Безопасность сети предприятия

vlan, 802.1x

Начни отсюда:

most popular security vulnerabilities

Спасибо за ответ, но это основы... теорию я знаю, а мне нужны готовые варианты решения организации безопасности сети предприятия, соответствующие современным реалиям.

Либо ты нифига не знаешь, либо перечисли конкретно свои теоретические знания.

Короче говоря, нужна толковая статья где будет описано идеальное решение в области организации безопасности сети. Гугл пока дает либо рекламу какого нибудь оборудования или статьи про отдельные нюансы безопасности.

Нет идеального решения. Есть нагромождения проблем и компромиссных решений. Поэтому в расейской практике принято формулировать модель угроз информационной системы, а после решать задачу.

а мне нужны готовые варианты решения организации безопасности сети предприятия,

что то мне подсказывает что нифига ты не знаешь. Не думаю что кто либо сможет тебе чем то подсказать. Т.к. никто не знает твой топологии и т.д.

упрощенно так: подсесть на винду и заниматься потом обновлениями антивирусного ПО

гугли про nsm (network security monitoring). http://www.amazon.com/Practice-Network-Security-Monitoring-Understanding/dp/1...

Спасибо за ответ. В принципе я нашел то, что искал... несколько статей и видео лекций. Но этот вопрос оказался столь сложным, что я даже и не ожидал... 15 лет назад все было проще.

несколько статей и видео лекций

А можно ссылочки, пожалуйста :) Тред популярный — 5 подписчиков.

Вот видео по Cisco ISE http://www.youtube.com/watch?v=tETm4ZetAuw

Вот лекции «Основы эксплуатации сетей и сетевой безопасности» http://rutracker.org/forum/viewtopic.php?t=4187707

Использование стандарта IEEE 802.1x в сети передачи данных http://habrahabr.ru/post/138889/

Спасибо.

http://www.cisco.com/c/en/us/products/security/solution-listing.html

Решения от Cisco как всегда хороши, но стоят как Боинг! Интересно, а есть ли свободные аналоги подобных решений?

Ты чего такой тупой? Или в гугле забанили?

Врядли. Для того чтобы свободные аналоги внедряли как решения они должны быть сравнимого качества и покрытия по технологиям. Достичь этого реально только если решение начнут ставить в реальные сети и постепенно оно вырастет в более менее приемлемый продукт.

Да и какие свободные аналоги файрволлам с интерфейсами в несколько 10к и коммутаторам с 100ками?

Я эту ссылку привел скорее как референс

современных средств обеспечения безопасности локальной сети предприятия

имени одного конкретного вендора. Там сейчас довольно интересные стеки технологий - ACI, SGT/SXP/Trustsec и т.п.

Проще всего, наверное, пойти на http://www.ciscolive.com выбрать заинтересовавшие треки с последнего event и отсмотреть N материалов.

Глупости. Безопасность - это комплекс решений, который зависит от того что и от чего защищать. Пишешь список рисков, активов и как и от чего защищать и начинаешь защищать.

Безопасность это процесс. Можно начать с оценки активов, построения модели угроз и потом перейти к техническим мерам и далее снова по циклу.

Но в живом бизнесе, нередко начинают именно с рассмотрения технических мер. Построить модель угроз для чего-нить сложнее птицефабрики - задача весьма нетривиальная. Пока будуте ее решать регуляторы и аудиторы с дерьмом смешают. Так что, частенько, сначала внедряют технические меры (достаточные чтоб пройти аудит) потом крутят цикл дальше.

Средне статическое предприятие на 100-200 рабочих мест в России это как правило - AD (жесткие групповые политики) + антивирус (обычный и почтовый) + регулярные обновления ОС и софта + резервное копирование + vpn/rdp/vnc и пожалуй надежда, что все защищено.

Ну тут и вопрос не встает о безопасности тогда. Какие еще там модели угроз и прочие заумные штуки. Оно кстати не только в России так... оно так везде.

