ШҚО өндірістік компаниясына арналған жаңа буын желіаралық экраны (NGFW) және желіні сегменттеу

Тапсырыс беруші

Шығыс Қазақстан облысындағы өндірістік компания: 120 жұмыс орнына арналған кеңсе, ТП АБЖ (АСУ ТП) басқаратын жабдығы бар цех, қойма. Құпиялылық туралы келісімге сәйкес атауын жария етпейміз.

Міндет

Кеңсе, өндіріс және серверлер бөлінбеген бір желіде тұрды. Мердігерлердің контроллерлерге қашықтан қол жеткізуі порт қайта бағытталған ашық RDP арқылы ұйымдастырылған. Бір жылда екі инцидент болды: бухгалтерия компьютеріндегі бопсалаушы шифрлағыш бағдарлама және контроллерлерге сыртқы мекенжайдан қол жеткізу әрекеті. Өндірісті тоқтатпай желіні бөліп, IT-қызметке трафикті бақылау мүмкіндігін беру қажет болды.

Не істедік

• Бір аптада зерттеп-қарау: түйіндерді түгендеу, кеңсе, цех және серверлер арасындағы ағындар схемасы, шекарадан нақты өтетін сервистер тізімі.
• NGFW таңдадық — корпоративтік сыныптағы, өткізу қабілеті үш жылға қормен есептелген, ағындық антивирусы мен қосымшаларды бақылауы бар.
• Сегменттеу: кеңсе, серверлер, ТП АБЖ, қонақтарға арналған Wi-Fi. Сегменттер арасында тек сипатталған ағындарға рұқсат етілген; қалғанының бәрі журналға жазылып, бұғатталады.
• Мердігерлердің қашықтан қол жеткізуі екі факторлы аутентификациясы бар VPN-ге көшірілді: тек қажетті контроллерлерге және жұмыс уақытында ғана.
• Түнде ауыстырып қосу — бірдеңе дұрыс болмаса, 15 минутта кері қайтару мүмкіндігімен. Кері қайтарудың қажеті болмады.
• IT-қызметті оқыту: журналдарды оқу, ережелер қосу, дабылдарға ден қою.

Нәтиже

Контроллерлер кеңсе желісінен де, интернеттен де көрінбейді, периметрде ашық порт жоқ. Іске қосылғаннан кейін шифрлағыштармен байланысты инцидент болған жоқ. IT-қызмет периметр арқылы қандай қосымшалар өтетінін көріп, артығын өзі бұғаттайды.

Тәсіл туралы толығырақ: Қазақстан ұйымдарына арналған NGFW.