segmentacja sieci

Segmentacja sieci to podział sieci na odseparowane strefy z kontrolowanym ruchem między nimi. CERT Polska opisuje separację sieci jako mechanizm bezpieczeństwa polegający na podziale sieci na mniejsze, odizolowane od siebie części, czyli podsieci lub segmenty ^[1]. MITRE ATT&CK ujmuje to podobnie: podział na mniejsze, izolowane segmenty ma kontrolować i ograniczać przepływ ruchu między urządzeniami, systemami i aplikacjami ^[2]. Celem jest to, by przejęcie jednego komputera nie otwierało drogi do całej infrastruktury.

Jak działa

W sieci płaskiej każde urządzenie może połączyć się z każdym. Napastnik, który przejmie jedną stację, może wtedy bez przeszkód skanować i atakować pozostałe. CERT Polska nazywa to ruchem horyzontalnym: przemieszczaniem się atakującego między hostami po uzyskaniu początkowego dostępu ^[1]. W polskich tekstach używa się też angielskiej nazwy lateral movement.

Segmentacja dzieli sieć na strefy i ustala, które przepływy między nimi są dozwolone. Reguły egzekwują zapory sieciowe (firewall) i listy kontroli dostępu. CERT Polska zaleca zasadę domyślnej odmowy (deny all): dozwolone jest tylko to, co zostało wprost zapisane w regułach ^[1]. Tak samo MITRE zaleca polityki „deny by default” zarówno dla ruchu z zewnątrz do środka, jak i wewnątrz sieci ^[2]. Dobre segmenty wymagają najpierw spisania przepływów: kto z kim i po co się łączy. Wtedy reguły wyrażają zasadę najmniejszych uprawnień na poziomie sieci.

Przykładowy podział sieci firmy z własnym serwerem WWW pokazuje schemat poniżej.

RYS. 1Strefy i dozwolone przepływy

Rodzaje

CERT Polska wymienia separację fizyczną, czyli osobny sprzęt dla każdej sieci, i logiczną ^[1]. Podstawowym mechanizmem separacji logicznej w sieciach lokalnych są sieci VLAN według standardu IEEE 802.1Q ^[1].

Zanim wybierze się technikę, trzeba ustalić kryteria podziału. CERT Polska wymienia m.in. wrażliwość danych, czyli osobne segmenty dla danych regulowanych, takich jak dane osobowe podlegające RODO, dane finansowe i zdrowotne ^[1]. Drugim kryterium jest krytyczność biznesowa: systemy kluczowe dla ciągłości działania wydziela się tak, by awaria mniej ważnych segmentów ich nie paraliżowała ^[1]. Trzecim są grupy użytkowników o różnym poziomie zaufania, np. administratorzy i pracownicy ^[1].

Osobnym segmentem jest segment zarządzający. CERT Polska opisuje go jako miejsce, do którego trafiają porty administracyjne urządzeń sieciowych i interfejsy zarządzania serwerami ^[1]. Do takiego segmentu łączy się tylko z wyznaczonej stacji administracyjnej, często przez bastion host albo VPN.

Kopie zapasowe także wymagają separacji. Według CERT Polska ruch do serwera kopii powinien być jednokierunkowy pod względem inicjacji: to serwer kopii łączy się z chronionymi systemami i pobiera dane ^[1]. Dzięki temu przejęty serwer produkcyjny nie może sam sięgnąć do repozytorium i usunąć kopii zapasowych (backup), co jest częstym celem ransomware.

W WordPressie

Pojedyncza strona WordPress rzadko ma własną sieć, ale ta sama zasada działa na mniejszą skalę.

• Baza danych. Dokumentacja WordPressa zaleca, by przy samodzielnym zarządzaniu MySQL wyłączyć zbędne funkcje, na przykład przyjmowanie zdalnych połączeń TCP ^[4]. Baza powinna przyjmować połączenia tylko od serwera aplikacji.
• Hosting. Dokumentacja ostrzega, że na serwerze współdzielonym przejęcie jednej ze stron może zagrozić także pozostałym ^[4]. Hosting współdzielony to brak segmentacji między klientami; opisuje to hasło cross-site contamination.
• Panel i dostęp administracyjny. SSH, SFTP i panel hostingu warto ograniczyć do znanych adresów, np. przez białą listę adresów IP.
• Warstwa sieciowa a warstwa aplikacji. Dokumentacja wymienia zapory w postaci wtyczek i usług oraz WAF działający przed WordPressem ^[4]. Te narzędzia filtrują żądania HTTP, ale nie zastępują segmentacji, która decyduje, dokąd przejęty serwer może się połączyć.

Znaczenie

Segmentacja nie zapobiega włamaniu. Ogranicza jego zasięg i daje obrońcom czas. Gdy strona zostanie przejęta przez webshell, napastnik z serwera w DMZ nie powinien móc połączyć się z komputerami księgowości ani z repozytorium kopii. MITRE wskazuje, że segmentacja utrudnia ruch boczny w środowisku ^[2]. Ułatwia też reagowanie na incydenty: segment można odciąć, nie wyłączając całej firmy.

Pojęcie pojawia się w prawie Unii. Motyw 89 dyrektywy NIS2 wymienia segmentację sieci obok zasad zerowego zaufania, aktualizacji oprogramowania, konfiguracji urządzeń, zarządzania tożsamością i dostępem oraz świadomości użytkowników jako podstawowe praktyki cyberhigieny ^[3]. Podejście Zero Trust nie zastępuje segmentacji, lecz ją zaostrza: każde połączenie wymaga weryfikacji niezależnie od strefy.

Dobre praktyki

CERT Polska w dziale o odporności infrastruktury omawia zasady projektowania segmentacji i reguł zapory w celu ograniczenia przepływu między strefami ^[5]. Z zaleceń CERT Polska i MITRE wynika kilka praktyk.

• Grupowanie systemów według funkcji, wrażliwości i ryzyka, np. płatności, danych kadrowych i produkcji ^[2].
• Reguły domyślnej odmowy i jawnie opisane wyjątki ^[1].
• Serwery publiczne w DMZ z filtrowaniem ruchu do sieci wewnętrznej ^[2].
• Oddzielny segment zarządzający i stacja administracyjna ^[1].
• Serwer kopii inicjujący połączenia, a nie przyjmujący je ^[1].
• Okresowy przegląd reguł, według CERT Polska co najmniej kilka razy w roku albo po każdej istotnej zmianie architektury ^[1].
• Dokumentacja podziału na segmenty i reguł ruchu, która ułatwia audyty i diagnozę incydentów ^[1].

CERT Polska podkreśla, że separacja sieci nie jest jednorazowym projektem. Najczęstszym błędem jest potraktowanie wdrożenia jako zamkniętej fazy, bez procesów utrzymania, przeglądów i reakcji na zmiany w architekturze ^[1]. Reguły, których nikt nie przegląda, z czasem narastają, aż nikt nie wie, które są jeszcze potrzebne ^[1].