Межсетевой экран нового поколения и сегментация сети для производственной компании ВКО

Заказчик

Производственная компания в Восточно-Казахстанской области: офис на 120 рабочих мест, цех с оборудованием под управлением АСУ ТП, склад. Название не раскрываем по соглашению о конфиденциальности.

Задача

Офис, производство и серверы жили в одной сети без разделения. Удалённый доступ подрядчиков к контроллерам был организован через открытый RDP с пробросом порта. За год два инцидента: шифровальщик на бухгалтерском компьютере и попытка доступа к контроллерам с внешнего адреса. Требовалось разделить сеть, не останавливая производство, и дать ИТ-службе контроль над трафиком.

Что сделали

• Обследование за неделю: инвентаризация узлов, схема потоков между офисом, цехом и серверами, список сервисов, которые реально ходят через границы.
• Подобрали NGFW корпоративного класса под пропускную способность с запасом на три года, с потоковым антивирусом и контролем приложений.
• Сегментация: офис, серверы, АСУ ТП, гостевой Wi-Fi. Между сегментами разрешены только описанные потоки; всё остальное журналируется и блокируется.
• Удалённый доступ подрядчиков переведён на VPN с двухфакторной аутентификацией и доступом только к нужным контроллерам в рабочие часы.
• Переключение ночью с откатом за 15 минут, если что-то пойдёт не так. Не пошло.
• Обучение ИТ-службы: чтение журналов, добавление правил, реакция на срабатывания.

Результат

Контроллеры не видны из офисной сети и из интернета, открытых портов на периметре нет. Инцидентов с шифровальщиками после запуска не было. ИТ-служба видит, какие приложения ходят через периметр, и блокирует лишнее сама.

Подробнее о подходе: NGFW для организаций Казахстана.