Separacja sieci¶

W tradycyjnym, płaskim modelu sieciowym wszystkie urządzenia mogą komunikować się ze sobą bez ograniczeń. Jeżeli atakujący uzyska dostęp do jednego komputera, może poruszać się po sieci organizacji. W takim przypadku mowa o ruchu horyzontalnym (ang. lateral movement) - przemieszczaniu się atakującego między hostami w sieci po uzyskaniu początkowego dostępu, bądź eskalacji uprawnień (ang. privilege escalation), kiedy atakujący zdobywa wyższe uprawnienia w systemie, niż posiadał pierwotnie.

Kluczowe koncepcje¶

Aby zrozumieć, dlaczego oraz w jaki sposób wprowadza się mechanizm separacji sieci, warto najpierw zapoznać się z koncepcjami, które odpowiadają na te pytania.

Promień rażenia (ang. Blast Radius)¶

Promień rażenia określa zakres systemów, danych oraz usług, które mogą być celem ataku w przypadku naruszenia wybranego komponentu sieci. Jest miarą skuteczności mechanizmu, jakim jest separacja sieci.

Zasada najmniejszych uprawnień (ang. Principle of least privilege)¶

Zasada najmniejszych uprawnień stwierdza, że każdy podmiot (osoba, proces, urządzenie, usługa) powinien mieć tylko te uprawnienia, które są absolutnie niezbędne do wykonania swojego zadania.

Ochrona w głąb (ang. Defense in Depth)¶

Ochrona w głąb to strategia cyberbezpieczeństwa polegająca na budowaniu wielowarstwowych i nakładających się na siebie zabezpieczeń w pełnym przekroju stosu - od warstwy fizycznej aż po warstwę aplikacyjną. Jej głównym celem jest zapewnienie, że w przypadku przełamania jednej linii obrony, kolejne warstwy skutecznie powstrzymają intruza. Separacja sieci to wcielenie strategii ochrony w głąb w infrastrukturze IT.

Zerowe zaufanie (ang. Zero Trust)¶

Zero Trust to model bezpieczeństwa oparty na zasadzie „nigdy nie ufaj, zawsze weryfikuj". Oznacza to, że żadnemu podmiotowi, użytkownikowi, urządzeniu czy usłudze nie przysługuje domyślne zaufanie, niezależnie od tego, czy znajduje się wewnątrz, czy na zewnątrz sieci. Każda próba dostępu jest weryfikowana i autoryzowana na bieżąco.

Separacja sieci stanowi jedną z warstw realizujących zasady podejścia Zero Trust. Bez podziału na segmenty niemożliwe jest ograniczenie dostępu do zasobów (mikrosegmentacja) oraz egzekwowanie zasady najmniejszych uprawnień na poziomie sieci.

W tradycyjnym modelu perymetrowym (ang. castle-and-moat) zakłada się, że po przejściu zewnętrznej zapory ruch wewnątrz sieci jest zaufany. Przebicie granicy daje atakującemu swobodę poruszania się wewnątrz. W modelu Zero Trust sieć traktowana jest jako potencjalnie wrogie środowisko. Każde kolejne połączenie jest osobno weryfikowane, niezależnie od tego, czy pochodzi z wnętrza, czy spoza sieci.

Metody i architektura separacji sieci¶

Metodę separacji sieci można podzielić na dwa główne podejścia: separację fizyczną oraz separację logiczną. Wybór zależy od wymagań bezpieczeństwa, dostępnych zasobów oraz charakteru chronionych systemów.

Kryteria podziału na segmenty¶

Przed wyborem metody separacji należy najpierw wyznaczyć granice segmentów. To decyzja projektowa, która odpowiada na pytanie „co z czym odseparować" - dopiero na jej podstawie dobiera się narzędzie realizujące te granice. Poniższe kryteria wyznaczają naturalne linie podziału:

Fizyczna separacja¶

Fizyczna separacja polega na wykorzystaniu odrębnych urządzeń sieciowych (np. przełączników, routerów) dla każdej wydzielonej sieci, tak aby nie mogły się ze sobą komunikować, chyba że są specjalnie połączone oraz skonfigurowane do tego celu.

