Tablet z magazynu sięga serwera finansów

Wyobraźcie sobie czterdziestoosobowego dystrybutora. W magazynie są wytrzymałe tablety do kompletowania zamówień. W biurze stoi serwer plików z udziałem działu finansów. Na recepcji działa Wi-Fi dla gości z osobną nazwą i hasłem. Jest rejestrator kamer, trzy drukarki, ekran w sali spotkań i sterownik drzwi, który ktoś zamontował przy przeprowadzce.

Teraz proste pytanie: czy tablet z magazynu może nawiązać połączenie z serwerem finansów? W sieci budowanej przez dokładanie kolejnych urządzeń odpowiedź prawie zawsze brzmi: tak. Nie dlatego, że ktoś na to pozwolił, tylko dlatego, że nikt nigdy nie powiedział „nie”.

Przyczyną nie jest niedbalstwo. Jedna płaska sieć to stan domyślny, kiedy nikt sieci nie projektuje: każde urządzenie trafia do najbliższego wolnego gniazdka, dostaje adres i działa. I właśnie w tym problem. Nic się nie psuje, więc nic Was nie ostrzega.

Jak zawodzi płaska sieć

Jedno słabe urządzenie sięga wszystkiego. Drukarka ze starym oprogramowaniem, kamera z fabrycznym hasłem, laptop, na którym ktoś otworzył niewłaściwy załącznik. W płaskiej sieci każde z nich jest przyczółkiem z widokiem na całe środowisko, a ransomware rozchodzi się dokładnie takimi otwartymi ścieżkami.

Wi-Fi dla gości, które nie jest siecią dla gości. Osobna nazwa sieci na tej samej sieci pod spodem to wygoda, a nie granica. Goście, podwykonawcy i ich zainfekowane telefony siedzą obok Waszych serwerów.

Urządzenia, którymi nikt nie zarządza. Kamery, sterowniki drzwi, ekrany w salach, sterownik ogrzewania budynku. To są komputery, rzadko aktualizowane, często instalowane i serwisowane przez innego dostawcę i zwykle niewidoczne dla tego, kto opiekuje się laptopami.

Dostęp zdalny przez jedną dziurę. Port przekierowany na routerze lata temu, żeby dostawca mógł się połączyć, albo jedno urządzenie do zdalnego dostępu, od którego zależą wszyscy — często z własnymi kontami, które nigdy nie pojawiły się w firmowym katalogu i nigdy nie są usuwane, gdy ktoś odchodzi.

Brak mapy. Nikt nie umie powiedzieć, co z czym rozmawia. Bez tego nie da się odróżnić ruchu normalnego od podejrzanego, a każda zmiana w sieci jest ostrożnym zgadywaniem.

Jak wygląda sieć zaprojektowana

Rozwiązaniem nie jest egzotyczny sprzęt. Większość biznesowych przełączników, punktów dostępowych i zapór potrafi wszystko, co poniżej. Brakuje projektu i decyzji.

Strefy według przeznaczenia. Urządzenia pracowników, serwery, goście, urządzenia niezarządzane — kamery, drukarki, ekrany — oraz interfejsy zarządzania samą siecią. Każda strefa we własnym segmencie.

Domyślnie zakaz między strefami. Ruch między segmentami jest dozwolony regułą, a przy każdej regule zapisany jest powód. Tablet z magazynu potrzebuje systemu magazynowego. Udziału finansów nie potrzebuje — i teraz nie może do niego sięgnąć.

Urządzenia niezarządzane w zagrodzie. Kamera łączy się ze swoim rejestratorem. Drukarka przyjmuje wydruki. Żadna z nich nie musi zaczynać rozmowy z czymkolwiek innym i żadna nie powinna móc.

Dostęp zdalny powiązany z tożsamością. Dostęp przyznawany per osoba i per aplikacja przez firmowy katalog, z drugim składnikiem logowania — tak, żeby odchodzący pracownik tracił go razem z całą resztą i żeby żaden port nie zostawał otwarty dla dostawcy, który skończył projekt dawno temu. To kolejny powód, dla którego prawdziwym zamknięciem jest tożsamość: kto kontroluje katalog, ten kontroluje, kto wchodzi z zewnątrz.

Mapa, która jest aktualna. Jeden schemat i jedna lista reguł, aktualizowane przy każdej zmianie. To pierwszy dokument, którego będzie potrzebować następny inżynier, i ten, który pozwala wymienić dostawcę bez archeologii.

Róbcie to etapami

Podział działającej sieci w jeden weekend to sposób, w jaki firmy odkrywają, od czego po cichu zależał program księgowy. Kolejność, która działa: najpierw obserwujcie ruch i zapiszcie, co naprawdę z czym rozmawia; potem utwórzcie strefy i przenieście do nich urządzenia z łagodnymi regułami; na końcu zaostrzajcie reguły po jednej, w godzinach pracy, z kimś pod ręką, kto zauważy, co przestało działać.

To wolniejsze niż przełączenie wszystkiego naraz — i to jest wersja, która nie kończy się przywróceniem starej płaskiej sieci w poniedziałek rano, bo nie dało się wydrukować faktur. Sieć jest jedną z warstw naszego podejścia do IT na własność dla średnich firm i zwykle tą, w której czeka najwięcej niespodzianek.

Test na dzisiejsze popołudnie

Dwa sprawdzenia, razem pół godziny.

Po pierwsze: podłączcie laptopa do Wi-Fi dla gości i spróbujcie otworzyć adres serwera plików albo stronę administracyjną którejś z drukarek. Jeśli cokolwiek odpowie, goście są w Waszej sieci biurowej.

Po drugie: zalogujcie się do routera albo zapory i wypiszcie każde przekierowanie portu i każde konto dostępu zdalnego. Przy każdym zapiszcie, kto o nie prosił i czy nadal go potrzebuje. Każdy wiersz, którego nie umiecie uzupełnić, to pierwsza reguła do usunięcia.