Lokalna mreža vaše kompanije postala je srce gotovo svega što radite.Pristup aplikacijama, dijeljenim datotekama, uslugama u oblaku, video pozivima, štampačima, IoT-u, ip kamere...i, naravno, Windows kao dominantni operativni sistem na računarima. Problem je što je ista ta lokalna mreža sada primamljiva meta za svakog čak i malo vještog napadača.
Nije dovoljno samo "instalirati antivirus i to je to"Poboljšanje sigurnosti vaše kompanije korištenjem Windows LAN mreža uključuje kombinovanje dobrih praksi dizajna mreže, kontrole pristupa, zaštite perimetra, pravilne konfiguracije Microsoft Entra usluga (ranije Azure AD) i - nešto što često zaboravljamo - discipline sa... rezervne kopije i upravljanje akreditivima. Pogledajmo, korak po korak, kako zaista osigurati modernu korporativnu lokalnu mrežu, a da pritom ne izgubite razum.
Šta je LAN mreža u modernom Windows poslovanju?
LAN (Lokalna mreža) je mreža koja povezuje uređaje u vašoj kancelariji ili preko više spratova/obližnjih zgrada, omogućavajući dijeljenje podataka, aplikacija, štampača, pristupa internetu i usluga u oblaku. Tipično Windows okruženje uključuje računare, servere, mrežne štampače, VoIP telefone, Wi-Fi pristupne tačke, IP kamere i sve veći broj IoT uređaja.
Većina trenutnih poslovnih lokalnih mreža koristi Ethernet kao svoju osnovnu tehnologiju.kombinovanje bakrenih ili optičkih kablova i, u mnogim slučajevima, Wi-Fi (WLAN). Kada se uređaji bežično povezuju, i dalje to nazivamo lokalnom mrežom, ali prema standardu IEEE 802.11, sa svim dodatnim rizicima bežične povezivosti.
U srednjim i velikim kompanijama, uobičajeno je da lokalna mreža (LAN) nije jedna "ravna supa".
Nekoliko podmreža i VLAN-ova raspoređeno je u odvojene odjele, kritične servise (servere, kontrolere domena, kamere, IP telefoniju...) i zone za goste, a upravljani ruteri i prekidači se koriste za kontrolu protoka prometa i provođenje sigurnosnih politika.
Ključne komponente LAN mreže i kako one utiču na sigurnost
Sigurnost vaše lokalne mreže u Windowsu zavisi i od hardvera i od konfiguracije.Ovo su osnovni elementi koje morate imati pod kontrolom i dobro konfigurirati kako biste izbjegli ostavljanje vrata otvorenima za interne ili eksterne napadače.
- Kablovi i fizički medijStariji kablovi (kategorija 5/5e za velike udaljenosti) ne samo da ograničavaju brzinu, već mogu uzrokovati i greške u prijenosu i prekide veze koji maskiraju sigurnosne probleme ili otežavaju praćenje. Prelazak na Cat6, Cat6A ili više poboljšava performanse i stabilnost te smanjuje uska grla u kritičnim segmentima.
- PrekidačiOvo su uređaji koji povezuju svu opremu na lokalnoj mreži (LAN). Dobro konfigurisani upravljani prekidač vam omogućava kreiranje VLAN-ova, primjenu QoS-a, ograničavanje portova, otkrivanje petlji, omogućavanje 802.1X autentifikacije i još mnogo toga. Jeftin, neupravljani prekidač znači manje kontrole nad onim što se povezuje i koji promet teče kroz njega.
- Ruteri i zaštitni zidoviRuter je obično ulaz/izlaz za internet i često uključuje funkcije zaštitnog zida (firewall). Za poslovanje, idealno rješenje je imati namjenski zaštitni zid (fizički ili virtualni) koji jasno odvaja internu lokalnu mrežu od interneta, definira koji su portovi izloženi i primjenjuje inspekciju prometa i filtriranje sadržaja.
- Wi-Fi pristupne tačke (WAP)Ovo su ulazne tačke za mobilne telefone, laptope i IoT uređaje. Trebali bi biti konfigurisani sa robusnom enkripcijom (WPA2-Enterprise ili WPA3), centralizovanom autentifikacijom, odvojenim mrežama za goste i, ako je moguće, integracijom sa vašim pravilima za uslovni pristup Microsoft Entra.
- Mostovi i repetitoriMostovi, Wi-Fi produživači signala i repetitori signala proširuju domet mreže, ali ako su pogrešno konfigurirani, mogu stvoriti nekontrolirane i nenadzirane "fantomske" segmente. Ključno je da poštuju segmentaciju i nasljeđuju iste sigurnosne politike kao i ostatak LAN mreže.
- Windows serveri i kontroleri domenaDatotečni server, a posebno kontroleri domena Active Directory, koncentrišu akreditive, grupne politike i osjetljive podatke. Ako neko dobije RDP pristup kontroleru domena sa slabim akreditivima, doslovno može preuzeti kontrolu nad cijelom organizacijom.
