Презентация SOC Forum - Чуйков Кирилл

1.

Чуйков Кирилл
Руководитель направления
в отделе комплексных
технических решений
"Это сетевики виноваты",
или как начать дружить
с кибербезом
Тезисы, проблематика и рекомендации к действию

2.

О чем поговорим
01
Почему готовность сети к кибербезу – это важно
02
С чего начинается сеть и ее безопасность*
03
Сегментация сети – основа основ и потеря потерь
04
Дорогу от ядра сети к межсетевому экрану осилит идущий
05
ААА, 2FA… И вот это вот всё
06
Брокеры и балансировщики – «это не только ценный мех»
07
Так как же «жить дружно»?
* Экспертное мнение автора, помидорами не кидаться =)

3.

Почему так важен высокий уровень готовности сети
01
02
03
СЕТЬ – ЭТО ФУНДАМЕНТ
РОСТ УРОВНЯ УГРОЗ
РОСТ ПОТРЕБНОСТЕЙ
В РАЗЛИЧНЫХ СЗИ
Внедрение любой системы
предполагает наличие
требований к сетевой
инфраструктуре
Количество атак год к году
показывает устойчивый рост
Злоумышленник не будет
«джентельменом»
Системы защиты – системы
с опорой на сеть
Необходимость внедрять СЗИ
компаниям любого уровня
Новые классы СЗИ
необходимо внедрять
«уже вчера».
Если сеть не готова, риски и издержки могут вырасти
кратно
А значит скорее рано, чем поздно кибербез придет ко всем, но как подготовиться?

4.

Нелегкое начало
Что может быть важно, когда не важно практически ничего…
… и чем больше масштабы, тем важнее
Интернет
Интернет
Маршрутизатор
Точки доступа
Wi-Fi
Серверы
Сервер
Коммутатор
NGFW
Точка доступа
Wi-Fi
Ядро
сети
Коммутаторы уровня доступа
Рабочее место
Офисные и пользовательские устройвства
С чего начинается прием у врача

5.

Чтобы защитить, нужно знать как работает
Три документа, которые будут нужны всегда и всем, в том числе и врачам специалистам по кибербезу
01
СХЕМЫ СЕТИ
(ЛОГИКА/L2/L3)
Как устроена ваша сеть?
Интернет
Маршрутизатор
02 ТАБЛИЦА
КОММУТАЦИИ
03 IP-ПЛАН
Что, как и с чем
соединено?
Какие есть сети? Для чего
предназначены?
Рекомендации к действию:
- если еще «не так сложно» – сделать совместно с сетевиками
- если уже «далеко не просто» – чекап аудит
Синхронизация
сети и
кибербеза
Сервер
Коммутатор
Рабочее место
Точка доступа
Wi-Fi

6.

А если не делать? Удалить анимацию
ЧТО?
КАК?
ПОЧЕМУ?
- Кампус ~ 200 рабочих мест
- Не работает внешний сервис
электронной почты
- Все остальные сервисы
функционируют
- Аварий не зафиксировано
- Интернет изолирован
- Успешная атака? - возможно
- Инцидент? – 100%
- Как понять, что случилось? – нет
документации, админ уволился,
есть лишь примерное понимание,
как где все работает
- «Сетевики» виноваты?
- Документация? - отсутствует
- Время простоя? - несколько
часов вместо 15-ти минут
К сожалению, да.
А что было то?
На МСЭ был удален статический
маршрут

7.

Сегментация сети – основа основ и потеря потерь
Сеть растет и развивается, появились подразделения, принтеры, телефоны…
Интернет
Gе 0/1
Gе 0/1
Ge 0/4
Ge 0/4
Gе 0/1
Gе 0/1
Ge 0/3
Ge 0/4
Gе 0/1
Gе 0/2
Ge 0/10
Ge 0/11
Gе 0/1
Ge 0/1
Gе 0/1
Gе 0/9
Ge 0/1
Ge 0/1
Gе 0/1
Gе 0/8
Ge 0/2
Gе 0/7
Ge 0/3
Ge 0/1
Gе 0/6
Gе 0/5
Gе 0/4
Ge 0/1
Ge 0/1
Ge 0/1
Нет ничего важнее, чем своевременно разделить сеть на сегменты по назначению подсетей, но ведь и так работает?

