O čem to je
Počítače ve firmě nebo ve škole jsou propojené do sítě a ta je připojená k internetu. Z internetu na ni každou minutu někdo zkouší útoky. Síťová bezpečnost určuje, kdo smí dovnitř, kam smí uvnitř chodit a jak se bezpečně připojit zvenku.
Nové pojmy
PaketMalý kousek dat, na který se rozdělí každá komunikace po síti. Má hlavičku s adresou odesílatele a příjemce.Načtení stránky = stovky paketů.
IP adresa a portPřipomenutí: IP adresa určuje počítač v síti (číslo domu), port určuje službu na něm (číslo bytu).Webový server 203.0.113.5, port 443 (HTTPS).
Síť jako hrad
Středověký hrad měl hradby, bránu se strážemi, nádvoří pro obchodníky a vnitřní hrad, kam smělo jen pár lidí. Dobře chráněná síť vypadá stejně.
| Hrad | Síť |
|---|
| brána se strážemi | firewall |
| nádvoří pro obchodníky | DMZ – servery přístupné z internetu |
| oddělené části hradu | segmenty sítě, VLAN |
| tajná chodba pro posly | VPN |
| hlídka, která si všímá podezřelých | IDS / IPS |
FirewallZařízení nebo program, který podle pravidel propouští nebo zahazuje síťový provoz. Rozhoduje podle IP adres, portů, protokolu a u lepších firewallů i podle stavu spojení a obsahu.Pravidlo: „Z internetu povol jen port 443 na webový server, vše ostatní zakaž.“
DMZ (demilitarizovaná zóna)Oddělená část sítě pro servery, které musí být dostupné z internetu (web, e-mail). Když je útočník ovládne, vnitřní síť je pořád za dalším firewallem.Webový server školy je v DMZ, databáze žáků ve vnitřní síti.
Segmentace a VLANSegmentace = rozdělení sítě na menší části, mezi kterými provoz hlídají pravidla. VLAN (virtuální LAN) je technika, jak na jednom fyzickém přepínači vytvořit víc oddělených sítí.Zvlášť síť učitelů, žáků, hostů, tiskáren a kamer.
VPNVirtual Private Network. Šifrovaný tunel přes internet, kterým se vzdálený počítač nebo pobočka bezpečně připojí do vnitřní sítě.Učitel z domova přes VPN otevře školní server, jako by seděl ve škole.
IDS a IPSSystém, který sleduje provoz a hledá známky útoku. IDS (detection) útok jen ohlásí. IPS (prevention) ho rovnou zablokuje.IPS zastaví pokus o zneužití známé chyby ve webovém serveru.
Škola má jednu plochou síť: počítače žáků, učitelů, server se známkami i Wi-Fi pro hosty. Žákův notebook se nakazí červem (škodlivým programem, který se sám šíří po síti). Co hrozí a co navrhneš?
Červ se šíří sám, takže v ploché síti může dosáhnout až na server se známkami. Návrh: segmentace – oddělit žáky, učitele, servery a hosty do VLAN a firewallem mezi nimi povolit jen nutný provoz (žáci k serveru vůbec, učitelé jen přes aplikaci).
Firma chce, aby obchodníci z hotelů přistupovali k interním dokumentům. Navrhni řešení.
VPN s vícefaktorovým ověřením (heslo + kód nebo klíč v mobilu). Obchodník se připojí šifrovaným tunelem, takže hotelová Wi-Fi provoz nepřečte, a firewall povolí přístup z VPN jen k potřebným serverům (princip nejmenších oprávnění).
Roztřiď, které opatření danou věc dělá.
✗Máme firewall na hranici sítě, takže uvnitř je všechno bezpečné.
✓Útok často začne uvnitř (podvodný e-mail, nakažený notebook). Proto i uvnitř segmentace, pravidla mezi segmenty a sledování provozu.
Jedna hradba nestačí: když ji útočník obejde, má volnou cestu všude. To je obrana do hloubky.
Firewall filtruje provoz podle pravidel, DMZ odděluje veřejné servery, segmentace a VLAN rozdělují vnitřní síť, VPN dává bezpečný přístup zvenku, IDS/IPS hledají a blokují útoky. Dohromady tvoří obranu do hloubky.