У більшості офісів мережа виглядає так: один роутер, і все — від ноутбука директора до китайської камери за 900 грн — сидить в одній спільній мережі. Це означає, що будь-який пристрій бачить будь-який інший. Зручно? Так. Безпечно? Анітрохи.
Чим це загрожує на практиці
Зловмиснику не потрібно ламати найзахищеніший комп'ютер — достатньо найслабшого пристрою. Стара камера, «розумний» телевізор у переговорці, принтер з прошивкою п'ятирічної давності. Потрапивши на нього, атакувальник опиняється в одній мережі з бухгалтерією, сервером і базою клієнтів — і рухається далі вже зсередини.
Що таке сегментація простими словами
Сегментація — це поділ однієї великої мережі на ізольовані зони: окремо робочі комп'ютери, окремо сервери, окремо камери й «розумні» пристрої, окремо гостьовий Wi-Fi. Зони не бачать одна одну, крім випадків, які ви явно дозволили. Камера більше не може «поговорити» з бухгалтерією — навіть якщо її зламали.
Гостьовий Wi-Fi — найпростіший приклад
Коли гість чи підрядник підключається до вашого Wi-Fi, він не повинен бачити нічого, крім інтернету. Якщо у вас досі один пароль «для всіх» — кожен відвідувач потенційно має доступ до внутрішніх ресурсів. Окрема гостьова зона закриває це за один вечір роботи.
Це дорого?
Ні. Сегментація — це насамперед налаштування, а не закупівля заліза: більшість навіть недорогих комутаторів і роутерів це вміють. Для типового офісу йдеться про дні роботи інженера, а не про новий бюджет на обладнання. Якщо залізо справді не вміє — чесно скажемо і підберемо під задачу, а не під вендора.
Коли сегментації недостатньо
Сегментація відповідає на питання «хто кого бачить». Наступний рівень — «хто взагалі може підключитися»: це вже 802.1X, пропускна система для пристроїв, про яку ми писали окремо. Разом вони закривають більшість сценаріїв «чужий у мережі».
Хочете зрозуміти, наскільки ваша мережа «плоска» і що бачить умовна камера? Напишіть — зробимо аудит і покажемо ризики без зобов'язань.