Сетевая безопасность: слои защиты

Сетевая безопасность: слои защиты

Сетевая безопасность строится слоями: даже если один контроль пропустил атаку, следующий ограничивает ущерб. Начните с карты потоков, доверенных зон и владельцев сервисов.

Архитектура

Сегментация разделяет сети по риску: пользовательские устройства, серверы, управление, гостевой доступ и критические системы. VLAN удобен для логического разделения, но сам по себе не является границей доверия: межсегментный firewall и правила потока нужны обязательно. Микросегментация применяет политики ближе к workload.

Firewall разрешает или блокирует соединения по адресу, порту, протоколу, приложению и состоянию. Принцип deny by default безопаснее широкого allow, но правила должны быть минимальными, понятными и регулярно очищаться. VPN шифрует канал через недоверенную сеть; он не превращает заражённое устройство в безопасное и требует MFA, проверки состояния и ограничения маршрутов.

NAC допускает устройство в сеть по личности и состоянию: версия ОС, EDR, сертификат. Некомплаентный endpoint помещается в карантин. Honeypot — намеренно привлекательная ловушка для обнаружения активности; его изолируют и мониторят, иначе он станет путём внутрь.

IDS и IPS

IDS наблюдает и сигнализирует, IPS обычно стоит inline и может блокировать. Сигнатурные правила хорошо ловят известное, поведенческий анализ — отклонения. Ложные срабатывания утомляют SOC, поэтому настройте базовую линию, приоритеты и процедуру исключений. Сигналы IDS/IPS обогащайте DNS, идентичностью и EDR в SIEM.

sudo ss -tulpen
traceroute -n 192.0.2.1

Запускайте диагностику только в своей сети. Не публикуйте результаты маршрутов и адресов.

План проверки: закрытые порты действительно не доступны; гостевая сеть не видит базу; VPN требует MFA; NAC реагирует на устаревший endpoint; honeypot даёт тревогу; IPS не блокирует бизнес-поток из-за неверного правила. Документируйте исключения и срок их пересмотра.

Эксплуатация безопасной сети

Правила firewall должны иметь владельца, назначение и дату review. Временное разрешение автоматически истекает. Логи deny помогают видеть разведку, а логи allow — злоупотребление разрешённым потоком. Административное управление вынесите в отдельную сеть и защищайте jump host.

DNS, DHCP и NTP также критичны: подмена DNS направляет пользователя на фишинг, неверное время ломает сертификаты и Kerberos. Защищайте конфигурации сетевых устройств резервными копиями и контролем изменений.

Не ставьте honeypot в производственный путь без согласования. Он должен иметь минимальные данные, отдельный сегмент и немедленную эскалацию любого обращения.

Практическое задание

Закрепите тему на собственной тестовой схеме, не затрагивая рабочие системы. Сначала опишите активы и доверенные границы простыми словами, затем укажите владельца каждого решения. Для каждого риска запишите вероятность, последствия, существующий контроль и остаточный риск. Такой короткий реестр полезнее списка модных продуктов: он показывает, какую именно задачу решает мера и где остаётся пробел.

Проведите проверку в безопасной лаборатории и сохраните результат: время, команду или действие, ожидаемый результат и фактическое наблюдение. Если проверка не удалась, сначала проверьте разрешение, область теста и журналирование, а не усиливайте настройки вслепую. Любое исключение оформите с причиной, сроком и ответственным.

При разборе инцидента отделяйте факт от гипотезы. Факт подтверждается журналом, конфигурацией или воспроизводимым тестом; гипотеза требует дополнительной проверки. Это снижает риск неправильной атрибуции и помогает команде выбрать пропорциональную реакцию. После изменения контроля повторите тест и убедитесь, что доступность бизнеса не пострадала.

Полезный результат обучения — не запомнить термин, а уметь объяснить его на сценарии: какая угроза действует, какой актив затронут, какой контроль сработает первым, что обнаружит событие и как восстановиться. Именно такую цепочку проверяйте при подготовке к Security+.

Вопросы для самопроверки

Проверьте себя по сценарию. Какой актив защищается и какое свойство CIA важнее всего? Где проходит граница доверия? Как злоумышленник может получить первоначальный доступ, какое событие подтвердит гипотезу и кто принимает решение о сдерживании? Затем назовите как минимум один технический, один административный и один физический контроль. Для каждого укажите, является ли он превентивным, детективным или корректирующим, и какое доказательство эффективности можно получить.

Отдельно продумайте исключения. Что произойдёт, если основной сервис, каталог идентичностей или канал связи недоступен? Запишите ручную процедуру, резервный контакт и безопасный способ возврата к нормальной работе. Не забывайте о приватности: журналы должны содержать достаточно контекста для расследования, но не раскрывать пароли, токены и лишние персональные данные.

Хороший ответ Security+ связывает термин с решением и ограничением. MFA уменьшает риск украденного пароля, но не устраняет вредоносную конечную точку; резервная копия ускоряет восстановление, но не предотвращает утечку; IDS обнаруживает, но требует реакции. Такая причинно-следственная цепочка помогает выбирать правильный контроль в практическом вопросе. **Дисклеймер: материал учебный и не заменяет официальные exam objectives CompTIA.