8.

Разделяй и властвуй
Тот случай, когда чем больше, тем лучше… для сетевиков для службы КБ
- если по подразделениям - идеально
- легче разграничить доступ
- легче защитить
Интернет
Gе 0/1
Gе 0/1
Ge 0/4
Ge 0/4
01 ВСЕ
ПОЛЬЗОВАТЕЛИ В
ОТДЕЛЬНОЙ
ПОДСЕТИ
Gе 0/1
Gе 0/1
Ge 0/3
Ge 0/4
Gе 0/1
Gе 0/2
- ценное – подальше
- коллизии – не затронут
- маршрутизация – поможет
Gе 0/1
Ge 0/1
Gе 0/1
Gе 0/9
Ge 0/1
Ge 0/1
Gе 0/1
Gе 0/8
Ge 0/2
Gе 0/7
Ge 0/3
Ge 0/1
Gе 0/6
Ge 0/1
Ge 0/1
Gе 0/3
Gе 0/2
Ge 0/1
Ge 0/1
Ge 0/1
Ge 0/1
Gе 0/2
Ge 0/1
Gе 0/3
Gе 0/3
Рекомендации к действию:
- заняться вопросом вместе и с высоким приоритетом
- прививать сетевым специалистам «zone-based» мышление
Ge 0/1
- управление для тех, кто управляет
- сбои могут не затронуть
- зона повышенного контроля
Gе 0/5
Gе 0/4
Ge 0/1
ОТДЕЛЬНАЯ СЕТЬ
АДМИНИСТРИРОВАНИЯ
Gе 0/2
03
Ge 0/10
ВСЕ СЕРВЕРЫ В
ОТДЕЛЬНОЙ
ПОДСЕТИ
Ge 0/11
02

9.

А если не делать?
ЧТО?
КАК?
ПОЧЕМУ?
- Кампус ~ 150 рабочих мест
- Пользователи, принтеры,
серверы, IP-телефония в одной
подсети
- Пользователи подключены к сети
через IP-телефоны
- «Пришло время» внедрить
NGFW, но УВЫ:
- Сервис IP-телефонии очень
«древний»
- Подсеть IP-телефонии совпадает
с подсетью пользователей
- IP-телефоны не перенастроить
из-за старой АТС
- «Отцепить» пользователей –
потеряешь АТС и/или телефоны
- Сетевики виноваты?
- Сегментация отсутствует
- Сервисы и пользователи
«срослись», последствия
разделения - болезненны
К сожалению, да.
- Хотелось в NGFW, но…
Полноценное внедрение
случилось только после замены
телефонии

10.

Дорогу от ядра сети к межсетевому экрану
осилит идущий
Gе 0/1
Gе 0/1
Ge 0/2
Ge 0/2
Одним из первых средств защиты сети является межсетевой экран. Актуален на любом уровне развития
Коммутатор
Коммутатор
Условные обозначения:
Условные обозначения:
Куда встроить контроль, как не на границу сети?
в точку «схождения» всего трафика?

11.

