Reka Bentuk Segmentasi Rangkaian: Kurangkan Risiko dan Kos Sekali

Jika saya boleh memilih tepat satu perubahan arkitek untuk organisasi yang mahu menurunkan kedua-dua risiko breach dan kos keselamatan, ia bukanlah produk atau platform baharu. Ia segmentasi rangkaian. Tiada kawalan lain yang saya kenal mengurangkan dua masalah keselamatan paling mahal anda dengan wang yang sama.

Sebabnya mudah. Hampir setiap masalah keselamatan mahal berkongsi satu punca akar: rangkaian rata membiarkan masalah kecil menjadi besar. Segmentasi memutus pautan itu. Ia mengekang apa yang penyerang capai selepas kesilapan pertama, mengecutkan sistem yang kerangka pematuhan anda pedulikan, dan menukar serakan yang tidak terurus kepada sesuatu yang pasukan kecil benar-benar fahami.

Mengapa rangkaian rata gagal secara senyap #

Rangkaian rata ialah rangkaian di mana kebanyakan sistem boleh bercakap dengan kebanyakan sistem lain. Itu bagaimana rangkaian berakhir secara default, kerana kerataan menyenangkan: tiada peraturan firewall untuk dirundingkan apabila pelayan baharu perlukan database, tiada apa untuk dikemas kini apabila laptop pembangun perlukan test system.

Kosnya tiba kemudian. Perhatikan bagaimana intrusi sebenar maju. Pemegangan awal biasanya kecil: credential phish pada laptop, appliance VPN bermasalah, server ujian terlupa dengan port pengurusan menghadap internet. Berdiri sendiri, pemegangan itu bernilai sedikit. Apa yang menjadikan breach mahal ialah lateral movement: dari mesin pertama yang dikompromikan, penyerang meneroka rangkaian, menuai credential, mencapai pelayan yang tidak sepatutnya dicapai dari peranti pengguna, dan meningkat sehingga memegang sesuatu bernilai.

Rangkaian rata menjadikan setiap langkah perjalanan itu percuma. Rangkaian terségmen membuatkan setiap langkah berkos penyerang usaha, masa dan bising yang kelihatan. Penetration tester akan memberitahu perbezaannya dramatik: dalam persekitaran rata kami secara rutin bergerak dari satu laptop ke kompromi seluruh domain dalam beberapa hari; terhadap segmen yang direka baik, engagement sama tersekat di hop pertama dan kekal di sana.

Apa yang segmentasi belikan #

1. Ia mengehad impak breach pertama #

Apabila zon dipisahkan oleh sempadan yang dikuatkuasa, kompromi workstation tidak memberi akses kepada sistem bayaran, domain controller atau kawalan perindustrian. Penyerang memegang satu segmen, bukan perniagaan. Itulah beza antara insiden yang dipulihkan petang itu dengan pengumuman breach.

2. Ia menghentikan lateral movement #

Trafik timur-barat antara workload patut jarang, bertujuan, dan diperhatikan. Dalam kebanyakan persekitaran ia bukan ketiga-tiganya. Segmentasi menjadikan penyerang yang mendarat menemui jalan buntu dan bukan lorong terbuka, dan laluan yang wujud cukup sempit untuk dimonitor.

3. Ia mengecut skop pematuhan #

Di sinilah pengurangan kos menjadi konkrit. PCI DSS terpakai kepada cardholder data environment (CDE) dan semua yang bersambung dengannya. Dengan segmentasi betul yang disahkan melalui penetration testing, CDE mungkin beberapa sistem sahaja berbanding ratusan. Kurang sistem dalam skop bermaksud kurang kutipan bukti, kurang jam penilaian, validasi tahunan lebih murah, dan permukaan lebih kecil untuk terus dipatch dan dimonitor. Logik sama juga memanfaatkan rawatan risiko ISO 27001 dan sebarang perbualan regulator tentang containment.

Kami pernah lihat penilaian separuh usaha semata-mata kerana klien melengkapkan projek segmentasi dahulu. Kerja segmentasi biasanya lebih murah daripada satu tahun penjimatan penilaian yang diciptanya.