Нет безопасности. Фигня это все, за последние полгода не видел ни одного шифровальшика, который бы определялся хоть каким-то антивирем (несколько десятков я залил на вирустотал вторым, первым видимо был их автор), операционки с любыми обновлениями дырявы по определению (а сколько кривых обновлений МС начало фигачить, хоть не ставь вообще), винды любых версий лечить уже бесполезно, там векторов столько, что их уже ничем не закрыть, с линем лишь немного лучше, блокировать USB тоже не решает - на разрешенной флешке/фотоаппарате/телефоне заразу принесут в виде pdf, doc и пр. - политики AD дружно идут лесом. Терминалка с тонкими позволяет грохнуть всё всем и сразу.
Вырой бункер, отбирай все и раздевай на входе, обруби внешнюю связь, а потом все равно купишь какой-нить леново с суперфишем или флешку, инфицированную на заводе, а пользователи в полостях тела проносить начнут и оправданий найдут.

Правильно, вот к этому я разговор и веду. Системный администратор настроил все вышеперечисленное и хлопает в ладоши, думая что все защищено. Пользователи продолжают есть кактус в условиях жестких групповых политик, мощность компьютеров идет на работу антивируса, но безопасности то нет! Другое дело например решения от Cisco, когда вся сеть это сенсор, система анализирует весь трафик и знает обо всем что происходит в сети, предупреждает оператора безопасности обо всех угрозах и аномалиях.

Ты продаван циски что-ли ?
В описанных мною вариантах, цисковксое решение - это первое что идет нафиг.

Совсем нет, но хочется чего то подобного и свободного.

Это только часть, ещё тут забыто про сетевую безопасность - это тоже огромный кусок.

Это крайности. Если у тебя работа с гос.тайнами, либо ворочаешь миллиардами, то это может быть оправдано.

Поэтому надо к безопасности комплексно подходить, надо не технические решения брать, а сначала узнать, чего компания реально хочет. Надо сесть и написать огромный документ, где перечислишь все угрозы, риски, как их снизить. Без такого тщательного анализа нужд бизнеса - это всё диванная аналитика.

ну установи себе Snort

Вот это уже интереснее, но за Snort тоже Cisco стоит.

что ты такой капризный? Сначала ты за отзываешься хорошо о Цыске а потом ворочишь носом когда слышишь о снорте.

Как будто эти «шифровальщики» вообще кто-то видел? Да и остальную вирусню - где она есть то? Ну хомячков может и бывает изредка.

Если сотрудников заставить работать на работе, а не фапать в интернете - хрен вы увидите всю эту чернуху.

Бекапы конечно должны быть, мыло должно быть своё и проверяться на всё. Деплоймент приложений централизованный, трафик между пользовательскими компами запрещен, в инет через прокси.

мыло должно быть своё и проверяться на всё.

Читать умеешь ?

за последние полгода не видел ни одного шифровальшика, который бы определялся хоть каким-то антивирем (несколько десятков я залил на вирустотал вторым, первым видимо был их автор)

Без такого тщательного анализа нужд бизнеса - это всё диванная аналитика.

Ты мне будешь учить делать мою работу ? :) Мы продаем эти услуги. Ни одного потерянного байта, ни одной взломанной сети. При этом нет ни одного эффективного Ынтырпрайз решения (да и снорт идет на помойку - логи пухнут моментом, херли с них толку, когда и ежу понятно, что атаки постоянно идут ?) и не может быть, потому что описанное мною выше - проблемы людей, а не техники. Из серии, запретишь флешки - в жопе проносить начнут.

Емнип, циска его взяла поматросить, чтобы свое с нуля не писать, к тому времени им уже не шибко пользовались.

Конечно «не видел» - их никто не видит. Тока если по помойкам шариться, но такие проблемы никому не интересны.

Рад за тебя и твой диван. На котором ты не являешься целью и не наблюдаешь, как атакующие по разным векторам пытаются к тебе подобраться.

60K эмплоев :) Мой диван меня устраивает :)

Охотно верю.

Не обязательно быть крутым специалистом, чтобы продавать услуги низкого или среднего качества.

