Желіні сегменттеу: бір VLAN компанияны шабуылдың таралуынан қалай құтқарады

Қысқаша: желіні сегменттеу — бір компьютерге бұзып кіру бүкіл компанияға бұзып кіруге айналмауы үшін корпоративтік желіні араларында желіаралық экран тұрған оқшауланған аймақтарға (VLAN және ішкі желілер) бөлу. Бухгалтерия, 1С сервері, принтерлер, камералар және қонақтарға арналған Wi-Fi бір ішкі желіде орналасқан жазық желіде бопсалаушы шифрлағыш бағдарлама менеджердің ноутбугінен серверге бірнеше минутта жетеді. Genius Systems сегменттеуді Өскемен, Астана, Алматы, Қарағанды және Павлодар компаниялары үшін жобалайды және енгізеді — жеке жоба ретінде де, NGFW енгізудің бір бөлігі ретінде де. Төменде — аймақтар сұлбасы, ережелер, әдеттегі қателер, мерзімдер және құны.

Жазық желі неге шабуылдаушыға сыйлық

Шабуыл серверден сирек басталады. Ол хаттан басталады: қызметкер тіркемені ашты, жүктеуші іске қосылды. Одан әрі шабуылдаушыға бүйірлік жылжу (lateral movement) қажет: көрші түйіндерді табу, есептік деректерді ұрлау, домен контроллері мен серверлерге жету. Жазық желіде бұл оп-оңай: барлық түйін бір-бірін көреді, SMB мен RDP екі бағытта да ашық, ескі микробағдарламасы бар принтер мен admin құпиясөзі бар камера 1С-пен бір ішкі желіде тұр. Антивирус (Kaspersky және басқа EDR) әрекеттердің бір бөлігін ұстайды, бірақ агенті жоқ бір түйін жеткілікті — мердігердің ноутбугі немесе қоймадағы терминал.

Сегменттеу бүйірлік жылжуды қымбатқа түсіреді: пайдаланушылар VLAN-ындағы шабуылдаушы серверлерді тікелей көрмейді, резервтік көшірмелер репозиторийіне де, коммутаторларды басқару желісіне де жете алмайды.

VLAN, ішкі желі, аймақ: айырмашылығы неде

• VLAN (802.1Q) — коммутатор деңгейіндегі логикалық оқшаулау: әртүрлі VLAN-дардағы порттар бір-бірімен кадр алмаспайды.
• Ішкі желі — мекенжай кеңістігі; бір VLAN әдетте бір ішкі желіге тең.
• Қауіпсіздік аймағы — сенім деңгейі бірдей және экран ережелері ортақ VLAN-дар тобы.

Негізгі мәселе: егер VLAN-дар арасында ядро коммутаторы сүзгілеусіз маршруттаса, VLAN-дар өздігінен ештеңені қорғамайды. Аймақтар арасындағы трафик IPS пен ағындық антивирус қосылған NGFW — Check Point, Palo Alto Networks, Fortinet — арқылы өтуі тиіс. Коммутатор желіні бөледі, экран оны қорғайды.

50–300 адамдық компанияға арналған аймақтар сұлбасы

Аймақ	Ішінде не бар	Базалық ереже
Пайдаланушылар	Жұмыс станциялары, ноутбуктер	Серверлердің тек қажетті порттары; өзара — тыйым (порттарды оқшаулау)
Серверлер	Домен контроллері, 1С, файлдық сервер, CRM	Пайдаланушылар аймағынан нақты порттарға қосылыстарды қабылдайды; сыртқа — тек жаңартулар
Басқару	Коммутаторлардың, гипервизорлардың, NGFW консольдері, iLO/iDRAC	Тек әкімшілер VLAN-ынан, MFA бар VPN арқылы
Резервтік көшіру	Veeam сервері мен репозиторийі	Пайдаланушылар және серверлер аймақтарынан қолжетімсіз; қосылыстарды тек бэкап сервері бастайды
Принтерлер және IoT	Көпфункциялы құрылғылар (МФУ), камералар, кіруді бақылау жүйесі (СКУД), теледидарлар	Тек басып шығару (9100, 631) және бейнеағын хаттамалары; интернетке — тыйым
Қонақтарға арналған Wi-Fi	Қонақтар мен қызметкерлердің телефондары	Тек интернет
DMZ	Сайт, пошта шлюзі, VPN-концентратор	Интернеттен — тек жарияланған порттар; ішке — ең аз мөлшерде

Өндірістік компаниялар үшін технологиялық процестерді автоматтандырылған басқару жүйесінің (ТП АБЖ, АСУ ТП) аймағы қосылады; ол кеңсе желісінен бөлек экранмен және қатаң шектелген дерек алмасумен ажыратылады.

Аймақтар арасындағы ережелер: «any-any» орнына ақ тізім

Әдепкі ереже — тыйым. Тек жұмысқа қажеттісіне ғана рұқсат етіледі:

• пайдаланушылар аймағынан 1С серверіне — TCP 1540–1541 және 1560–1591, файлдық серверге — SMB 445, домен контроллеріне — AD порттарының стандартты жиынтығы;
• серверлерге RDP (3389) — тек әкімшілер VLAN-ынан;
• принтерлер аймағынан — басып шығару тапсырмаларына жауаптардан басқа ештеңе;
• серверлік аймақтан интернетке — тек жаңарту және лицензиялау серверлері.

