საწარმოს უსაფრთხოების არქიტექტურის პრაქტიკული გზამკვლევი

პირველი შეცდომა, რომელსაც კომპანიები უშვებენ, ტექნოლოგიაში კი არა, შესყიდვაში იწყება – ჯერ ყიდულობენ firewall-ს, switch-ს, access point-ს ან კამერებს, და მხოლოდ შემდეგ სვამენ კითხვას, როგორ უნდა იმუშაოს ამ ყველაფერმა ერთად. სწორედ აქ ხდება საწარმოს უსაფრთხოების არქიტექტურის პრაქტიკული გზამკვლევი რეალურად საჭირო: უსაფრთხოება არ არის ერთი მოწყობილობა, ერთი ლიცენზია ან ერთი ბრენდი. ეს არის შეთანხმებული სქემა, სადაც ქსელი, იდენტობა, წვდომა, მონიტორინგი და ფიზიკური ინფრასტრუქტურა ერთ პოლიტიკად მუშაობს.

საწარმოს დონეზე უსაფრთხოების არქიტექტურა ყოველთვის ბიზნესიდან იწყება. ბანკს, საწარმოო ობიექტს, ლოგისტიკურ ცენტრს, კლინიკას და საცალო ქსელს ერთნაირი რისკები არ აქვთ. ზოგს მთავარი გამოწვევა არის ფილიალებს შორის დაცული კავშირი, ზოგს – თანამშრომელთა დაშორებული წვდომა, სხვას – კამერებისა და ქსელური მოწყობილობების იზოლაცია. ამიტომ სწორი კითხვა არ არის მხოლოდ რომელი firewall ვიყიდოთ. სწორი კითხვა არის რას ვიცავთ, ვისგან ვიცავთ და რა ფასად უნდა გაჩერდეს ბიზნესი, თუ კონტროლი ჩავარდება.

რა ნიშნავს საწარმოს უსაფრთხოების არქიტექტურის პრაქტიკული გზამკვლევი რეალურ გარემოში

პრაქტიკული მიდგომა ნიშნავს, რომ უსაფრთხოებას უყურებთ როგორც ფენებად დაყოფილ სისტემას. პერიმეტრი ჯერ კიდევ მნიშვნელოვანია, მაგრამ ის აღარ არის საკმარისი. თანამშრომლები იყენებენ cloud სერვისებს, მუშაობენ ოფისიდან და სახლიდან, შედიან მობილური მოწყობილობებიდან, ხოლო ფილიალებს შორის ტრეფიკი მუდმივად მოძრაობს. ასეთ პირობებში ერთი წერტილის დაცვა მხოლოდ ნაწილობრივ ამცირებს რისკს.

ამიტომ არქიტექტურა ჩვეულებრივ ეფუძნება რამდენიმე საბაზისო ბლოკს: ქსელის სეგმენტაცია, იდენტობისა და წვდომის კონტროლი, საფრთხეების აღმოჩენა, ლოგირება და რეაგირება, დაცული დისტანციური წვდომა, endpoint პოლიტიკა და ფიზიკური მოწყობილობების დაცვა. თითოეული ბლოკი შეიძლება სხვადასხვა მწარმოებლის გადაწყვეტით აშენდეს, მაგრამ მათი ურთიერთთავსებადობა უფრო მნიშვნელოვანია, ვიდრე მარტო მონაცემთა ფურცელში მოცემული მახასიათებლები.

ხშირად კომპანიები ზედმეტად კონცენტრირდებიან მხოლოდ გარე შეტევაზე. რეალობაში კი ინციდენტები იწყება შიგნიდანაც – დაუცველი Wi-Fi, საერთო პაროლები, კამერების ნაგულისხმევი კონფიგურაცია, დაუპატჩავი switch, ან სტუმრის ქსელიდან საოპერაციო სეგმენტზე შემთხვევითი წვდომა. უსაფრთხოების არქიტექტურა სწორედ ამ ხარვეზებს შორის კავშირის გაწყვეტას ემსახურება.