Часто эффект Неуловимого Джо даёт о себе знать.

«Видишь суслика? А он есть!» (с)

Не обязательно быть крутым специалистом, чтобы продавать услуги низкого или среднего качества.

Еще раз - ни одного потерянного байта, ни одной взломанной сети.

Часто эффект Неуловимого Джо даёт о себе знать.

С начала года два инцидента с признаками целенаправленных атак (векторы требовали довольно тщательной подготовки) по паре объектов: оптовый бизнес с филиалами в крупных городах РФ и производитель технологичного оборудования для отраслей, смежных с военными.
Технических подробностей не дам, не настолько дурак, далее умолкаю, измышляйте все чего вам угодно.

Еще раз - ни одного потерянного байта, ни одной взломанной сети.

И всё потому что ты у нас такой крутой спец. Не так ли?

1. Моё видение безопасного десктопа.

Сервер https://grsecurity.net/ Очень кратко здесь: https://en.wikibooks.org/wiki/Grsecurity/Appendix/Grsecurity_and_PaX_Configur... Если плотят и требуют то можно RBAC на базе gradm.

2. Сетевая безопасность.

Отдельный административный VLAN управления и мониторинга для всего активного оборудования и серверов. Дробить сеть VLAN (по отделам и уровню доступа как минимум) и сетевым экраном фильтровать весь проходящий в обе стороны трафик. Лучше PF c OpenBSD. VPN через все неконтролируемые сети + шифрованные все сервисы. Выход в инет запретить. Где необходим то через проксю с HAVP+ClamAV и по белому списку - Squid+SquidGuard, как наружный крайниим в цепочке можно ставить privoxy.

Вместо snort и решений от Cisco или по верху них - NOC FM

3. Перед тем как что-то покупать с оборудования необходимо чётко решить необходимость гос сертификации в будущем. Если необходима сертификация, то брать только сертифицированное надлежащим образом оборудование.

с линем лишь немного лучше, блокировать USB тоже не решает - на разрешенной флешке/фотоаппарате/телефоне заразу принесут в виде pdf, doc и пр. - политики AD дружно идут лесом. Терминалка с тонкими позволяет грохнуть всё всем и сразу.

потому что описанное мною выше - проблемы людей, а не техники. Из серии, запретишь флешки - в жопе проносить начнут.

Проблема с руководителем, при его желании порядок с флешками можно навести техническими методами:

1. Настройками в BIOS и установкой административного пароля на его изменения.

2. Настройки ядра ОС CONFIG_GRKERNSEC_DENYUSB + /etc/sysctl.conf «kernel.grsecurity.deny_new_usb = 1»

или даже CONFIG_GRKERNSEC_DENYUSB_FORCE

3. Пассатижи + вандализм матплаты.

Тонкие клиенты не использовал. Что делать с парком старых ПК? Использую толстые клиенты!!! Выкидываю диски и компы грузятся по сети.

http://www.cybersecurity.ru/telecommunication/87020.html

Это ж срач про snmp да еще и от 2010 года.

Если можно пронести мобилу, это все не поможет. Да и без мобилы инфу можно вынести.

Сновден прямо сказал: «Циски АНБ бекдорит» :) Juniper не отстаёт от Cisco.

Но стоит помнить что Китай тоже бекдорит Huawei и шпионит. ZTE не отстаёт от Huawei.

Вывод: используйте в своих сетях оборудование произведённое в РФ, благо можно купить.

запретишь флешки - в жопе проносить начнут

Так жопа - это уже другого ведомства забота. Не ИБ.

Если можно пронести мобилу, это все не поможет. Да и без мобилы инфу можно вынести.

К USB не подключишь, WiFi & Bluetoth отсутствуют.

Как вынести инфу? Ну кроме фоток экрана и бумажных документов.. Против фотографирования можно поставить камеры и обязать следить внутреннюю службу безопасности, обыскивать на выходе чтобы бумажки не вынесли, окна заколотить. ;)

Так толсто что даже не тонко.

Как там насчет российского коммутатора с 100ками?