Najbardziej rygorystyczną odmianą separacji fizycznej jest air gapping (ang. air gap - szczelina powietrzna). Polega on na fizycznym braku połączenia kablowego z jakimikolwiek innymi sieciami, w tym z internetem - sieć air-gapped jest odcięta sprzętowo.

Wadą separacji fizycznej jest wysoki koszt. Każda dodatkowa sieć wymaga dedykowanego sprzętu. Z tego powodu w praktyce stosuje się ją tam, gdzie wymaga tego regulacja lub gdzie skutki naruszenia bezpieczeństwa są nieakceptowalne.

Więcej informacji na temat bezpieczeństwa środowisk OT/ICS:

• Odporność infrastruktury - Bezpieczna architektura ICS

Logiczna separacja¶

Logiczna separacja polega na wydzieleniu sieci na poziomie oprogramowania i konfiguracji urządzeń, przy wykorzystaniu tej samej infrastruktury fizycznej. Jest to podejście znacznie bardziej elastyczne.

Sieć VLAN (ang. Virtual Local Area Network, standard IEEE 802.1Q) to podstawowy mechanizm logicznej separacji w sieciach lokalnych. Pozwala na podział jednego przełącznika fizycznego na wiele wirtualnych sieci, z których każda działa jak oddzielna domena rozgłoszeniowa. Ruch między sieciami VLAN jest blokowany domyślnie i wymaga routingu (zwykle przez zaporę sieciową lub router warstwy trzeciej). Sam podział na VLAN-y wspiera się listami kontroli dostępu (ang. Access Control Lists, ACL) - filtrowaniem ruchu na poziomie przełączników lub routerów, ograniczającym komunikację między segmentami do niezbędnych portów i protokołów.

Strefa zdemilitaryzowana¶

Strefa zdemilitaryzowana (ang. Demilitarized Zone, DMZ) to segment sieci izolujący usługi udostępniane na zewnątrz od sieci wewnętrznej organizacji. Jej celem jest ograniczenie promienia rażenia w przypadku kompromitacji publicznie dostępnych usług. Atakujący, który przejmie serwer w DMZ, nie uzyska automatycznie dostępu do sieci wewnętrznej.

Typowe usługi umieszczane w DMZ to serwery WWW, serwery pocztowe, zewnętrzne serwery DNS czy bramy API. Sieć wewnętrzna (np. stacje robocze, bazy danych) znajduje się za dodatkową warstwą zabezpieczeń.

Architektura DMZ najczęściej realizowana jest w modelu z dwoma zaporami:

• zapora zewnętrzna oddziela DMZ od internetu,
• zapora wewnętrzna oddziela DMZ od sieci wewnętrznej (LAN).

Narzędzia i najlepsze praktyki wdrożeniowe¶

Skuteczna separacja sieci wymaga połączenia odpowiednich procesów i narzędzi. Poniżej znajduje się zestawienie kluczowych elementów.

Listy kontroli dostępu i reguły zapory ogniowej¶

To podstawowe mechanizmy egzekwujące granice między segmentami. Listy kontroli dostępu (ang. Access Control Lists, ACL) działają na poziomie przełączników i routerów, filtrując ruch na podstawie adresów IP, portów i protokołów. Są zwykle bezstanowe - każda reguła jest oceniana niezależnie, bez zapamiętywania sesji.

Zapory sieciowe (ang. firewalls) działają na wyższym poziomie abstrakcji. Większość współczesnych zapór jest stanowa (ang. stateful) - śledzi aktywne sesje i automatycznie przepuszcza ruch powrotny dla dozwolonych połączeń. Zapory nowej generacji (ang. Next-Generation Firewalls, NGFW) oferują dodatkowo filtrowanie na poziomie treści oraz integrację z systemami SIEM i listami reputacji IP.

