Сегментация сети: как одна VLAN спасает компанию от распространения атаки

Коротко: сегментация сети — это разделение корпоративной сети на изолированные зоны (VLAN и подсети) с межсетевым экраном между ними, чтобы взлом одного компьютера не превращался во взлом всей компании. В плоской сети, где бухгалтерия, сервер 1С, принтеры, камеры и гостевой Wi-Fi живут в одной подсети, шифровальщик с ноутбука менеджера доходит до сервера за минуты. Genius Systems проектирует и внедряет сегментацию для компаний Усть-Каменогорска, Астаны, Алматы, Караганды и Павлодара — как отдельный проект и как часть внедрения NGFW. Ниже — схема зон, правила, типичные ошибки, сроки и стоимость.

Почему плоская сеть — подарок атакующему

Атака редко начинается с сервера. Начинается с письма: сотрудник открыл вложение, запустился загрузчик. Дальше злоумышленнику нужно боковое перемещение (lateral movement): найти соседние узлы, украсть учётные данные, добраться до контроллера домена и серверов. В плоской сети это тривиально: все узлы видят друг друга, SMB и RDP открыты в обе стороны, принтер со старой прошивкой и камера с паролем admin стоят в той же подсети, что и 1С. Антивирус (Kaspersky и другие EDR) ловит часть попыток, но достаточно одного узла без агента — ноутбука подрядчика или терминала на складе.

Сегментация делает боковое перемещение дорогим: атакующий из VLAN пользователей не видит серверы напрямую, не достаёт до репозитория резервных копий и до сети управления коммутаторами.

VLAN, подсеть, зона: в чём разница

• VLAN (802.1Q) — логическая изоляция на уровне коммутатора: порты в разных VLAN не обмениваются кадрами.
• Подсеть — адресное пространство; одна VLAN обычно равна одной подсети.
• Зона безопасности — группа VLAN с одним уровнем доверия и едиными правилами экрана.

Ключевой момент: VLAN сами по себе ничего не защищают, если между ними маршрутизирует коммутатор ядра без фильтрации. Трафик между зонами должен проходить через NGFW — Check Point, Palo Alto Networks, Fortinet — с включённым IPS и потоковым антивирусом. Коммутатор делит сеть, экран её защищает.

Схема зон для компании на 50–300 человек

Зона	Что внутри	Базовое правило
Пользователи	Рабочие станции, ноутбуки	Только нужные порты серверов; между собой — запрет (изоляция портов)
Серверы	Контроллер домена, 1С, файловый сервер, CRM	Принимают соединения из зоны пользователей на конкретные порты; наружу — только обновления
Управление	Консоли коммутаторов, гипервизоров, NGFW, iLO/iDRAC	Только из VLAN администраторов, по VPN с MFA
Резервное копирование	Сервер и репозиторий Veeam	Недоступна из пользовательской и серверной зон; соединения инициирует только сервер бэкапа
Принтеры и IoT	МФУ, камеры, СКУД, телевизоры	Только протоколы печати (9100, 631) и видеопотока; в интернет — запрет
Гостевой Wi-Fi	Телефоны гостей и сотрудников	Только интернет
DMZ	Сайт, почтовый шлюз, VPN-концентратор	Из интернета — только опубликованные порты; внутрь — минимум

Для производственных компаний добавляется зона АСУ ТП, отделённая от офисной сети отдельным экраном и строго ограниченным обменом данными.

Правила между зонами: белый список вместо «any-any»

Правило по умолчанию — запрет. Разрешается только то, что нужно работе:

• из зоны пользователей к серверу 1С — TCP 1540–1541 и 1560–1591, к файловому серверу — SMB 445, к контроллеру домена — стандартный набор портов AD;
• RDP (3389) к серверам — только из VLAN администраторов;
• из зоны принтеров — ничего, кроме ответов на задания печати;
• из серверной зоны в интернет — только серверы обновлений и лицензирования.

Каждое правило — с журналированием. Тогда SIEM видит первую же попытку обратиться из бухгалтерии к репозиторию бэкапов — главный ранний признак шифровальщика. Сканер уязвимостей (Rapid7 InsightVM и аналоги) проверяет каждую зону отдельно и показывает, какие уязвимости достижимы из соседних зон.

Что это даёт при инциденте

Шифровальщик из зоны пользователей шифрует одну рабочую станцию и папки файлового сервера, доступные этому пользователю. До гипервизора, контроллера домена и репозитория он не доходит: неизменяемые (immutable) копии Veeam в отдельной зоне остаются целыми, восстановление занимает часы, а не недели. Как построить такое резервное копирование, мы разбирали отдельно.

Второй эффект — юридический. При утечке в плоской сети уведомлять регулятора по Закону РК «О персональных данных и их защите» придётся обо всей базе. При сегментации объём инцидента ограничен зоной, и это доказывают журналы экрана.

Требования регуляторов РК

Для госорганов, квазигоссектора и владельцев критически важных объектов (КВОИКИ по Закону РК «Об информатизации») сегментация — не рекомендация, а требование: Единые требования в области ИКТ и обеспечения ИБ (постановление Правительства РК № 832) предусматривают выделение серверных сегментов, DMZ и межсетевое экранирование между ними. Для коммерческих компаний обязанности нет, но тот же пункт стоит в анкетах крупных заказчиков при аудите перед тендером и у страховщиков киберрисков.

Типичные ошибки

1. VLAN есть, фильтрации нет. Маршрутизация между VLAN на коммутаторе ядра без ACL — это плоская сеть с красивой схемой.
2. Администрирование из пользовательской VLAN. Заражён ноутбук админа — атакующий получает всё.
3. Бэкап в серверной зоне. Шифровальщик находит репозиторий по той же дороге, что и 1С.
4. Принтеры и камеры вместе с пользователями. Устройства без обновлений прошивки — удобный плацдарм.
5. Правило «временно any-any». Включили на время внедрения 1С, забыли на три года.
6. Нет документации. Через год никто не помнит, зачем правило 47.

Сроки и стоимость

Компания	Зон	Срок	Основные затраты
30–50 рабочих мест, один офис	5–6	5–7 рабочих дней	Управляемый коммутатор с 802.1Q (от ~100 тыс. тенге), NGFW начального класса
100–300 мест, 2–3 площадки	7–8	10–15 рабочих дней	Коммутаторы L3, NGFW с IPS, работа инженеров
Производство с АСУ ТП	8–10	от 20 рабочих дней	Отдельный экран для технологической сети, обследование

Если управляемые коммутаторы и NGFW уже есть, сегментация — почти полностью работа инженеров: инвентаризация, карта потоков, схема зон, правила, поэтапная миграция. Перенос серверов делаем ночью или в выходные, с планом отката.

С чего начать

Неделя сбора NetFlow с коммутатора ядра показывает, кто с кем реально общается; 80 % правил пишутся по этим данным. Первыми переносят гостевой Wi-Fi и принтеры — нулевой риск и заметный эффект. Серверы и бэкап — вторым этапом.

Пришлите схему сети или просто число рабочих мест, серверов и площадок — за два дня подготовим проект зон и оценку. Написать нам.