С чего начать, к чему прийти
ТПУ
Ge 0/2
Gе 0/1
- Терминирование внутренних
подсетей
- Стык с граничным маршрутизатором
или МСЭ(NGFW)
Ge 0/2
01
ВЫДЕЛИТЬ L3
КОММУТАТОРЫ
Ge 0/2
Путь у каждого самурая свой, но если по путевым точкам, то:
Gе 0/1
Gе 0/1
Организовываете ТПУ – проще всего
организовать защиту.
02
НАСТРОИТЬ
МАРШРУТИЗАЦИЮ
03 ВСЕ СЕТИ ЛОКАЦИИ –
ЛИБО НА ЯДРЕ, ЛИБО
НА МСЭ
- Динамическая маршрутизация – это
уже уровень (даже между граничным
МСЭ и ядром)
- Чем меньше
«транспортных узлов», тем
проще контроль
- Не нужно дублировать
функции
Рекомендации к действию:
- если еще нет «границы» - совместно и в первую очередь
- поставить МСЭ рядом с ядром и «отщипывать» от ядра сети
Коммутатор
Оградить терриориально
+ паспортный контроль.
Коммутатор
Кому кудаКоммутатор
можно/нельзя.
Продумать логистику – чтобы оно выполняло
свою пямую функцию – перенаправить
людей/трафик.
МСЭ – на периметр (пограничная служба –
изначально)
Условные обозначения:
Безопасность
внутри – важна не меньше.
Условные обозначения:
Условные обозначения:

12.

А если не делать?
ЧТО?
КАК?
ПОЧЕМУ?
ЦОД организации средних
размеров
Подсети находятся на:
- устройство А, политика + NAT
- Устройство Б, политика + NAT
- Ядро сети, ворох ACL
Управлять – очень сложно.
Как сделать хорошо?
- Определить все подсети на всех
устройствах, составить матрицу
доступов
- Собирать все аксесс-листы со
всех устройств
- Собирать все трансляции
адресов со всех устройств
- Мэтчить все в одну политику
- Продумать и согласовать
миграцию
- Сетевики кибербез виноват?
- Не проведена своевременная
работа по зонированию и
сегментации
- Нет единой логики работы ACL
на всех устройствах (где подсети
там и ACL)
- Своевременно не выбрано
подходящее по требованиям
решение NGFW для ядра сети
- Планы по кибербезопасности не
согласовывались с сетевиками,
пришлось принимать меры «на
том, что было»
К сожалению, да.

13.

ААА, 2FA… И вот это вот все
Gе 0/1
Gе 0/1
Ge 0/2
Ge 0/2
Если произведена сегментация и есть МСЭ/NGFW в ядре/на периметре, открывается «окно возможностей»:
Коммутатор
Условные обозначения:
Коммутатор
Условные обозначения:
Теперь большое количество систем защиты (Site-to-Site VPN, Client-to-Site VPN, AAA (NAC), 2FA (VPN),
PAM, WAF, SEG…) можно внедрить без больших проблем... (по сетевой части)

14.

На любой вкус
Gе 0/1
Ge 0/2
Ge 0/2
- «Сбоку» от МСЭ/NGFW;
- непосредственно на NGFW
(RADIUS)
Коммутатор
Gе 0/1
Ge 0/2
01 SWG, SITE-TO-SITE VPN,
CLIENT-TO-SITE VPN + 2FA
Коммутатор
Gе 0/1
02 AAA(NAC), PAM, DLP
- Административно
«Тяжелые» системы
- Пережить =)
Коммутатор
Коммутатор
03
WAF, ANTIDDOS,
SEG
- Почему бы и не… как услуга?
- Либо нужны компетенции
Условные обозначения:
Условные обозначения:
04
SANDBOX, NTA, IDS
- «Сбоку» от МСЭ/Ядра
- Нет влияния на сеть
Условные обозначения:
Условные обозначения:
05
SIEM, IRP…
- «Сбоку», но могут быть очень
требовательны
Рекомендации к действию:
Согласуйте план развития кибербезопасности с ИТ.
Есть СЗИ, от которых «не уйти» и внедрение которых нужно «пережить» - вместе, но может быть сильно легче…
Есть средста и меры защиты, которые внедряются за один день. А есть те, что можно/нужно получить, как сервис, если нужно «быстро»
Gе 0/1
Ge 0/2
Опираясь на прошлые шаги:

15.