4. Ia menjadikan rangkaian boleh urus #

Manfaat yang paling kurang dihargai: rangkaian terségmen adalah rangkaian yang boleh diketahui. Apabila aliran trafik terkurung pada laluan berdokumen, anomali menonjol. Workload yang tiba-tiba mencapai database yang tidak pernah ia bercakap dengannya sama ada insiden atau salah konfigurasi, dan kedua-duanya layak diberi perhatian. Dalam rangkaian rata isyarat yang sama tenggelam dalam bising, kerana semua bercakap dengan semua sepanjang masa. Segmentasi itulah yang menjadikan monitoring bermakna.

Prinsip reka bentuk yang tahan lama #

Segmentasi baik ialah arkitektur, bukan membeli-belah appliance. Prinsip yang penting:

Mula daripada data, bukan kotak. Kenal pasti lokasi data sensitif hidup dan mengalir: data kad, credential, maklumat peribadi, rekod kewangan. Zon terbina di sekeliling apa yang perlu dilindungi, bukan rajun tahun lepas.

Takrif tier mengikut amanah dan fungsi. Baseline praktikal bagi kebanyakan organisasi:

Servis berhadapan internet, peranti pengguna, application tier, data tier, dan rangkaian pengurusan out-of-band. Setiap sempadan ada senarai benar eksplisit; segala yang lain ditolak.

Default deny, kemudian tambah dengan sengaja. Setiap aliran dibenarkan merentas zon patut ada pemilik dan sebab yang ditulis. Jika tiada siapa dapat katakan mengapa peraturan wujud, ia finding yang menunggu dieksploitasi.

Segmen di dalam cloud juga. Security group, VPC dan polisi servis ialah segmentasi; platform cloud hanya melaksanakannya berbeza. Disiplin sama terpakai: produksi terpisah daripada bukan produksi, database tidak dicapai dari internet, plane admin atas laluan berasingan.

Uji segmen, jangan anggap. Segmentasi hanya dikira jika ia bertahan di bawah serangan. Bagi PCI DSS khususnya, standard menuntut penetration testing yang mengesahkan pengasingan sekurang-kurangnya tahunan dan selepas perubahan besar. Penetration test yang cuba lateral movement dari setiap zon memberitahu sama ada reka bentuk anda berfungsi atau sekadar nampak baik dalam rajah.

Laluan realistik ke sana #

Tiada siapa membina semula rangkaian langsung hujung minggu. Turutan yang berkesan:

1. Discover. Petakan aliran trafik sebenar selama beberapa minggu. Rangkaian sebenar sentiasa berbeza daripada dokumennya.
2. Declare. Takrifkan zon sasaran dan tuliskan aliran yang mesti melintasi setiap sempadan. Dapatkan tandatangan bisnes atas senarai itu.
3. Pagar mahkota terlebih dahulu. Sistem bayaran, infrastruktur domain dan storan data sensitif didahulukan sebelum apa pun kosmetik.
4. Migrate berperingkat. Alihkan sistem ke dalam zon bergelombang, mulakan dengan apa yang berhadapan internet. Baiki kerosakan di kawasan risiko rendah semasa pelajaran murah.
5. Verify dan maintain. Uji sempadan setiap tahun, semak peraturan suku tahunan, dan layan mana-mana aliran lintas zon tanpa dokumen sebagai insiden sehingga dibuktikan sebaliknya.

Kebanyakan organisasi capai baseline boleh dipertahan dalam satu hingga dua suku tahun kerja berterusan, dan fasa awal bayar diri serta-merta melalui skop audit yang mengecil.

Garis bawah #

Perbelanjaan keselamatan lazimnya melibatkan trade-off: kurangkan risiko atau kurangkan kos. Segmentasi rangkaian ialah pengecualian tetap. Ia mengehadkan kerosakan cubaan breach yang berjaya, melapaskan penyerang daripada lateral movement yang menjadikan insiden mahal, mengecutkan skop setiap framework yang anda jawab, dan menghasilkan rangkaian yang pasukan boleh reason. Tempat kedua tidak berbaloi diperdebatkan.

Penilaian Konfigurasi & Arkitektur kami memetakan aliran trafik sebenar dan mereka bentuk roadmap segmentasi yang pasukan boleh laksanakan, penetration testing kami mengesahkan segmen benar-benar bertahan. Atau schedule an Engineering & Scoping Session untuk bincang di mana mula.