პირველი ეტაპი – აქტივების და რისკების ზუსტი სურათი

თუ არ იცით, რა მოწყობილობები, სერვისები და მონაცემებია კრიტიკული, ვერ ააწყობთ გამართულ დაცვას. პრაქტიკაში კარგი დასაწყისი არის აქტივების მარტივი, მაგრამ მართვადი ინვენტარი. აქ შედის core და access switch-ები, firewall-ები, უსადენო კონტროლერები, access point-ები, IP კამერები, NVR-ები, სერვერები, სამუშაო სადგურები, პრინტერები, VoIP მოწყობილობები და ინდუსტრიული ან IoT ელემენტები.

შემდეგ მოდის პრიორიტეტიზაცია. ყველა აქტივს ერთნაირი დაცვა არ სჭირდება. ERP სერვერს, დომენის კონტროლერს და VPN კარიბჭეს უფრო მაღალი კონტროლი უნდა ჰქონდეს, ვიდრე შეხვედრების ოთახის ეკრანს. ეს არ ნიშნავს, რომ დაბალი რისკის მოწყობილობა უყურადღებოდ უნდა დარჩეს. ნიშნავს, რომ ბიუჯეტი და ადმინისტრირების რესურსი უნდა წავიდეს იქ, სადაც გაჩერების ან გაჟონვის ფასი ყველაზე მაღალია.

ამ ეტაპზე სასარგებლოა სამი პრაქტიკული კითხვა. რა გამოიწვევს ოპერაციის შეჩერებას. სად ინახება სენსიტიური ინფორმაცია. რომელი სისტემიდან შეიძლება თავდამსხმელმა გვერდითი გადაადგილება დაიწყოს. ამ სამ კითხვაზე პასუხი ხშირად უფრო ღირებულია, ვიდრე გრძელი, მაგრამ ფორმალური შეფასების დოკუმენტი, რომელსაც არავინ იყენებს.

ქსელის სეგმენტაცია – ყველაზე ხშირად გადადებული, მაგრამ ყველაზე ეფექტური ნაბიჯი

უსაფრთხოების არქიტექტურაში სეგმენტაცია ხშირად იძლევა ყველაზე სწრაფ შედეგს. თუ ყველა მოწყობილობა ერთ ბრტყელ ქსელშია, ერთი კომპრომეტირებული endpoint შეიძლება იქცეს შესასვლელად მთელ ინფრასტრუქტურაში. VLAN-ებით, ACL-ებით და firewall პოლიტიკით განცალკევებული სეგმენტები მნიშვნელოვნად ამცირებს ასეთ რისკს.

პრაქტიკული დიზაინი ჩვეულებრივ გამოყოფს მომხმარებლების ქსელს, სერვერულ სეგმენტს, სტუმრის წვდომას, ხმოვან სერვისებს, ვიდეომეთვალყურეობას, მენეჯმენტის ქსელს და საჭიროების შემთხვევაში ინდუსტრიულ ან POS მოწყობილობებს. ეს დაყოფა არ უნდა იყოს მხოლოდ ლოგიკური. უნდა არსებობდეს მკაფიო წესი, რომელ სეგმენტს რომელ სერვისთან აქვს ურთიერთობა და რომელი პორტებით.

აქ არის მნიშვნელოვანი ბალანსიც. ზედმეტად რთული სეგმენტაცია ადმინისტრირებას აძნელებს და შეცდომის რისკს ზრდის. ძალიან მარტივი სქემა კი დაცვას არ იძლევა. საშუალო ზომის ბიზნესისთვის ხშირად ოპტიმალურია მკაფიო, 5-8 სეგმენტიანი მოდელი, სადაც მენეჯმენტის ქსელი მკაცრად იზოლირებულია, ხოლო მომხმარებლის წვდომა სერვერებზე მხოლოდ საჭირო აპლიკაციებით არის დაშვებული.

