Bezpieczeństwo sieci

• Rozróżnisz poufność, integralność i dostępność oraz ocenisz kompromisy między nimi.
• Powiążesz aktywo, zagrożenie, podatność, ryzyko, zabezpieczenie i właściciela ryzyka.
• Przygotujesz checklistę bezpiecznej konfiguracji urządzenia lub usługi.
• Zaprojektujesz segmentację oraz macierz minimalnych przepływów między strefami.
• Wyjaśnisz uwierzytelnianie, autoryzację, accounting i cykl życia konta.
• Oddzielisz administrację i monitoring od autoryzowanego testowania bezpieczeństwa.

Wymagania wstępne

• VLAN i routing
• TCP/UDP i porty
• Podstawy Wi-Fi

Model CIA opisuje trzy podstawowe cele ochrony. Nie jest listą urządzeń, lecz sposobem zadawania pytań o dane i usługi: kto może je odczytać, kto może je zmienić i kiedy muszą być dostępne.

Cele CIA zależą od siebie, ale ich maksymalizacja jednocześnie bywa niemożliwa. Dodatkowe uwierzytelnianie wzmacnia poufność, lecz źle zaprojektowane może utrudnić dostępność. Bardzo szeroka replikacja poprawia odporność, lecz zwiększa liczbę miejsc przechowujących dane.

Ryzyko nie jest synonimem podatności. Podatność może istnieć bez istotnego wpływu, a ryzyko może wynikać z błędu procesu, awarii lub zależności od dostawcy, nie tylko z ataku.

Ocena jakościowa może używać skal niskie, średnie i wysokie, ale kryteria muszą być zapisane. Po wdrożeniu zabezpieczeń ponownie oceń ryzyko resztkowe i uzyskaj decyzję właściciela: redukcja, unikanie, przeniesienie albo świadoma akceptacja.

• Zapisz stan bazowy i sposób cofnięcia zmiany przed modyfikacją urządzenia.
• Najpierw zapewnij działający, bezpieczny kanał administracyjny, a dopiero potem wyłączaj stary.
• Potwierdź dostęp z właściwej stacji zarządzającej oraz brak dostępu z sieci użytkowników.
• Nie umieszczaj prawdziwych sekretów w zrzutach ekranu, raportach, plikach konfiguracyjnych ani historii poleceń.
• Po zmianie sprawdź usługę, logi, czas, kopię i procedurę awaryjną.

W sieci bezprzewodowej stosuj WPA3, a gdy wymaga tego zgodność klientów — poprawnie skonfigurowane WPA2. Wyłącz przestarzałe mechanizmy i rozdziel sieć gościnną od zasobów wewnętrznych.

VPN site-to-site łączy sieci, a VPN zdalnego dostępu pojedynczego użytkownika. Rzeczywiste bezpieczeństwo zależy od uwierzytelniania, MFA, algorytmów, zarządzania kluczami, aktualizacji, DNS i polityki tras. Samo słowo VPN nie gwarantuje ochrony wszystkich danych.

• Przeanalizuj wpływ split tunnelingu na trasę ruchu i kontrolę urządzenia końcowego.
• Ogranicz dostęp zdalny do wymaganych stref oraz rejestruj zestawienie sesji.
• Chroń klucze, profile VPN i procedury odzyskiwania tak samo jak konta administracyjne.

Lista kontroli dostępu opisuje, jaki ruch ma zostać przepuszczony albo odrzucony. Reguła może uwzględniać źródło, cel, protokół i port. Na interfejsie ruch przychodzący (inbound) jest oceniany po wejściu do urządzenia, a wychodzący (outbound) przed opuszczeniem go.

Urządzenie sprawdza wpisy od góry i stosuje pierwsze dopasowanie. W typowej ACL Cisco na końcu istnieje niejawne odrzucenie, dlatego brak jawnego zezwolenia może zatrzymać również prawidłowy ruch. Reguły projektuj od najbardziej szczegółowych do ogólnych i weryfikuj w kontekście konkretnego interfejsu oraz kierunku.