Zarządzanie tożsamością¶

Zarządzanie tożsamością i dostępem (ang. Identity and Access Management, IAM) to fundament separacji na poziomie użytkowników i usług. Mimo że separacja sieci działa na poziomie pakietów, to ostatecznie dostęp autoryzowany jest na podstawie tożsamości. Dlatego architektura IAM powinna być spójna z podziałem sieci - przydzielanie ról i uprawnień powinno odzwierciedlać podział na segmenty.

Ograniczanie dostępu do systemów krytycznych¶

Niektóre systemy są na tyle krytyczne, że należy zachować szczególną ostrożność. Dotyczy to przede wszystkim kontrolerów domeny, infrastruktury wirtualizacji, systemów przechowywania danych oraz serwerów kopii zapasowych. Podstawą wydzielenia tych systemów są kryteria krytyczności biznesowej oraz wrażliwości danych (zob. sekcję Kryteria podziału na segmenty).

Dokumentacja¶

Dokumentacja segmentacji sieci to zapis jej stanu - podziału na segmenty, reguł ruchu między nimi oraz procedur utrzymania. Pozwala na skuteczne audyty oraz diagnozę incydentów. Dokumentacja jest szczególnie wartościowa, gdy łączy się ją ze spójną mapą przepływów.

Przykład procesu separacji sieci¶

Inwentaryzacja¶

Poniższy przykład ilustruje proces separacji sieci w niewielkiej firmie (uproszczony proces inwentaryzacji nastawiony na same przepływy, więcej informacji na temat inwentaryzacji w artykule: inwentaryzacja). W wyniku inwentaryzacji zasobów zidentyfikowano:

• stacje robocze - stanowiska pracy w biurze
• kontroler domeny - serwer Active Directory
• serwer pocztowy - serwer pocztowy integrowany z AD
• serwer WWW - strona internetowa dostępna publicznie
• serwer aplikacyjny - serwer z aplikacjami, z których korzystają pracownicy
• stację administratora - stacja do zarządzania urządzeniami
• zapora sieciowa - urządzenie oddzielające sieć wewnętrzną od internetu

Dotychczas sieć nie zawierała żadnych segmentów, dlatego istniała jedna sieć LAN.

Na podstawie inwentaryzacji sporządzono mapę przepływów - zapis kto, z kim i po jakich portach musi się komunikować. Mapa stanowi uzasadnienie podziału na segmenty oraz podstawę do budowy reguł zapory w kolejnym etapie.

Projekt segmentów¶

Korzystając z kryteriów podziału, zdecydowano się wydzielić następujące segmenty.

Po wdrożeniu segmentacji sieć przybrała następującą postać:

Konfiguracja przełączników¶

W tym kroku ustalone VLAN-y należy skonfigurować na urządzeniach sieciowych. Konfiguracja zależy od fizycznej infrastruktury instytucji - liczby przełączników, ich rozmieszczenia oraz miejsca, w którym podłączona jest zapora.

Na przełącznikach tworzy się zdefiniowane VLAN-y (10, 20, 30, 31, 40, 99) i przypisuje porty:

• porty access - dla stacji roboczych i serwerów; każdy port przypisany do jednego VLAN-u,
• porty trunk - łącza przenoszące wiele VLAN-ów jednocześnie, z tagowaniem 802.1Q. Stosuje się je tam, gdzie wiele VLAN-ów musi przejść przez jedno łącze (np. między przełącznikiem a zaporą sieciową).

VLAN-y konfiguruje się tylko na tych przełącznikach, do których faktycznie podłącza się urządzenia z danej sieci, oraz na tych, przez które ten ruch musi przejść w drodze do celu (ruch tranzytowy). Nie ma sensu dodawać wszystkich VLAN-ów na każdym przełączniku w firmie.

