Przejdź do głównej zawartości

8.22 Podział sieci

W skrócie: sieć jest podzielona na strefy, a ruch między nimi jest kontrolowany — włamanie do jednej strefy nie otwiera wszystkich.

Cel: podział sieci na granice bezpieczeństwa i kontrola ruchu między nimi według potrzeb biznesowych.

Atrybuty​

Typ atrybutuWartości
Typ zabezpieczenia#Preventive (prewencyjne)
Właściwości bezpieczeństwa informacji#Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność)
Koncepcje cyberbezpieczeństwa#Protect (ochrona)
Zdolności operacyjne#System_and_network_security (bezpieczeństwo systemów i sieci)
Domeny bezpieczeństwa#Protection (ochrona)

Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.

Wytyczne​

  • Duże sieci dzieli się na odrębne domeny i oddziela od sieci publicznej. Podział może opierać się na poziomie zaufania, krytyczności, wrażliwości, jednostkach organizacyjnych lub ich kombinacji.
  • Podział realizuje się przez fizycznie odrębne sieci lub logicznie (np. sieci VLAN, sieci wirtualne).
  • Granice każdej domeny są jasno zdefiniowane. Ruch między domenami jest dozwolony tylko przez kontrolowane bramy (np. zapory, routery filtrujące).
  • Kryteria podziału i dopuszczalnego ruchu wynikają z oceny wymagań bezpieczeństwa każdej domeny i polityki kontroli dostępu.
  • Sieci bezprzewodowe wymagają szczególnej uwagi, bo ich granica jest słabo określona. Dostęp z sieci bezprzewodowej do wewnętrznej traktuje się jak połączenie zewnętrzne, aż zostanie przepuszczony przez bramę.
  • Sieci gości oddziela się od sieci pracowników.

W praktyce​

Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.

  • Osobne segmenty dla serwerów, stacji roboczych, gości, drukarek, kamer, OT/ICS i zarządzania.
  • Mikrosegmentacja w centrum danych i chmurze (grupy zabezpieczeń, polityki sieciowe Kubernetes).
  • Regularny przegląd reguł zapory — reguły „any-any” i nieużywane wpisy są typowym ustaleniem audytu.

Powiązania​