинается с вопроса, что именно подключилось. Сеть анализирует служебные поля пакетов и определяет тип, модель и производителя терминала. Для этого используются пассивный сбор «отпечатков», активное сканирование и интеллектуальная кластеризация, которая помогает опознавать неизвестные устройства. На самом терминале то же делает EDR – защита конечных точек, которая собирает сведения об устройстве и участвует в отражении программ-вымогателей и атак нулевого дня.

Шаг 2 – не пускать без проверки

Знание об устройстве нужно, чтобы решить, давать ли ему доступ. По принципу нулевого доверия допускаются только авторизованные и соответствующие требованиям терминалы. Книга называет несколько механизмов: проверку состояния хоста, аутентификацию, распознавание «немых» устройств вроде камер и датчиков и защиту от подмены. Права зависят от личности устройства и результата проверки. Критерий качества в таблице – выявление несанкционированного доступа за 30 мс прямо на коммутаторах и оценка состояния защиты через EDR.

Шаг 3 – ограничить радиус поражения

Допустим, камера все же заражена. Микросегментация делит сеть на мелкие зоны, и между ними действуют строгие правила доступа, поэтому злоумышленнику трудно перемещаться внутри. Для высокого уровня зрелости книга рекомендует изоляцию по сервисам с туннелями VXLAN и независимой системой управления, которая совместима со сторонними решениями. Камера остается в своей зоне и не получает пути к бухгалтерии или контроллерам.

Шаг 4 – заблокировать у источника

Система непрерывно обнаруживает угрозы по анализу трафика, данным EDR и поведению пользователей и сущностей. Затем она автоматически реагирует вблизи точки подключения и блокирует доступ рискованного терминала. Быстрее всего это работает при сотрудничестве с коммутаторами. Вариант с отдельными устройствами безопасности в таблице оценен ниже: у него нет непрерывного обнаружения.

Шаг 5 – защитить сами линии

Отдельный слой защиты – каналы связи. По «воздуху» используются WPA2 и WPA3, в проводной части MACsec, который шифрует трафик на втором уровне между соседними узлами и защищает от подмены и повторной отправки данных.

Подписывайтесь на Телекоммуналку