Przykład dotyczy fikcyjnego, izolowanego laboratorium. Interfejs GigabitEthernet0/1 jest przykładowym interfejsem warstwy trzeciej od strony VLAN-u użytkowników. Przed wdrożeniem na innym urządzeniu sprawdź składnię, punkt zastosowania oraz drogę ruchu powrotnego.

ip access-list extended UZYTKOWNICY-IN
 remark HTTPS do serwera aplikacji
 permit tcp 192.168.20.0 0.0.0.255 host 192.168.10.50 eq 443
 remark DNS do resolvera
 permit udp 192.168.20.0 0.0.0.255 host 192.168.10.53 eq domain
 deny ip 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255 log
 permit ip 192.168.20.0 0.0.0.255 any

interface GigabitEthernet0/1
 ip access-group UZYTKOWNICY-IN in

show ip access-lists UZYTKOWNICY-IN
show ip interface GigabitEthernet0/1

Komunikacja między VLAN-ami wymaga funkcji L3. To właśnie na routerze, switchu L3 albo firewallu można egzekwować politykę. Zasada deny by default oznacza odrzucenie ruchu, który nie ma udokumentowanego uzasadnienia, a następnie dodawanie minimalnych wyjątków.

Macierz jest wymaganiem, nie gotową konfiguracją konkretnej platformy. Dla każdego wyjątku zapisz właściciela, uzasadnienie, kierunek, protokół, port, termin przeglądu i sposób weryfikacji.

Zasada najmniejszych uprawnień (least privilege) ogranicza dostęp do niezbędnego zakresu i czasu. Konto administracyjne powinno być oddzielone od konta używanego do poczty i codziennej pracy.

• Utwórz konto po zatwierdzeniu właściciela i roli; nie współdziel kont administracyjnych.
• Nadaj minimalne uprawnienia, włącz MFA i przekaż sekret bezpiecznym kanałem.
• Stosuj długie, unikalne hasła oraz menedżer haseł zgodny z polityką organizacji.
• Zmieniaj uprawnienia przy zmianie roli, a konta nieużywane blokuj.
• Po odejściu użytkownika niezwłocznie blokuj konto, unieważniaj sesje, klucze i tokeny.
• Okresowo przeglądaj właścicieli, role, konta techniczne, wyjątki i daty ostatniego użycia.

IEEE 802.1X definiuje kontrolę dostępu opartą na portach. Supplicant działa po stronie klienta, authenticator pośredniczy na switchu lub AP, a serwer uwierzytelniania, często RADIUS, podejmuje decyzję.

NAC może łączyć tożsamość, stan urządzenia i dynamiczne przypisanie polityki. Port security, DHCP snooping, Dynamic ARP Inspection oraz BPDU Guard są funkcjami zależnymi od platformy i wymagają poprawnej topologii zaufania.

• Nie włączaj ochrony warstwy 2 bez zdefiniowania portów zaufanych i scenariusza awaryjnego.
• Przygotuj kontrolowaną politykę dla urządzeń, które nie obsługują 802.1X.
• VLAN ogranicza zasięg ruchu, lecz nie zastępuje uwierzytelniania i filtrowania.

Ta lekcja pozostaje mapą podstaw: CIA, ryzyko, hardening, segmentacja, kontrola dostępu i odpowiedzialność. Szczegółowe zagadnienia są rozwinięte w powiązanych lekcjach, aby nie powielać tej samej teorii na jednej bardzo długiej stronie.

• Zagrożenia i ochrona sieci: symptomy, źródła danych, prewencja, reakcja i ograniczenia wnioskowania.
• Zarządzanie podatnościami: aktywa, CVE, CVSS, priorytety, poprawki, wyjątki i ryzyko resztkowe.
• Kryptografia, TLS i VPN: mechanizmy, certyfikaty, zaufanie oraz cykl życia kluczy.
• Monitoring bezpieczeństwa: NIDS/HIDS, IDS/IPS, Syslog, SIEM, korelacja i triage.
• Reagowanie na incydenty: role, dowody, chronologia, ograniczenie, odtworzenie i wnioski.
• Odporność i odtwarzanie: backup 3-2-1, RPO/RTO, HA, BCP i disaster recovery.

• Traktowanie VLAN-u, NAT-u albo VPN jako kompletnego zabezpieczenia.
• Dodawanie szerokiego allow any bez właściciela, uzasadnienia i terminu przeglądu.
• Pozostawianie domyślnych kont, Telnetu, HTTP lub SNMPv2c po zakończeniu wdrożenia.
• Używanie jednego konta administratora przez cały zespół i brak wiarygodnego audytu.
• Tworzenie kopii, której nigdy nie odtworzono, albo przechowywanie jej razem z produkcją.
• Skanowanie lub przechwytywanie ruchu bez jednoznacznej zgody i zdefiniowanego zakresu.

