Bezpieczeństwo sieci i infrastruktury

Przy bliższym spojrzeniu obraz zwykle jest mniej uporządkowany. Reguły firewalla dodane pod projekt zamknięty dwa lata temu i nigdy nieusunięte. Konto podwykonawcy, który przestał z Tobą pracować zeszłej wiosny. Baza danych formalnie wewnętrzna, ale osiągalna z każdej maszyny w sieci, łącznie z tą na recepcji. Konsola zarządzania chroniona hasłem, które zna trzech ludzi.

To nie jest niedbalstwo. Tak wygląda skutek nadawania dostępów szybko i pod presją, gdy nikt nie odpowiada za ich późniejsze odbieranie. Dodanie uprawnienia zajmuje dziesięć sekund i rozwiązuje bieżący problem. Odebranie zajmuje popołudnie sprawdzania, kto może od niego zależeć, i rozwiązuje problem, na który nikt jeszcze nie narzeka.

Trudność leży we wdrożeniu, bo trzeba wiedzieć, z czego ludzie faktycznie korzystają, a uczciwa odpowiedź brzmi zwykle: nikt tego nie wie. Dlatego zaczynamy od pomiaru, nie od założeń. Które konta logowały się w tym roku. Przez które reguły firewalla przeszedł jakikolwiek ruch. Które konta serwisowe cokolwiek jeszcze wywołuje.

Te dane zmieniają rozmowę. Zamiast sporu o to, czy dział finansowy powinien mieć dostęp do dysku współdzielonego, widać, że nikt z finansów nie otworzył go od 2023 roku. Większość porządków okazuje się bezsporna, gdy opiera się na dowodach.

Sporny zostaje temat administratorów i słusznie. Odebranie stałych uprawnień administracyjnych jest uciążliwe, jeśli nie ma ścieżki tymczasowego nadania ich wtedy, gdy naprawdę są potrzebne. Tę ścieżkę uruchamiamy najpierw.

W płaskiej sieci odpowiedź brzmi: wszędzie. Jedna maszyna może przeskanować całą adresację, znaleźć serwer plików, zasób z backupami i system księgowy, i dosięgnąć ich wszystkich. To jest mechanizm większości ataków ransomware, które kładą firmę na kilka dni. Samo zakażenie jest banalne. Szkody robi rozlewanie się.

Podział środowiska na strefy zmienia tę arytmetykę. Produkcja oddzielona od testów i developmentu. Serwery oddzielone od stacji roboczych. Backupy na ścieżce, do której przejęta stacja robocza nie ma prawa zapisu. Atakujący nadal wchodzi, ale trafia do niewielkiego wycinka środowiska.

To ma realny koszt. Segmentacja utrudnia część codziennych zadań i wymaga pracy przy definiowaniu dozwolonych przepływów. Celujemy w poziom odpowiadający Twojemu faktycznemu ryzyku, a nie w maksymalny możliwy, bo projekt, którego nie da się obsłużyć na co dzień, ktoś obejdzie w ciągu miesiąca.

Traktujemy je odpowiednio. Uwierzytelnianie wieloskładnikowe realnie wymuszone, a nie opcjonalne. Konta imienne zamiast wspólnego loginu, żeby log audytowy cokolwiek znaczył. Role zawężone względem domyślnych, które prawie zawsze są szersze, niż komukolwiek potrzeba. Alerty na zdarzenia, które nigdy nie powinny przejść niezauważone, jak utworzenie nowego administratora albo wyłączenie MFA na istniejącym.

Osobnej uwagi wymaga dostęp do domen i DNS. To bardzo często najsłabiej chronione konto w firmie, a decyduje o tym, dokąd trafia cały Twój ruch.

Przeciwwagą jest harmonogram, a nie kolejne narzędzie. Cykliczny przegląd tego, kto co ma, z listą generowaną automatycznie, żeby zajmował godzinę, a nie tydzień. Offboarding obejmujący systemy, nie tylko laptopa. I alerty na tę garstkę zmian, które zawsze powinny być świadome. Tyle wystarczy, żeby środowisko trzymało się stanu, w którym je zostawiliśmy, a o to właśnie chodzi.