Әр ереже — журналдаумен. Сонда SIEM бухгалтериядан бэкаптар репозиторийіне жасалған алғашқы әрекеттің өзін көреді — бұл бопсалаушы шифрлағыштың басты ерте белгісі. Осалдықтар сканері (Rapid7 InsightVM және аналогтары) әр аймақты бөлек тексеріп, көрші аймақтардан қай осалдықтарға жетуге болатынын көрсетеді.

Бұл инцидент кезінде не береді

Пайдаланушылар аймағындағы бопсалаушы шифрлағыш бағдарлама бір жұмыс станциясын және файлдық сервердегі сол пайдаланушыға қолжетімді қалталарды шифрлайды. Гипервизорға, домен контроллеріне және репозиторийге ол жетпейді: бөлек аймақтағы Veeam-нің өзгертілмейтін (immutable) көшірмелері бүтін қалады, қалпына келтіру апталарды емес, сағаттарды алады. Мұндай резервтік көшіруді қалай құру керектігін бөлек талдағанбыз.

Екінші әсер — заңдық. Жазық желіде деректер жылыстаған кезде «Дербес деректер және оларды қорғау туралы» ҚР Заңы бойынша реттеушіні бүкіл база туралы хабардар етуге тура келеді. Сегменттеу кезінде инцидент көлемі аймақпен шектеледі, және мұны экран журналдары дәлелдейді.

ҚР реттеушілерінің талаптары

Мемлекеттік органдар, квазимемлекеттік сектор және аса маңызды объектілердің иелері («Ақпараттандыру туралы» ҚР Заңы бойынша ақпараттық-коммуникациялық инфрақұрылымның аса маңызды объектілері — АКИАМО, КВОИКИ) үшін сегменттеу — ұсыным емес, талап: АКТ және ақпараттық қауіпсіздікті қамтамасыз ету саласындағы бірыңғай талаптар (ҚР Үкіметінің № 832 қаулысы) серверлік сегменттерді, DMZ-ді бөліп шығаруды және олардың арасындағы желіаралық экрандауды көздейді. Коммерциялық компаниялар үшін мұндай міндет жоқ, бірақ дәл осы тармақ ірі тапсырыс берушілердің тендер алдындағы аудит кезіндегі сауалнамаларында және киберқатерлерді сақтандырушыларда кездеседі.

Әдеттегі қателер

1. VLAN бар, сүзгілеу жоқ. Ядро коммутаторында ACL-сіз VLAN аралық маршруттау — әдемі сұлбасы бар жазық желі.
2. Пайдаланушылар VLAN-ынан әкімшілендіру. Әкімшінің ноутбугі зақымдалса — шабуылдаушы бәріне қол жеткізеді.
3. Бэкап серверлік аймақта. Бопсалаушы шифрлағыш репозиторийді 1С-ке баратын сол жолмен табады.
4. Принтерлер мен камералар пайдаланушылармен бірге. Микробағдарламасы жаңартылмайтын құрылғылар — ыңғайлы плацдарм.
5. «Уақытша any-any» ережесі. 1С енгізу кезінде қосты, үш жылға ұмытып кетті.
6. Құжаттама жоқ. Бір жылдан кейін 47-ереженің не үшін керегін ешкім есіне түсіре алмайды.

Мерзімдер және құны

Компания	Аймақ саны	Мерзім	Негізгі шығындар
30–50 жұмыс орны, бір кеңсе	5–6	5–7 жұмыс күні	802.1Q бар басқарылатын коммутатор (~100 мың теңгеден бастап), бастапқы класты NGFW
100–300 орын, 2–3 алаң	7–8	10–15 жұмыс күні	L3 коммутаторлар, IPS бар NGFW, инженерлердің жұмысы
ТП АБЖ бар өндіріс	8–10	20 жұмыс күнінен бастап	Технологиялық желіге арналған бөлек экран, зерттеп-қарау

Егер басқарылатын коммутаторлар мен NGFW бар болса, сегменттеу — толықтай дерлік инженерлердің жұмысы: түгендеу, ағындар картасы, аймақтар сұлбасы, ережелер, кезең-кезеңімен көшіру. Серверлерді түнде немесе демалыс күндері, кері қайтару жоспарымен көшіреміз.

Неден бастау керек

Ядро коммутаторынан бір апта NetFlow жинау кімнің кіммен нақты байланысатынын көрсетеді; ережелердің 80 %-ы осы деректер бойынша жазылады. Алдымен қонақтарға арналған Wi-Fi мен принтерлерді көшіреді — тәуекел нөлге тең, ал әсері айқын. Серверлер мен бэкап — екінші кезеңде.

Желі сұлбасын немесе жай ғана жұмыс орындарының, серверлердің және алаңдардың санын жіберіңіз — екі күнде аймақтар жобасы мен бағалауды дайындаймыз. Бізге жазу.