• Potwierdź ścieżkę pakietu, interfejs i kierunek zastosowania polityki.
• Porównaj źródło, cel, protokół i port rzeczywistego ruchu z regułą oraz jej maską wildcard.
• Sprawdź kolejność wpisów i liczniki dopasowań; zerowy licznik może wskazywać zły punkt zastosowania.
• Zweryfikuj trasę powrotną i stan sesji, zanim uznasz filtr za jedyną przyczynę.
• Testuj osobno ruch, który ma być dozwolony, i ruch, który ma pozostać zablokowany; nie usuwaj ochrony przez szerokie allow any.

Inwentaryzacja, aktualizacja, przegląd logów i weryfikacja własnej konfiguracji są działaniami administracyjnymi. Skanowanie, testowanie podatności lub przechwytywanie szerszego ruchu wymaga jawnej autoryzacji, określonego celu, zakresu, czasu i właściciela systemu.

Ćwiczenia w tym kursie dotyczą wyłącznie własnych maszyn i sieci laboratoryjnych albo środowiska objętego pisemną zgodą. Nie obejmują omijania zabezpieczeń, utrzymywania dostępu ani pozyskiwania cudzych danych.

Dla segmentów Administracja, Pracownicy, Goście i CCTV przygotuj macierz minimalnych przepływów oraz odpowiadającą jej kolejność wpisów ACL. Wskaż interfejs i kierunek zastosowania, regułę końcową, testy pozytywne i negatywne oraz procedurę cofnięcia. Nie publikuj gotowej konfiguracji z prawdziwymi adresami ani sekretami.

1. Dla małego biura wskaż po jednym naruszeniu poufności, integralności i dostępności oraz zabezpieczenie ograniczające skutek.
2. Uzupełnij analizę ryzyka dla utraty laptopa administratora: aktywo, zagrożenie, podatność, skutek, zabezpieczenia i właściciel.
3. Przygotuj checklistę hardeningu nowego switcha obejmującą dostęp, aktualizacje, usługi, czas, logi, kopie i sekrety.
4. Rozszerz macierz ruchu o serwer kopii zapasowych i uzasadnij każdy dozwolony kierunek.
5. Opisz cykl konta pracownika zmieniającego dział, a następnie odchodzącego z organizacji.
6. Wyjaśnij, które elementy planowanego ćwiczenia Nmap wymagają wcześniejszej autoryzacji.
7. Na podstawie przykładowej ACL przewidź, które wpisy zwiększą liczniki dla HTTPS, DNS i próby dostępu do innego hosta w VLAN 10.
8. Zmień wyłącznie dokumentację reguł tak, aby Goście mieli DNS i Internet, ale nie mieli dostępu do sieci wewnętrznych; zapisz test i rollback.

• Cele CIA pomagają oceniać skutki decyzji, ale wymagają świadomych kompromisów.
• Ryzyko łączy aktywo, scenariusz zagrożenia, podatność, skutek i odpowiedzialnego właściciela.
• Hardening, segmentacja, deny by default, AAA, MFA, 802.1X, logi i kopie tworzą ochronę wielowarstwową (defence in depth).
• Testy bezpieczeństwa i analiza ruchu są dopuszczalne wyłącznie we własnym lub jednoznacznie autoryzowanym środowisku.

• CYB-05 — Korelacja logów i podstawy SIEM
• CYB-06 — Zabezpieczanie materiału: logi i PCAP
• CYB-04 — Zarządzanie podatnościami i priorytetyzacja ryzyka
• VLAN i trunking 802.1Q
• Zagrożenia i ochrona sieci
• Zarządzanie podatnościami
• Kryptografia, TLS i VPN
• Monitoring bezpieczeństwa, IDS/IPS i SIEM
• Reagowanie na incydenty
• Odporność i odtwarzanie
• Rozpoznanie sieci za pomocą Nmap
• Monitoring i zarządzanie
• Analiza ruchu w Wiresharku
• Projektowanie sieci
• QoS i jakość transmisji

• NIST Cybersecurity Framework 2.0
• CISA — Cybersecurity Best Practices
• IEEE 802.1X-2020 — Port-Based Network Access Control
• Wi-Fi Alliance — Security
• RFC 7296 — IKEv2
• Cisco — Configure Commonly Used IP ACLs