Когда говорят о защите сети, обычно думают о трафике пользователей: кто куда ходит, что скачивает, какие сайты закрыть. Но по сети идут ещё два потока, без которых она не работает вообще, и удар по любому из них выводит из строя всю компанию.
Разобрать все три на собственном стенде можно на курсе «Инженер по информационной безопасности», где сеть сначала собирают с нуля, а потом закрывают.
Здесь пройдём по трём плоскостям трафика и посмотрим, где у каждой слабое место.
Откуда берутся три плоскости
Любое сетевое устройство передаёт трафик трёх типов. Их называют плоскостями: плоскость данных (data plane), плоскость управления (control plane) и плоскость администрирования (management plane). У каждой своя задача, свои протоколы и свои способы защиты, поэтому при проектировании защиты их разбирают по отдельности.
Плоскость данных: то, ради чего строят сеть
Это пользовательский трафик. Бухгалтер открывает сайт банка, менеджер отправляет письмо, удалённый сотрудник подключается к файловому серверу. Всё это data plane.
Для его защиты есть самый известный набор средств. Межсетевой экран делит сеть на зоны доверия и решает, какой трафик пропустить между ними. VPN шифрует трафик между офисами или между удалённым сотрудником и компанией. Инспекция HTTPS позволяет заглянуть в зашифрованный трафик, который уходит из организации.
На этой плоскости построено большинство учебных примеров, поэтому новичку кажется, что защита сети на ней и заканчивается.
Плоскость управления: разговор устройств между собой
Маршрутизаторам нужно узнать, где находятся соседние сети. Для этого они обмениваются служебной информацией по протоколам маршрутизации, например OSPF. Коммутаторы договариваются между собой по протоколу STP. Пользователь этот трафик не создаёт и не видит: его порождают сами устройства, и без него они не работают.
Представим две сети, зелёную и синюю, соединённые двумя маршрутизаторами. Если OSPF между ними не работает, из зелёной сети в синюю не попасть.
Отсюда понятна атака. Если в сети появится чужое устройство и сообщит маршрутизатору, что синяя сеть находится где-то в другом месте, трафик послушно уйдёт туда. Ни один сервер для этого взламывать не пришлось.
Поэтому у протоколов управляющей плоскости есть встроенная защита. В OSPF это проверка подлинности соседа с помощью HMAC. Маршрутизаторы знают общий секрет. Сосед присылает хеш, маршрутизатор считает свой и сравнивает. Совпало, значит, на той стороне устройство, которое знает секрет, и с ним можно обмениваться маршрутами. Не совпало, и маршрутная информация от такого соседа не принимается.
Плоскость администрирования: трафик тех, кто управляет сетью
Третий поток создают администраторы и безопасники, когда подключаются к маршрутизатору или серверу и меняют настройки. Это management plane, и по нему ходят самые опасные команды в сети.
Требование здесь простое: только защищённые протоколы. SSH со стойкими алгоритмами шифрования и процедуры AAA, то есть аутентификация, авторизация и учёт действий. Тогда видно, кто подключился, что ему разрешено и что он сделал.
Слабое место администрирования хорошо видно на консоли. У маршрутизаторов Cisco есть уровни привилегий от 0 до 15. На первом доступна только базовая диагностика, на пятнадцатом всё, включая файловую систему устройства. Получив такой доступ, злоумышленнику достаточно удалить файл операционной системы и перезагрузить устройство. Маршрутизатор загрузится в режим восстановления, а сеть за ним ляжет.
Как устроены уровни привилегий и файловая система маршрутизатора, нагляднее всего видно руками. На курсе «Инженер по ИБ» маршрутизаторы Cisco поднимают в эмуляторе GNS3 на своём компьютере, с настоящей операционной системой и конфигурациями.
Где в сети стоит защита
Корпоративную сеть обычно строят из трёх уровней. На уровне доступа к коммутаторам подключаются компьютеры пользователей. Уровень распределения соединяет коммутаторы доступа, например все кабинеты одного этажа. Ядро гоняет трафик между этажами, серверной, выходом в интернет и каналами к филиалам.
Функции безопасности распределены по уровням неравномерно.
- Уровень доступа отсекает нелегитимные подключения: устройство с чужим MAC-адресом, неверный пароль от Wi-Fi, проваленную аутентификацию.
- Уровень распределения берёт на себя тонкую фильтрацию: можно ли этому пользователю обращаться к конкретному внутреннему серверу.
- Ядро почти не содержит функций безопасности. Его задача передавать огромный объём трафика как можно быстрее.
Если фильтрацию не настроили на уровне распределения, ядро передаст запрос дальше без проверок.
Что проверить в своей сети
- Какие протоколы маршрутизации и коммутации работают в сети и включена ли у них проверка подлинности соседей.
- Как администраторы подключаются к устройствам и не остались ли рядом с SSH открытые протоколы.
- У кого есть пятнадцатый уровень привилегий и фиксируются ли действия администраторов.
- Где физически стоят маршрутизаторы и кто может подойти к ним с консольным кабелем.
- На каком уровне сети фильтруется доступ пользователей к внутренним серверам.
Как научиться поднимать сеть после атаки
Если атака на служебный трафик или консоль удалась, сеть ложится, и её нужно вернуть в работу. На курсе «Инженер по информационной безопасности» этому посвящён отдельный проект на кейсах компаний.
Студенты разбирают, что сломано и что нужно вернуть, поднимают сеть, серверы и домен, восстанавливают учётные записи и доступы, настраивают защиту и мониторинг. Отчёт проверяют эксперты, проект идёт в портфолио, а лучших по итогам добавляют в базу исполнителей Singleton Security.