იდენტობა და წვდომა – უსაფრთხოების ცენტრი პერიმეტრის ნაცვლად

როცა თანამშრომლები ოფისგარედან მუშაობენ, ქსელის მისამართი აღარ არის საკმარისი ნდობის ფაქტორი. ვინც შედის სისტემაში, რა მოწყობილობიდან შედის და რა დონეზე სჭირდება წვდომა – ეს კითხვები ხდება ცენტრალური. ამიტომ თანამედროვე არქიტექტურაში identity-first მიდგომა პრაქტიკულად აუცილებელია.

ეს ნიშნავს მინიმალური პრივილეგიის წესს, მრავალფაქტორიან ავთენტიკაციას ადმინისტრატორებისა და კრიტიკული სისტემებისთვის, role-based access მოდელს და პრივილეგირებული ანგარიშების კონტროლს. ყველაზე გავრცელებული პრობლემა არის არა ტექნოლოგიის არქონა, არამედ ზედმეტი უფლებები. როდესაც დროებითი წვდომა მუდმივად რჩება, ინციდენტის ალბათობა იზრდება.

Wi-Fi გარემოშიც იგივე პრინციპი მუშაობს. საერთო პაროლი სწრაფია, მაგრამ საწარმოსთვის ხშირად არასაკმარისი. სადაც შესაძლებელია, ჯობია ავტორიზაცია იყოს მომხმარებელზე ან მოწყობილობაზე მიბმული, რათა წვდომის გაუქმება კონკრეტულად მოხდეს და არა მთელი ქსელის პაროლის შეცვლით.

მონიტორინგი, ლოგირება და რეაგირება – თუ ვერ ხედავთ, ვერ მართავთ

ბევრი კომპანია ფიქრობს, რომ დაცვა დასრულებულია მას შემდეგ, რაც firewall ჩადგა. სინამდვილეში სწორედ ამის შემდეგ იწყება მართვა. უსაფრთხოების არქიტექტურა ეფექტურია მაშინ, როცა ქსელური მოწყობილობებიდან, endpoint-ებიდან, VPN-იდან, უსადენო ინფრასტრუქტურიდან და ვიდეოსისტემებიდან მიღებული მოვლენები ერთიან ხედვაში ჯდება.

ლოგების ცენტრალიზაცია აუცილებელია არა მხოლოდ ინციდენტის შემდეგ გამოძიებისთვის, არამედ ყოველდღიური გადახრების დასაფიქსირებლად. მაგალითად, ახალი ადმინისტრატორული შესვლა უცნაური გეოგრაფიიდან, კამერის firmware-ის შეცვლა, switch-ზე არასტანდარტული trunk, ან სამუშაო საათების მიღმა მასიური მონაცემთა გადაცემა ხშირად პირველი სიგნალია, რომ რაღაც წესრიგში აღარ არის.

აქაც არსებობს კომპრომისი. სრულმასშტაბიანი SOC ყველა კომპანიას არ სჭირდება და არც ყველა ბიუჯეტს მოერგება. თუმცა მინიმალური ოპერაციული ხილვადობა აუცილებელია. თუ სრული SIEM ზედმეტია, მაინც უნდა არსებობდეს ლოგების შენახვის, კრიტიკული შეტყობინებების და პასუხისმგებლობების მკაფიო სქემა.

მოწყობილობების შერჩევა – ფუნქცია, თავსებადობა და მიწოდების რეალობა

არქიტექტურის კარგი დიზაინი შეიძლება ჩავარდეს ცუდი შესყიდვის გამო. საწარმოსთვის არჩევანი მხოლოდ სპეციფიკაციით არ კეთდება. უნდა შეფასდეს, რამდენად თავსებადია switch-ები, firewall-ები, access point-ები და უსაფრთხოების აპლიკაციები ერთმანეთთან, რამდენად მარტივია მათი მართვა, რა მოდელია ლიცენზირების მხრივ და რამდენად სწრაფად არის შესაძლებელი გაფართოება ან ჩანაცვლება.

