Budowa bezpiecznej sieci w małych jednostkach Artur Cieślik

Budowa bezpiecznej sieci w małych jednostkach Artur Cieślik

Budowa bezpiecznej sieci w małych jednostkach Prowadzący: mgr inż. Artur Cieślik a r t u r. c i e s l i k @ b e z p i e c z e n s t w o i t. c o m. p l

IT- P r o b l e m y d o r o z w i ą z a n i a Mała jednostka jeden lub dwóch administratorów Wielozadaniowość jeden administrator i wiele specjalizacji Gaszenie pożarów zajmuje większość czasu administratora Brak integracji Bezpieczeństwo 3 a r t u r. c i e s l i k @ b e z p i e c z e n s t w o i t. c o m. p l

I T c e l e d l a m n i e j s z y c h j e d n o s t e k Automatyzacja zadań administratora Częściowa integracja z systemem bezpieczeństwa Przebudowa sieci z uwzględnieniem istniejących składników sprzętowo-programowych Nadzór nad użytkownikiem sieci 4 a r t u r. c i e s l i k @ b e z p i e c z e n s t w o i t. c o m. p l

I T i n f r a s t r u k t u r a Struktura sieci obecnie Dział IT zajmuje się głównie pracą operacyjną i gaszeniem pożarów Użytkownicy są ograniczeni tylko częściowo zasadami przetwarzania Rozproszenie Brak centralizacji Problemy z nadzorem nad zmianami, konfiguracja i aktualizacjami 5 a r t u r. c i e s l i k @ b e z p i e c z e n s t w o i t. c o m. p l

I T i n f r a s t r u k t u r a Struktura sieci obecnie Częściowo wdrożone centralne systemy zarządzania dostępem System bezpieczeństwa jest rozproszony i niezintegrowany 6 a r t u r. c i e s l i k @ b e z p i e c z e n s t w o i t. c o m. p l

I T i n f r a s t r u k t u r a Struktura sieci po przebudowie Użytkownicy stosują zasady i polityki Centralizacja zarządzania dostępem i administracją systemami Częściowo zintegrowany system bezpieczeństwa Centralny system zarządzania dostępem z wykorzystaniem dodatkowych baz identyfikatorów (lokalnych dla aplikacji) Częściowy nadzór nad zmianami, konfiguracją i aktualizacjami 7 a r t u r. c i e s l i k @ b e z p i e c z e n s t w o i t. c o m. p l

P l a n b u d o w y s i e c i w j e d n o s t c e Określenie stanu obecnego Wiedza o słabościach systemu Sprawdzenie obecnych możliwości Utworzenie schematu sieci Rodzaje informacji w systemie teleinformatycznym Miejsca przetwarzania danych chronionych Wymagania zabezpieczeń 8 a r t u r. c i e s l i k @ b e z p i e c z e n s t w o i t. c o m. p l

P l a n b u d o w y s i e c i w j e d n o s t c e Określenie stanu obecnego Wiedza o słabościach systemu Sprawdzenie obecnych możliwości Utworzenie schematu sieci Rodzaje informacji w systemie teleinformatycznym Miejsca przetwarzania danych chronionych Wymagania zabezpieczeń 9 a r t u r. c i e s l i k @ b e z p i e c z e n s t w o i t. c o m. p l

P l a n b u d o w y s i e c i w j e d n o s t c e Uwzględniamy odpowiednie zabezpieczenia i funkcje pozwalające na kontrolę dostępu użytkowników do sieci wewnętrznej Opracowujemy ograniczenia korzystania z zasobów Internetu Automatyzujemy wykrywanie prób nieautoryzowanego dostępu z sieci publicznej do komputerów znajdujących się wewnątrz sieci jednostki 10 a r t u r. c i e s l i k @ b e z p i e c z e n s t w o i t. c o m. p l

P l a n b u d o w y s i e c i w j e d n o s t c e rodzaje baz danych, rodzaje aplikacji sieciowych, rodzaje redundancji, miejsca redundancji, ilość autonomicznych systemów operacyjnych, typy wykonywanych operacji, rodzaje systemów operacyjnych, urządzenia mobilne, 11 a r t u r. c i e s l i k @ b e z p i e c z e n s t w o i t. c o m. p l

P l a n b u d o w y s i e c i w j e d n o s t c e obecny stan sprzętu, pobór mocy podstawowej infrastruktury potrzebnej do utrzymania ruchu w organizacji. 12 a r t u r. c i e s l i k @ b e z p i e c z e n s t w o i t. c o m. p l

P l a n b u d o w y s i e c i w j e d n o s t c e Podstawa wybór infrastruktury centralnej Przełączniki. Niezarządzalne. Zarządzalne. Stackowalne. Bezprzewodowe punkty dostępowe Samodzielne. Centralnie zarzadzane. 13 a r t u r. c i e s l i k @ b e z p i e c z e n s t w o i t. c o m. p l

