Începe aici
Primul tău pas util
Începe cu lecția gratuită despre segmentare, apoi folosește exemplele de mai jos pentru a explica atât fluxul intenționat, cât și granița care ar trebui să îl oprească.
Începe cu resursa și cu fluxul necesar
Enumeră resursa pe care vrei s-o protejezi și munca legitimă care depinde de ea. Identifică sursa, destinația, serviciul, proprietarul și motivul accesului. „Utilizatorii au nevoie de baza de date” este prea general; o aplicație poate avea nevoie de un anumit serviciu de baze de date, în timp ce dispozitivele utilizatorilor ar trebui să ajungă doar la aplicație.
Un design mic și util separă cerințele de business de implementare. Scrie mai întâi, în limbaj simplu, relațiile permise. Apoi decide unde trebuie aplicată regula și ce observații ar dovedi că funcționează. Nu începe prin a copia reguli dintr-un mediu fără legătură.
Înțelege ce face și ce nu face un VLAN
Un VLAN separă un domeniu logic de broadcast de nivel 2. Comunicarea între VLAN-uri poate fi totuși rutată de un dispozitiv care are permisiunea s-o facă. Crearea unor nume de VLAN sau a unor intervale de subrețea diferite nu aplică automat o politică de securitate asupra acelui trafic rutat.
Într-un birou sintetic, rețelele pentru oaspeți, personal și servere pot fi VLAN-uri diferite. Dacă politica de rutare permite orice sursă către orice destinație, granița pentru oaspeți tot nu își îndeplinește scopul intenționat. Trebuie să inspectezi calea de aplicare și regulile, nu doar etichetele de pe diagramă.
Folosește ACL-urile și privilegiul minim în mod deliberat
O listă de control al accesului exprimă traficul permis sau blocat la un punct de aplicare. Ordinea regulilor, direcția, protocolul, porturile și comportamentul dispozitivului contează toate. Documentează rezultatul intenționat în loc să presupui că o regulă copiată pe o interfață controlează fiecare cale.
Privilegiul minim înseamnă a activa accesul necesar sarcinii autorizate, limitându-l pe cel inutil. Include în analiză serviciile de suport, cerințele de administrare și un plan de recuperare. O excepție de urgență prea largă ar trebui să aibă un proprietar, un motiv și un punct de reanalizare.
| Sursă fictivă | Destinație necesară | Intenția analizei |
|---|---|---|
| Dispozitive ale oaspeților | Acces aprobat la internet | Fără acces la baza de date internă |
| Serviciul aplicației | Serviciu de bază de date denumit | Doar dependența documentată |
| Stație de lucru a administratorului | Cale de administrare aprobată | Administrare restricționată și autorizată |
Deosebește segmentarea de Zero Trust
Segmentarea poate limita căile și poate reduce întinderea unui incident. Zero Trust este mai larg: deciziile de acces nu ar trebui să se bazeze doar pe faptul că te afli în interiorul unei rețele. Identitatea, contextul dispozitivului, politica resursei și acțiunea solicitată contează în continuare.
Un dispozitiv dintr-un VLAN al personalului nu este automat autorizat pentru fiecare resursă a personalului. Invers, un utilizator legitim la distanță poate avea nevoie de acces strict controlat la un singur serviciu. Descrie decizia de acces în jurul resursei protejate, în loc să tratezi o adresă internă drept dovadă de încredere.
Validează atât cazurile pozitive, cât și cele negative
Un test pozitiv întreabă dacă o dependență aprobată funcționează. Un test negativ întreabă dacă o cale interzisă explicit este refuzată. Ambele sunt necesare: blocarea a tot ce mișcă poate părea sigură, dar strică serviciul, iar un test reușit al aplicației nu spune nimic despre accesul nedorit al oaspeților.
Într-un laborator autorizat, definește rezultatul așteptat înainte de testare și consemnează sursa, destinația, serviciul, momentul și dovezile. Dacă rezultatul diferă, inspectează calea reală și punctul de aplicare. Nu adăuga o regulă largă de permitere doar ca să devină testul verde.
- Confirmă că fluxul documentat al aplicației reușește.
- Confirmă că unei surse de oaspeți sau fără legătură i se refuză serviciul protejat.
- Verifică dacă calea aprobată a administratorului rămâne utilizabilă.
- Consemnează un plan de revenire la starea anterioară înainte de orice modificare autorizată.
- Repetă verificările relevante după ce se modifică o regulă sau o dependență.
Transformă analiza într-o recomandare argumentată
Notează expunerea, granița intenționată, cea mai mică modificare propusă a politicii și cum va fi validată. Include incertitudinea, cum ar fi o dependență nedocumentată sau o cale alternativă neverificată. Cere proprietarului contextul lipsă înainte de a recomanda o modificare în producție.
Laboratorul Pro publicat de segmentare folosește o rețea fictivă și un pachet de dovezi, cu analize rezolvate. Este un loc pentru a exersa interpretarea regulilor și explicarea compromisurilor, nu o invitație de a scana sau de a exploata o rețea reală. Lecția gratuită și quiz-ul existente rămân disponibile fără abonament.
Surse și domeniu de aplicare
Acesta este un îndrumar educativ original BitsSecured. Folosește exemple de exersare independente, nu întrebări reale de examen, și nu promite promovarea, certificarea sau angajarea. BitsSecured nu este afiliată cu CompTIA și nu este susținută de aceasta.