Купити міжмережевий екран — ще не означає захистити компанію. Поки немає правил, що описують, що саме ми бережемо, від кого й хто за це відповідає, дорога коробка працює впівсили. Тому починають з документа, а вже потім добирають технології. Розберемо і те, і те. Рівні захисту розібрано у статті Мережева безпека.
Політика мережевої безпеки: що це за документ
Політика мережевої безпеки — документ, що задає правила гри: устрій контуру, дозволені з'єднання, права підключення, порядок віддаленої роботи, дії при інциденті. Він перетворює випадковий набір налаштувань на кероване господарство.
Типовий склад:
- правила доступу — хто, до чого й з чиєї згоди підключається;
- поділ на зони — перелік сегментів і межі між ними;
- віддалена робота — вимоги до захищеного каналу та до домашніх пристроїв;
- бездротовий доступ — окремо робочий, окремо гостьовий;
- периметр — вимоги до фільтрації трафіку;
- журналювання — що пишемо, скільки зберігаємо, хто переглядає;
- реагування — дії, коли вторгнення вже сталося;
- ролі — хто адмініструє, хто контролює, хто затверджує винятки.
Один документ чи кілька
Угорі стоїть коротка політика на три-п'ять сторінок — про наміри, межі та ролі. Під нею живуть окремі тексти з конкретикою: порядок надання й відкликання доступів, регламент віддаленої роботи, правила для бездротових точок, вимоги до підрядників, керування змінами в конфігураціях. Так виходить читабельно: керівник читає верхній рівень, адміністратор — свій розділ, новий працівник — пам'ятку на одну сторінку.
Помилка навпаки — стосторінковий том, де описано все одразу. Його читає рівно нуль осіб, включно з автором.
Хто затверджує. Текст без підпису керівництва — лише рекомендація. ІТ-служба його готує, власники напрямів погоджують, керівник затверджує. Саме тому на нього можна послатися, коли комусь «дуже терміново треба» відкрити порт назовні.
Що відрізняє живий документ від мертвого
Перевірність. Формулювання «доступ надається за потреби» — не правило, а побажання: перевірити його неможливо. Робоче формулювання називає, хто ухвалює рішення, за скільки днів і де лишається слід. Просте випробування: якщо аудитор попросить довести виконання пункту — чи є чим?
Збіг із реальністю. Документ, де заборонено те, що всі роблять щодня, лише створює ілюзію порядку та привчає обходити написане.
Механізм винятків. Життя обов'язково підкине випадок, не передбачений текстом: терміновий доступ підряднику, тимчасове підключення обладнання. Коли легального шляху зробити виняток немає, його роблять нелегально — тихо й без сліду.
Журнал винятків
Виняток — нормальна річ; ненормально робити його мовчки. Робочий формат простий: хто попросив, навіщо, на скільки часу, чим компенсуємо ризик і хто погодив. Через квартал такий журнал сам показує, де текст розійшовся з життям: коли той самий виняток просять уп'яте, проблема вже не в людях, а в правилі — його час переписати.
Чому документи не працюють
- скопійований шаблон — про чужу інфраструктуру, з чужими ролями та чужими сервісами;
- заборона без альтернативи — «месенджери заборонено», а робочого каналу не запропоновано, тож листування переїжджає в особисті телефони;
- немає дати перегляду — контур змінився тричі, текст лишився з позаминулого року;
- ніхто не читав — підпис в ознайомчому листі не дорівнює знанню;
- написано мовою стандарту, а не мовою людей — там, де мало стояти «власний маршрутизатор у робочу розетку вмикати заборонено», красується абзац про «унеможливлення несанкціонованого розширення топології».
Засоби мережевої безпеки: технічний набір під правила
Технології втілюють написане. Мінімальний перелік виглядає так:
- Міжмережевий екран — фільтрація трафіку на межі та між зонами (див. firewall).
- IDS/IPS — сигналізація про підозрілу активність усередині контуру та її блокування (докладно нижче).