Брокеры пакетов и балансировщики трафика…
Gе 0/1
Ge 0/2
Организация большая. «Все есть и даже больше». Почему же нужны дополнительные сетевые устройства?
Коммутатор
Условные обозначения:
Нужна гибкость, простая масштабируемость, возможность «выборки» целевого трафика для дополнительного
анализа без влияния на сеть

16.

…Это не только ценный мех
Устройства, которые причинят много пользы при решении задач:
02
БАЛАНСИРОВЩИКИ
ТРАФИКА
- Импортозамещение
- Гибкое масштабирование
средств защиты (NGFW ClientTo-Site VPN…)
- Дополнительные
возможности маршрутизации
Коммутатор
Коммутатор
Условные обозначения:
Условные обозначения:
Рекомендации к действию:
Несмотря на то, что данные устройства – сетевые, нужны они именно кибербезу
SPAN – это не выход и не решение всех проблем
Gе 0/1
Ge 0/2
- Снижение нагрузки на сеть;
- Снижение нагрузки на целевые
системы защиты (IDS, NTA,
SIEM…)
Ge 0/2
БРОКЕРЫ
СЕТЕВЫХ
ПАКЕТОВ
Gе 0/1
01

17.

А если не делать?
ЧТО?
КАК?
ПОЧЕМУ?
- Крупная организация с двумя
ЦОД
- Количество трафика для
обработки средствами защиты
выросло кратно
- Множество точек съема трафика
для анализа системами защиты
- Не безлимитный бюджет на NTA
=), а видеть хочется всё или почти
всё
- NTA не может получить трафик
от всех необходимых источников
- Вендор X может обеспечить
только Y Гбит/с обработки
трафика
- Вендор Z не поддерживает
кластер из N нод
- В долгосрочных планах не
учтены потребности
масштабирования систем защиты
- Не учтены особенности
импортозамещения систем
защиты (например NGFW)
- Не учтены дополнительные
требования к использованию
систем класса NTA
Балансировщиков и брокеров нет.
- Сетевики кибербез виноват?
К сожалению, да.

18.

Подведем итоги
01
шаг
СЕГМЕНТАЦИЯ
Сетевики – разделяют сеть
на сегменты согласно zonebased логике
Кибербез – помогает
выстроить логику,
разъясняет
02
шаг
ЯДРО + МСЭ
Сетевики – строят
«транспортнопересадочный узел» ядро
Кибербез – встраивает
МСЭ, определяет логику
взаимодействия
07
шаг
03
шаг
ДОКУМЕНТАЦИЯ
Сетевики – документация «на
руках»
Кибербез – «синхронизирован»
в части сети, помогает с
аудитом при наличии
«пробелов»
05
шаг
04
шаг
ОТРАЖЕНИЕ АТАК
ПЛАНИРОВАНИЕ РАЗВИТИЯ
ПЛАНИРОВАНИЕ ВНЕДРЕНИЯ
Сеть – прикрыта
системами защиты на
всех уровнях без ущерба
производительности и
отказоустойчивости
Кибербез – эффективно
отражает атаки на
инфраструктуру
Сетевики – получают профит в
виде дополнительных
возможностей обработки трафика
КБ – получает возможность
внедрять «тяжелые» системы
защиты с минимальным влиянием
на сеть, реализовать
импортозамещение «без потерь»
Сетевики – не «страдают»/
умеренно страдают =) от
очередной системы защиты
КБ – гибко подходит к внедрению,
быстро получает необходимую
систему

19.

Кибербезопасность и
сеть могут стать одной
экосистемой и
существовать в
равновесии

20.

Вопросы?

21.

rt-solar.ru
Чуйков Кирилл
Просроченный NSE 7, CCNP
Security, HCIP-Datacom, HCIPSecurity, HCIP-WLAN
+7 (499) 755-07-70
k.chuikov@rt-solar.ru
ГК «Солар»
г. Москва, Никитский пер., 7с1