ცნობილი მწარმოებლები, როგორიცაა Cisco, Fortinet, Juniper, HPE, Huawei და Dahua, სხვადასხვა სცენარში სხვადასხვა უპირატესობას იძლევა. ერთ შემთხვევაში მნიშვნელოვანი იქნება ქსელის ღრმა ინტეგრაცია და პოლიტიკის ცენტრალიზებული მართვა. მეორეში – ფილიალების სწრაფი გაშლა, SD-WAN შესაძლებლობა ან ვიდეომეთვალყურეობის მასშტაბირება. სწორი არჩევანი დამოკიდებულია არსებულ ინფრასტრუქტურაზე, გუნდის კომპეტენციაზე და იმაზე, გჭირდებათ ერთი ეკოსისტემა თუ საუკეთესო კომპონენტების კომბინაცია.

შესყიდვის მხარეს ხშირად უგულებელყოფენ კიდევ ერთ ფაქტორს – მარაგს და ჩანაცვლების ვადას. თუ კრიტიკული firewall ან core switch გამოვიდა მწყობრიდან, რამდენად სწრაფად მიიღებთ ახალს ან სათადარიგო ერთეულს. ბიზნესისთვის ეს ხშირად უფრო პრაქტიკული კითხვაა, ვიდრე თეორიული throughput პიკური მაჩვენებელი. ამიტომ მომწოდებლის შერჩევაც არქიტექტურის ნაწილია და არა ცალკე ადმინისტრაციული საკითხი.

საწარმოს უსაფრთხოების არქიტექტურის პრაქტიკული გზამკვლევი ეტაპობრივი დანერგვისთვის

ყველა სისტემა ერთდროულად არ იცვლება. უმეტეს ორგანიზაციაში სწორი გზა არის ეტაპობრივი განხორციელება, რათა შემცირდეს შეჩერების რისკი და ბიუჯეტი სწორად გადანაწილდეს. ჯერ წესრიგდება ქსელის ტოპოლოგია და სეგმენტაცია, შემდეგ მტკიცდება წვდომის პოლიტიკა, ამის შემდეგ ძლიერდება დისტანციური წვდომა, ლოგირება და მონიტორინგი, ბოლოს კი ხდება ოპტიმიზაცია და ავტომატიზაცია.

თუ ინფრასტრუქტურა უკვე მუშაობს, არასწორია სრულად გადაყრა მხოლოდ იმიტომ, რომ ახალი მოდელი უფრო თანამედროვეა. ხშირად უკეთესი შედეგი მიიღება არსებული switch-ების ან access layer-ის შენარჩუნებით და უსაფრთხოების კვანძების განახლებით. ზოგჯერ პირიქით – ძველი edge მოწყობილობები უფრო დიდი სუსტი წერტილია, ვიდრე ცენტრალური firewall. სწორედ ამიტომ ეტაპები უნდა განისაზღვროს რისკით და არა მოდურობით.

როცა პროექტი დაკავშირებულია რამდენიმე ფილიალთან, საწყობთან, ოფისთან ან ვიდეომეთვალყურეობის დიდ სისტემასთან, სასურველია ჯერ პილოტი გაკეთდეს ერთ ლოკაციაზე. იქ ნათლად გამოჩნდება, სად არის პოლიტიკის კონფლიქტი, რამდენად სწორად მუშაობს დაშორებული წვდომა და რა ადმინისტრაციული დატვირთვა აქვს ახალ დიზაინს.

საბოლოოდ, კარგი არქიტექტურა არ არის ის, რომელიც პრეზენტაციაზე კარგად ჩანს. კარგი არქიტექტურაა ის, რომელიც ყოველდღიურ ოპერაციაში არ აფერხებს ბიზნესს, მაგრამ პრობლემის დროს სწრაფად ზღუდავს ზარალს. თუ გადაწყვეტილებებს იღებთ არა მხოლოდ ტექნიკური შესაძლებლობებით, არამედ მიწოდების სტაბილურობით, მართვის სიმარტივით და რეალური რისკებით, უსაფრთხოება გადაიქცევა საინვესტიციო აქტივად და არა მუდმივ ხარჯად. სწორედ ამ პრინციპით ღირს შემდეგი შესყიდვის დაგეგმვაც.