- Захищений канал — шифроване підключення для тих, хто працює поза офісом.
- WAF — прикриття вебзастосунків на прикладному рівні (див. WAF).
- Анти-DDoS — фільтрація об'ємних атак (див. захист від DDoS).
- Збір і зберігання журналів — без них інцидент нічим розслідувати.
- Контроль доступу з другим фактором — надійна автентифікація замість самого лише пароля.
Ці засоби мережевої безпеки не взаємозамінні: кожен закриває власну ділянку, і жоден не рятує там, де мовчить інший.
Системи виявлення вторгнень: IDS і IPS
Системи виявлення вторгнень (IDS) спостерігають за трафіком і сигналізують про підозріле. IPS — запобігання вторгненням — іде далі: блокує небезпечну активність у реальному часі.
Головна різниця, однак, не в назві, а в місці підключення:
- IDS отримує копію трафіку (дзеркальний порт комутатора). Він нічого не гальмує й нічого не ламає — але й зупинити напад йому нічим, лишається покликати людину.
- IPS стоїть у розрив з'єднання. Він може обірвати сесію зловмисника — і так само може обірвати легальну роботу бухгалтерії, коли помилиться.
Звідси практичне правило: IPS вмикають спершу в режимі спостереження, збирають хибні спрацювання, доводять правила до пуття — і лише потім переводять у блокування. Зворотний порядок закінчується тим, що засіб вимикають назавжди після першого зупиненого платежу.
Розрізняють ще два різновиди: одні стежать за трафіком, інші (хостові) — за подіями на конкретному сервері. На практиці їх поєднують: перші сліпі до того, що відбувається всередині машини.
Два способи виявляти — і сліпа зона обох
- За сигнатурами. Відомі шаблони нападу. Точно, майже без хибних тривог — але сліпо до всього нового.
- За аномаліями. Відхилення від звичної поведінки. Ловить невідоме, проте шумить, доки «звикне» до норми вашого трафіку.
Сліпа зона, про яку згадують рідко: більшість трафіку сьогодні зашифрована. Ані IDS, ані IPS не бачать вмісту сесії TLS. Виходів два — розшифровувати трафік на межі (окреме рішення з юридичними наслідками та навантаженням) або аналізувати метадані: адреси, обсяги, час, сертифікати, ритм з'єднань.
Хто дивиться на сповіщення
Увімкнути сигналізацію й не призначити людину — найдорожчий спосіб витратити бюджет. Сигнал о третій ночі мусить мати адресата: того, хто його побачить, оцінить і почне діяти. Інакше подія просто ляже в журнал, де її прочитають через півроку — під час розслідування. Тому разом з інструментом планують і того, хто з ним працюватиме: власними силами, силами підрядника чи через моніторинг подій.
Як забезпечити безпеку мережі: порядок кроків
Питання «що спершу — документ чи обладнання» має відповідь: спершу знання про власний контур.
- Перелік того, що підключено — обстеження поточного стану (див. загрози й аудит).
- Оцінка ризиків — від чого бережемося насамперед.
- Правила — документ під ці ризики, а зовсім не під шаблон із інтернету.
- Технології — під правила, а не навпаки.
- Перевірка — журнали, тести, перегляд написаного раз на рік і після кожної суттєвої зміни.
Забезпечення безпеки мережі — це цикл, а не разовий проєкт: щойно з'явився новий сервіс, коло починається спочатку.
Як усе поєднати в кероване ціле
Документи, технології та люди працюють разом лише тоді, коли є керована модель. Саме таку описує ISO/IEC 27001: правила, оцінка ризиків, вибір заходів, контроль, поліпшення. Забезпечення мережевої безпеки в ній — частина ширшого контуру:
- керована модель захисту — СУІБ;
- документація й порядок дій — Процедури та інструкції СУІБ і Політика інформаційної безпеки;
- вибір заходів під ризики — Оцінка ризиків ISO 27005.