Blog

Představte si vaši firemní síť jako luxusní zaoceánský parník. Máte silný trup (Firewall), na palubě hlídá ochranka (Antivirus) a pasažéři (zaměstnanci) se baví.

Většina firem ale dělá jednu zásadní chybu: Vnitřek lodi je jeden obrovský otevřený prostor. Pokud do trupu narazí ledovec a udělá díru v podpalubí, voda se okamžitě rozlije úplně všude. Loď jde ke dnu.

V IT se tomu říká „Plochá síť“. A je to důvod, proč ransomware dokáže během hodiny položit celou firmu.

Proč Antivirus nestačí?

Antivirus je jako dveřník. Zkontroluje, jestli ten, kdo vchází, nemá na seznamu hledaných osob fotku (známý virus). Moderní hackeři ale nepoužívají staré viry. Používají ukradené přihlašovací údaje nebo legitimní nástroje správců. Pro antivir vypadají jako běžní zaměstnanci.

Jakmile „dveřník“ (AV) selže a pustí útočníka dovnitř, v ploché síti už ho nic nezastaví. Může jít od počítače recepční k tiskárně, od tiskárny na server a ze serveru do účetnictví. Tomuto pohybu se říká Lateral Movement (Pohyb do stran) a je to hlavní taktika útočníků.

Řešení: Vodotěsné komory (Segmentace)

Profesionální síť se musí chovat jako ponorka. Je rozdělena na oddělené, vodotěsné sekce (VLANy).

• Sekce A: Počítače zaměstnanců

• Sekce B: Tiskárny a kamery (IoT)

• Sekce C: Servery a data

• Sekce D: Wi-Fi pro hosty

Mezi těmito sekcemi jsou zamčené dveře.

Jak to vypadá v praxi při útoku?

Scénář 1: Plochá síť (Bez segmentace) Recepční klikne na zavirovanou přílohu. Hacker ovládne její počítač. Protože „vidí“ na celou síť, okamžitě napadne server s daty. Zašifruje vše. Výsledek: Firma stojí.

Scénář 2: Segmentovaná síť Recepční klikne na zavirovanou přílohu. Hacker ovládne její počítač. Rozhlédne se a... vidí jen další dva počítače na recepci a tiskárnu. Cesta k serverům je zamčená. Firewall mezi sekcemi hlásí: "Počítač recepce se snaží spojit s databází mezd. ZAMÍTNUTO." Výsledek: Recepční má zavirovaný počítač. Zbytek firmy normálně pracuje.

Co segmentovat jako první? (Zlaté pravidlo)

Nemusíte hned budovat Fort Knox. Začněte tím nejdůležitějším:

1. Hosté vs. Firma: Wi-Fi pro návštěvy musí být úplně oddělená. Nechcete, aby zavirovaný notebook obchodního partnera nakazil vaši síť.

2. IoT do karantény: Tiskárny, chytré žárovky a kamery mají mizerné zabezpečení. Oddělte je od počítačů s citlivými daty.

3. Servery za zdí: Běžné stanice uživatelů by neměly mít přímý přístup na servery, pokud to není nezbytně nutné (přístup jen na konkrétní porty služby).

Závěr

Segmentace sítě je jako požární úseky v budově. Možná nezabráníte tomu, aby v jedné kanceláři (počítači) začalo hořet. Ale díky zavřeným dveřím zajistíte, že nevyhoří celý mrakodrap. Nespoléhejte jen na antivirus. Rozdělte svou loď dřív, než trefíte ledovec.