În securitatea cibernetică există o diferență importantă între a cunoaște conceptele și a proiecta efectiv o infrastructură care trebuie să funcționeze în producție.
La Smart Telecom Media, abordăm securitatea din perspectiva integratorului: rețea, servere, telecomunicații, VoIP, aplicații, hardware și fluxuri reale de date.
Nu pornim de la întrebarea:
„Ce echipament trebuie să cumpărăm?”
Pornim de la:
„Ce trebuie să fie accesibil, de către cine și din ce zonă a rețelei?”
BREAK 1 — Un exemplu simplu
Să presupunem că o companie are:
- un server web;
- un sistem IP PBX;
- calculatoare pentru angajați;
- telefoane IP;
- echipamente IoT;
- acces VPN pentru administratori.
O configurație slab controlată poate expune inutil servicii către Internet.
O arhitectură bine proiectată aplică principiul:
DENY BY DEFAULT
Totul este blocat implicit.
Se permit numai fluxurile necesare funcționării companiei.
De exemplu:
Internet → Server Web: HTTPS permis
Internet → SSH: blocat
Internet → PBX: permis doar din sursele autorizate
Administrare → Servere: doar prin VPN
IoT → Servere: acces restricționat
Guest Wi-Fi → LAN: blocat
BREAK 2 — Firewall-ul nu înseamnă doar hardware
Pe piață există platforme consacrate de securitate și echipamente dedicate foarte performante.
Dar securitatea unei infrastructuri nu este dată exclusiv de cutia instalată în rack.
Contează:
arhitectura
regulile
segmentarea
serviciile expuse
monitorizarea
administrarea
În anumite infrastructuri, un sistem hardware existent poate fi transformat într-o platformă Linux dedicată pentru securitate.
Nu pentru că Linux ar fi „magic”, ci pentru că oferă administratorului un nivel ridicat de control asupra traficului și politicilor implementate.
BREAK 3 — Telefonia IP este un exemplu foarte bun
Un sistem VoIP poate avea nevoie de:
- SIP;
- RTP;
- acces către operatori;
- management;
- provisioning;
- DNS;
- NTP.
Asta nu înseamnă că toate aceste servicii trebuie expuse întregului Internet.
O regulă poate spune, de exemplu:
SIP este acceptat numai de la IP-urile operatorului.
Alta:
interfața de administrare nu poate fi accesată din Internet.
Alta:
SSH este disponibil numai prin VPN.
Iar traficul RTP poate fi limitat strict la infrastructura care trebuie să îl utilizeze.
Acesta este controlul real al rețelei.
BREAK 4 — Segmentarea contează
O rețea modernă nu ar trebui tratată ca o singură zonă în care toate dispozitivele pot comunica liber între ele.
Putem avea separat:
VLAN SERVER
VLAN VOIP
VLAN USERS
VLAN IoT
VLAN CCTV
VLAN GUEST
VLAN MANAGEMENT
Apoi firewall-ul decide cine poate comunica și cu cine.
Un dispozitiv compromis din rețeaua Guest nu ar trebui să poată ajunge la serverele companiei.
Un echipament IoT nu ar trebui să primească automat acces la întreaga infrastructură.
BREAK 5 — Exemplu de politică
În loc de:
„Permitem traficul și blocăm ulterior ce pare periculos.”
putem construi:
„Blocăm traficul și permitem explicit numai ce este necesar.”
Această diferență aparent simplă poate schimba radical suprafața de atac a unei infrastructuri.
Securitatea trebuie să fie parte din infrastructură
O aplicație PHP, Java sau orice altă platformă software poate avea vulnerabilități.
Un server poate fi configurat greșit.
Un serviciu poate rămâne expus accidental.
Un firewall nu înlocuiește securitatea aplicației, dar poate limita foarte mult ceea ce este accesibil și din ce surse poate fi accesat.
De aceea securitatea trebuie gândită pe mai multe niveluri:
aplicație → sistem de operare → rețea → firewall → acces administrativ → monitorizare
Experiență practică, nu doar configurații standard
La Smart Telecom Media, experiența în telecomunicații, rețelistică, servere, VoIP, integrare hardware și dezvoltare software ne permite să analizăm securitatea ca parte a întregului sistem.
Nu considerăm firewall-ul un produs izolat.
Îl considerăm o componentă a arhitecturii.
Proiectăm și implementăm soluții Linux pentru:
- firewall și filtrare;
- VPN;
- segmentarea rețelelor;
- controlul traficului;
- protecția serverelor;
- infrastructuri VoIP și SIP;
- separarea zonelor de securitate;
- integrarea infrastructurilor IT și telecom;
- jurnalizare și monitorizare.
Concluzie
În securitate, tehnologia este importantă.
Dar modul în care este proiectată și configurată este la fel de important.
Un firewall nu trebuie să permită ceea ce încearcă Internetul să acceseze.
Trebuie să permită ceea ce organizația a decis că este necesar.
Pentru companiile care doresc să își evalueze infrastructura existentă, Smart Telecom Media poate analiza serviciile expuse, segmentarea rețelei și politicile actuale de acces și poate propune o arhitectură adaptată mediului tehnic existent.