P l a n b u d o w y s i e c i w j e d n o s t c e Layer # Nazwa Rodzaj protokołu 7 Warstwa aplikacji NNTP, SIP, SSI, DNS, FTP, Gopher, HTTP, NFS, NTP, DHCP, SMPP, SMTP, SNMP, Telnet, 6 Warstwa prezentacji TDI, ASCII, EBCDIC, MIDI, MPEG, MIME, XDR, SSL, TLS 5 Warstwa sesji 4 Warstwa transportowa 3 Warstwa sieciowa Named Pipes, NetBIOS, SAP, Half Duplex,Full Duplex,Simplex,SDP, Sockets. Session establishment in TCP. SIP. TCP, UDP, PPTP, L2TP, Access control lists (ACL) TCP/UDP IP, IPsec, ARP, ICMP, RIP, OSPF, BGP, IGMP, IS-IS, DiffServ QoS, VLAN routing, Port routing, Access control lists (ACL) - MAC, IP, TCP, DHCP Server, Auto VoIP, OSPF v2/v3, RIP v1/v2, VRRP, ARP proxy 802.3 (Ethernet), 802.11a/b/g/n MAC/LLC, 802.1Q 2 Warstwa łącza danych (VLAN), ATM, PPP, CDP, PPP, SLIP, 802.1p Class of Service, 802.1D Spanning Tree Protocol, 802.1v Protocol VLAN & Port VLAN and MAC-based VLAN, 802.1w Rapid Spanning Tree, 802.3ad Link Aggregation (LACP), 802.1x port access authentication, LLDP, Voice VLAN, Guest VLAN, IP source guard 1 Warstwa fizyczna RS-232, V.35, V.34, I.430, I.431, T1, E1, 10BASE-T, 100BASE-TX, POTS, SONET, SDH,DSL, 802.11a/b/g/n PHY 14 a r t u r. c i e s l i k @ b e z p i e c z e n s t w o i t. c o m. p l

P l a n b u d o w y s i e c i w j e d n o s t c e Wykorzystanie funkcji sieciowych w urządzeniach L2, L2+, L3, L4 ACL RADIUS 802.1v 802.1Q LACP 15 a r t u r. c i e s l i k @ b e z p i e c z e n s t w o i t. c o m. p l

P l a n b u d o w y s i e c i w j e d n o s t c e 16 a r t u r. c i e s l i k @ b e z p i e c z e n s t w o i t. c o m. p l

P r z y k ł a d p r o j e k t u s i e c i w m a ł e j j e d n o s t c e Podział na cztery grupy: Administracyjna Hosty pracujące w sieci wewnętrznej Urządzenia w sieci bezprzewodowej Segment dla gości 17 a r t u r. c i e s l i k @ b e z p i e c z e n s t w o i t. c o m. p l

P r z y k ł a d p r o j e k t u s i e c i w m a ł e j j e d n o s t c e Podział na cztery VLANy np. 10, 20, 30, 40 VLAN10 segment administracyjny VLAN20 segment pracowniczy VLAN30 segment WLAN przypisany do wskazanego SSID VLAN40 segment dla gości 18 a r t u r. c i e s l i k @ b e z p i e c z e n s t w o i t. c o m. p l

P r z y k ł a d p r o j e k t u s i e c i w m a ł e j j e d n o s t c e Połączenia pomiędzy urządzeniami: Stack LACP LACP pozwala na zwiększenie prędkości Uzyskamy również zabezpieczenie w przypadku awarii części z połączeń wchodzących w skład linku zagregowanego 19 a r t u r. c i e s l i k @ b e z p i e c z e n s t w o i t. c o m. p l

P r z y k ł a d p r o j e k t u s i e c i w m a ł e j j e d n o s t c e Kontrola dostępu do LAN i WLAN 802.1X 802.1X działa na zasadzie blokady komunikacji z portu, do którego jest podpięty komputer lub inne urządzenie sieciowe do momentu właściwego uwierzytelnienia w serwerze RADIUS 802.1X pozwala na integrację uwierzytelniania urządzeń i użytkowników w sieci przewodowej i bezprzewodowej z Active Directory 20 a r t u r. c i e s l i k @ b e z p i e c z e n s t w o i t. c o m. p l

B e z p i e c z n y W L A N w m a ł e j j e d n o s t c e Dostępne protokoły i metody: WEP WPA WPA2 CCMP TKIP Uwierzytelnianie PSK Uwierzytelnianie RADIUS 21 a r t u r. c i e s l i k @ b e z p i e c z e n s t w o i t. c o m. p l

B e z p i e c z n y W L A N w m a ł e j j e d n o s t c e Bezpieczne protokoły i metody: WPA2 CCMP Uwierzytelnianie RADIUS 22 a r t u r. c i e s l i k @ b e z p i e c z e n s t w o i t. c o m. p l

DY S K U S J A artur.cieslik@bezpieczenstwoit.com.pl 23