{"id":561,"date":"2021-07-23T10:58:10","date_gmt":"2021-07-23T08:58:10","guid":{"rendered":"https:\/\/www.audyt-wifi.pl\/?p=561"},"modified":"2023-02-21T22:31:35","modified_gmt":"2023-02-21T21:31:35","slug":"segmentacja-sieci-lan-wlan","status":"publish","type":"post","link":"https:\/\/www.audyt-wifi.pl\/index.php\/2021\/07\/23\/segmentacja-sieci-lan-wlan\/","title":{"rendered":"Segmentacja sieci LAN\/WLAN"},"content":{"rendered":"\n

Segmentacja sieci<\/strong><\/p>\n\n\n\n

W wielu polskich firmach VLANy (IEEE 802.1Q) s\u0105 technologi\u0105, kt\u00f3ra zapewnia segmentacje sieci pozwalaj\u0105c\u0105 na podzia\u0142 sieci LAN na mniejsze cz\u0119\u015bci. Teoretycznie segmentacja na VLANy pozwala na odseparowanie od siebie konkretnych urz\u0105dze\u0144 lub grup u\u017cytkownik\u00f3w, zapewniaj\u0105c wi\u0119ksze bezpiecze\u0144stwo.<\/p>\n\n\n\n

W jaki spos\u00f3b zapewnione jest bezpiecze\u0144stwo?<\/strong><\/p>\n\n\n\n

Urz\u0105dzenia b\u0119d\u0105ce w jednej domenie bradcastowej (VLANie) mog\u0105 komunikowa\u0107 si\u0119 miedzy sob\u0105 a transmisja miedzy tymi urz\u0105dzeniami nie jest ani weryfikowana przez urz\u0105dzenie nadrz\u0119dne w sieci (Router z funkcjonalno\u015bci\u0105 FireWall) ani w \u017caden spos\u00f3b monitorowania.<\/p>\n\n\n\n

Natomiast urz\u0105dzenia znajduj\u0105ce si\u0119 w tym VLANie aby komunikowa\u0107 si\u0119 z innymi urz\u0105dzeniami w sieci (pozosta\u0142e VLANy) musz\u0105 przej\u015b\u0107 przez urz\u0105dzenie brzegowe (Router z funkcjonalno\u015bci\u0105 FireWall, Switch z funkcjonalno\u015bci\u0105 routingu, UTM itp.). Przy dobrze skonfigurowanym routingu miedzy VLANami wraz z odpowiednimi politykami na FireWall (FireWall Policy), tak wykreowania siec zapewnia podstawowy poziom bezpiecze\u0144stwa.<\/p>\n\n\n\n

Gdzie jest w takim b\u0105d\u017a razie haczyk?<\/strong><\/p>\n\n\n\n

Statyczne przypisywanie VLANow do port\u00f3w, czyli najcz\u0119stszy b\u0142\u0105d konfiguracyjny sieci. Pos\u0142u\u017cmy si\u0119 przyk\u0142adem systemu IP CCTV, kt\u00f3ry jest spotykany w wi\u0119kszo\u015bci firm, a proces instalacji i konfiguracji tych urz\u0105dze\u0144 w sieci wygl\u0105da nast\u0119puj\u0105co:<\/p>\n\n\n\n

    \n
  1. Administrator sieci tworzy VLAN dla sieci CCTV na ka\u017cdym prze\u0142\u0105czniku<\/li>\n\n\n\n
  2. Administrator przypisuje VLANy jako nietagowane (natywne) na portach do kt\u00f3rych maj\u0105 by\u0107 pod\u0142\u0105czone kamery CCTV.<\/li>\n\n\n\n
  3. Tak\u0105 list\u0119 przekazuje instalatorom CCTV<\/li>\n\n\n\n
  4. Instalatorzy odszukaj\u0105 konkretny prze\u0142\u0105cznik i konkretny port na prze\u0142\u0105czniku. Wpinaj\u0105 do prze\u0142\u0105cznika instalowane urz\u0105dzenie.<\/li>\n\n\n\n
  5. Urz\u0105dzenia dzia\u0142a<\/li>\n<\/ol>\n\n\n\n

    Na tym proces instalacji kamer jest sko\u0144czony oraz (w wi\u0119kszo\u015bci przypadk\u00f3w) monitoring i weryfikacja ruchu takiego urz\u0105dzenia nie jest nigdy przeprowadzana.<\/p>\n\n\n\n

    Niestety problemy zaczynaj\u0105 si\u0119 w przypadku remont\u00f3w, niesfornych pracownik\u00f3w przek\u0142adaj\u0105cych kable, zmianach w infrastrukturze lub zmianach samych administrator\u00f3w. Urz\u0105dzenia zmieniaj\u0105 swoje miejsce pod\u0142\u0105czenia na prze\u0142\u0105czniku, generuj\u0105c nie tylko problem w ich utrzymaniu ale tworz\u0105c tak\u017ce luki bezpiecze\u0144stwa. Nagle okazuje sie, \u017ce urz\u0105dzenia np. laptopy korporacyjne znajduj\u0105 si\u0119 nagle w tym samym VLANie co kamera CCTV.<\/p>\n\n\n\n

    W jaki spos\u00f3b kamera CCTV mo\u017ce stanowi\u0107 zagro\u017cenie?<\/strong><\/p>\n\n\n\n

    Na wst\u0119pie: Nie tylko kamera CCTV mo\u017ce stanowi\u0107 zagro\u017cenie dla sieci korporacyjnej, ale ka\u017cde inne urz\u0105dzenie IoT, kt\u00f3rych w ka\u017cdej firmie a nawet domu jest coraz wi\u0119cej:<\/p>\n\n\n\n