Segmentacja dzieli sieć na strefy. Izolacja jest szersza i dlatego istotniejsza, niż wygląda na slajdzie z firewallem: trzyma porażkę w jednym miejscu. Konto, proces, host, kopia zapasowa i ścieżka administratora nie powinny padać jednym ruchem.
Pierwsze kliknięcie w załącznik rzadko jest końcem historii. Końcem jest układ, w którym to samo hasło lokalnego administratora działa na dwudziestu komputerach, kopia leży na udziale, który ten komputer może nadpisać, a panel hipernadzorcy otwiera się w tej samej przeglądarce, w której przed chwilą był ten załącznik.
Izolacja jest istotna, bo skraca listę rzeczy, które giną razem.
Gdzie jej zwykle nie ma
Pięć układów, które widuję częściej niż „płaską sieć” na rysunku:
- Jedno hasło administratora lokalnego na wszystkich hostach. Jeden odzyskany skrót otwiera resztę.
- Konto codzienne — to od poczty — w grupie administratorów. Przeglądarka ma wtedy prawa do systemu.
- Kopia na tym samym dysku albo na udziale, do którego produkcyjny użytkownik ma zapis. Zaszyfrowany serwer szyfruje też „backup”.
- RDP, SSH, iLO albo konsola wirtualizacji dostępne z sieci, w której ludzie czytają pocztę.
- Jeden komputer, na którym mieszkają poczta, token do VPN i konsola do serwerów.
Każdy punkt jest osobną decyzją. Razem znaczą: kompromitacja laptopa jest kompromitacją środowiska.
Co rozdzielić najpierw
Konto. Praca i administracja to dwa logowania. Administracja odbywa się bez poczty w tej samej sesji. Osobne stanowisko jest czystsze. Osobne konto na tym samym laptopie jest słabsze, ale i tak lepsze niż jeden login do wszystkiego.
Kopia. Zainfekowany host nie powinien umieć jej skasować. Inne poświadczenia, brak zapisu z sieci użytkowników, kopia, która nie jest podpięta na stałe. Wersja sprzed tygodnia, którą da się ruszyć tylko z innego konta, jest warstwą izolacji. Dysk „backup” podłączony na stałe do tego samego konta nią nie jest.
Podejrzany host. W incydencie izolacja znaczy: odciąć od sieci i zostawić dysk. Restart, „czyszczenie antywirusem” i logowanie się na niego z konta domenowego mieszają ślady i potrafią dopisać kolejne. Kolejność intake → decyzja jest w checkliście IR.
Plik, którego nie znasz. Osobna maszyna albo osobny profil. Nie ten sam pulpit, na którym jest skrzynka i dostęp do serwerów.
Lab i produkcja
W home labie izolacja jest tania. Osobna maszyna wirtualna, osobna sieć zarządzania, snapshot, którego gość nie rusza. Na produkcji zasada jest ta sama, a zmiana wolniejsza: najpierw rysunek, potem konto, potem kopia, na końcu „od dziś nikt nie jest administratorem, bo tak wygodniej”.
Segmentacja nadal jest potrzebna — bez niej laptop skanuje wszystko, co słychać w LAN. Sama segmentacja nie utrzyma środowiska, w którym administrator siedzi w tej samej sesji co przeglądarka, a jedyna kopia jest do zapisu dla tego samego użytkownika.