Безопасность сети начинается с отсутствия лишних соединений.

1. Принцип 01

   Один сервис — один сетевой сегмент

   По умолчанию самостоятельный сервис размещается в отдельном VLAN.

   Сервисы не объединяются в одну сеть только потому, что они принадлежат одной компании. Сетевые границы определяются технологическими зависимостями.

2. Принцип 02

   Запрещено всё, что не разрешено явно

   Отсутствие разрешающего правила означает отсутствие доступа. Это относится к:

   • входящим подключениям
   • исходящим подключениям
   • взаимодействию между внутренними сервисами
   • доступу в Интернет
3. Принцип 03

   Сеть разделена на функциональные зоны

   Разные категории активов имеют разные модели угроз и политики доступа.

   CLIENTS

   пользовательские устройства и клиентские сети

   SERVERS

   внутренние бизнес-сервисы

   DMZ

   сервисы, принимающие подключения извне

   INFRASTRUCTURE

   AD, DNS, NTP, мониторинг и другие базовые службы

   MGMT

   управление серверами, гипервизорами, firewall и сетевым оборудованием

   BACKUP

   системы резервного копирования и восстановления

4. Принцип 04

   Серверу не нужен Интернет по умолчанию

   Внутренние серверы не получают прямой неограниченный доступ в Интернет.

   Если серверу необходимо получать обновления, они выполняются через контролируемый proxy. Иные внешние соединения разрешаются только при наличии документированной технической необходимости.

5. Принцип 05

   Общая инфраструктура централизована

   Системы получают доступ только к необходимым инфраструктурным службам. Например:

   Active Directory

   аутентификация и доменные службы

   DNS

   разрешение имён

   NTP

   централизованная синхронизация времени

   Update Proxy

   контролируемый доступ к обновлениям

   Monitoring

   контроль состояния инфраструктуры

6. Принцип 06

   Серверы не доверяют друг другу по умолчанию

   Принадлежность двух серверов одной компании не является основанием для свободного сетевого взаимодействия.

   • Application Server → SQL Serverможет быть разрешено
   • Application Server → ALL SERVERSне следует
   • SQL Server → ALL SERVERSне следует

   Каждая зависимость определяется отдельно.

7. Принцип 07

   Административный доступ отделён от пользовательского

   Управление инфраструктурой производится через выделенные административные сети и контролируемые точки входа.

   Пользовательская рабочая станция не должна иметь прямой доступ к management-интерфейсам:

   • firewall
   • switches
   • hypervisors
   • storage
   • backup
   • серверных систем

   Для административного доступа используются отдельные MGMT-сети, административный VPN и другие контролируемые механизмы.

8. Принцип 08

   Публичные сервисы изолированы

   Системы, принимающие подключения из Интернета, рассматриваются как активы с повышенной вероятностью атаки. Публичный сервис не получает свободного доступа к внутренней инфраструктуре.

   • DMZ → LANзапрещено по умолчанию

   Разрешаются только конкретные технологические зависимости.

9. Принцип 09

   Сетевые взаимодействия должны быть наблюдаемыми

   Безопасность — это не только блокировка соединений. Архитектура должна предусматривать:

   • мониторинг;
   • централизованные журналы;
   • контроль состояния оборудования;
   • уведомления об инцидентах;
   • резервное копирование конфигураций;
   • документирование сетевых зависимостей.
10. Принцип 10

    Безопасность должна масштабироваться

    Добавление нового сервиса не должно требовать хаотичного изменения firewall. Стандартный процесс подключения сервиса:

    1. определить назначение
    2. создать отдельный сетевой сегмент
    3. определить функциональную зону
    4. описать необходимые входящие соединения
    5. описать необходимые исходящие соединения
    6. создать firewall policy
    7. подключить мониторинг
    8. подключить резервное копирование
    9. документировать зависимости

Схема иллюстрирует принцип и не является проектом конкретной сети: состав зон и правил определяется по результатам обследования.

Номера VLAN и набор сервисов условные и приведены для иллюстрации.