Nieużywane porty należy wyłączyć, aby zapobiec nieautoryzowanemu podłączeniu urządzeń.

Konfiguracja zapory¶

Mapa przepływów to teoria, którą teraz należy przenieść na zaporę sieciową działającą jako router między VLAN-ami. Warto zauważyć, że na samym końcu znajduje się zasada domyślnej odmowy.

Dokumentacja¶

Cały powyższy proces - inwentaryzacja, mapa przepływów, projekt segmentów, konfiguracja przełączników oraz reguły zapory - stanowi dokumentację segmentacji sieci. Dokumentacja ta pozwala na skuteczne audyty, diagnozę incydentów i planowanie kolejnych zmian.

Dla przedstawionego przykładu dokumentacja obejmuje:

• listę zasobów i ich przynależność do segmentów,
• mapę przepływów (jakie urządzenia oraz po jakich portach),
• tabelę VLAN-ów z przypisanymi zasobami,
• schemat logiczny sieci po wdrożeniu,
• tabelę reguł zapory z uzasadnieniem każdej reguły.

Każda kolejna zmiana w sieci powinna być odzwierciedlona w dokumentacji i zapisana w dzienniku zmian.

Przegląd i wprowadzenie zmiany¶

Miesiąc po wdrożeniu firma zdecydowała się na uruchomienie rozwiązania SIEM. Wymaga to powtórzenia procesu:

1. Inwentaryzacja - do mapy zasobów dodano serwer SIEM oraz zidentyfikowano jego przepływy: skąd zbiera logi (zapora, przełączniki, serwery) i po jakich portach.
2. Projekt segmentów - utworzono nowy VLAN dla serwera SIEM, aby odseparować go od pozostałych segmentów.
3. Konfiguracja przełączników - dodano nowy VLAN i przypisano port serwera SIEM.
4. Konfiguracja zapory - dodano reguły zezwalające na odbieranie logów z poszczególnych segmentów do serwera SIEM.
5. Dokumentacja - zaktualizowano mapę przepływów, tabelę VLAN-ów i reguły zapory, a zmianę odnotowano w dzienniku zmian.

Ten scenariusz ilustruje, że każda nowa usługa lub system w sieci wymaga przejścia przez te same kroki. Powtarzalność tej procedury - od inwentaryzacji przez projekt segmentu po reguły zapory - pozwala włączać nowe elementy bez psucia istniejącej separacji.

Częste błędy¶

Poniżej zestawienie najczęstszych z nich:

• Brak dokumentacji przepływów - brak mapy połączeń utrudnia precyzyjne modyfikowanie konfiguracji, co w konsekwencji prowadzi do tworzenia zbyt swobodnych reguł.
• Zaufanie do samego VLAN-u bez ACL - podział na VLAN-y bez reguł routingu i filtrowania między nimi daje iluzję separacji. VLAN stanowi domenę rozgłoszeniową, a nie barierę bezpieczeństwa.
• Zbyt szeroka segmentacja - umieszczenie wszystkich serwerów w jednym segmencie oznacza, że kompromitacja jednego daje swobodę w obrębie całej puli.
• Niespójność między siecią a zarządzaniem tożsamością - podział sieci nie odpowiada podziałowi ról i uprawnień, co pogarsza egzekwowanie zasady najmniejszych uprawnień.
• Reguła „allow any any" jako rozwiązanie tymczasowe - reguła tymczasowa, włączona bywa zapomniana i staje się dziurą w separacji. Reguły tymczasowe powinny mieć datę automatycznego wygaśnięcia.
• Ignorowanie ruchu zarządzania - ruch administracyjny często bywa pomijany w regułach separacji, a to częsty wektor ataku.
• Brak przeglądów reguł - reguły narastają bez ich weryfikacji, aż w końcu nikt nie wie, które z nich są jeszcze potrzebne.

Ostatnia aktualizacja artykułu: 2026-09-02.