- Klijentski računari sa WindowsomOni su veza gdje se tehnički i ljudski faktori najviše prepliću. Zastarjeli sistemiStari drajveri, zastarjeli antivirusni softver ili korisnici s lokalnim administratorskim privilegijama savršen su recept za bilo koji zlonamjerni softver koji manji incident može pretvoriti u katastrofu.
Uobičajene vrste napada na korporativne lokalne mreže
Korporativna lokalna mreža s operativnim sistemom Windows može patiti od svega, od vrlo bučnih napada do prikrivenih upada. koji mjesecima ostaju neotkriveni. Razumijevanje najčešćih vektora ključno je za dizajniranje efikasne odbrane.
- Napadi skeniranja i izviđanjaNapadač istražuje koji se uređaji nalaze na mreži, koji su portovi otvoreni i koji su servisi izloženi. Mogu koristiti TCP skeniranje, pregled portova i tehnike fragmentacije paketa kako bi pokušali zaobići neke filtere. Iako se ovi napadi na prvi pogled čine "bezopasnima", oni su preliminarna faza za stvarnu eksploataciju.
- Njuškanje i špijuniranje prometaS uređajem povezanim na pogrešno konfiguriran port preklopnika ili iskorištavanjem otvorene ili loše osigurane Wi-Fi mreže, napadač može uhvatiti LAN promet, promatrati vjerodajnice u običnom tekstu (ako se ne koristi TLS), sesije, interne adrese i obrasce ponašanja. U "snooping" načinu rada, napadač također može manipulirati ili izdvajati podatke za kasniju eksploataciju.
- Zlonamjerni softver i napadi modifikacije ili oštećenjaRansomware, trojanci i crvi iskorištavaju zastarjele Windows sisteme, račune s prekomjernim privilegijama i nedostatak segmentacije za šifriranje datoteka, krađu podataka ili manipuliranje kritičnim informacijama. Napadi poput manipulacije ili prevare podataka omogućavaju napadačima da mijenjaju računovodstvene zapise, baze podataka ili platne spiskove bez trenutnog otkrivanja.
- Krađa lozinke (probijanje lozinke)Ako su lozinke za domene slabe ili se ponovo koriste na različitim sistemima, napadi grubom silom ili napadi rječnikom mogu ih brzo probiti. Napadači također traže heševe lozinki na kontrolerima domene ili kompromitovanim radnim stanicama kako bi izvršili napade "pass-the-hash". Koristite upravitelje lozinki kao što su menadžeri lozinki kako bi se smanjila ponovna upotreba i olakšalo korištenje jedinstvenih akreditiva po usluzi.
- DNS spoofing i zlonamjerna preusmjeravanjaTrovanje internog ili eksternog DNS-a omogućava vam preusmjeravanje korisnika na lažne web stranice čak i ako upišu tačan URL. Ovo se može koristiti za hvatanje akreditiva, širenje zlonamjernog softvera ili lažno predstavljanje korporativnih aplikacija.
Osnovne najbolje prakse za osiguranje Windows LAN mreže
Početna tačka za osiguranje vaše lokalne mreže je implementacija vrlo jasnih mjera digitalne higijene. koji utiču na lozinke, ažuriranja, segmentaciju mreže i fizičku i logičku kontrolu pristupa opremi.
- Politika jakih lozinkiOva politika zahtijeva upotrebu dugih lozinki (minimalno 12 znakova) sa velikim i malim slovima, brojevima i simbolima, izbjegava upotrebu očiglednih ličnih podataka i konfiguriše razuman periodični istek. U Windows okruženjima, ovo se lako implementira putem objekata grupnih politika (GPO) na domeni. Dopunite ovu politiku upraviteljima lozinki kao što je [ovdje unesite naziv upravitelja lozinki]. KeepassXC.
- Snažna autentifikacija i verifikacija identitetaKombinuje korisničko ime i lozinku sa više faktora autentifikacije (MFA) i, gdje je to prikladno, biometrijskim podacima (otisak prsta, prepoznavanje lica) integrisanim u Windows Hello for Business. Što je teže lažno predstavljati korisnika, to napadač ima manje opcija za krađu pristupnih podataka.
- Ažurirani sistemiOdržavanje ažurnosti Windowsa, mrežnih drajvera, firmvera za prekidače, rutere i pristupne tačke, kao i serverskog softvera, je ključno. Mnogi napadi i dalje iskorištavaju stare ranjivosti za koje su zakrpe dostupne mjesecima ili godinama. Preporučljivo je iskoristiti prednosti provajdera koji nude zakrpe i revizije.
- Segmentacija LAN-aNije dobra ideja imati cijelu kompaniju na jednoj podmreži. Koristite VLAN-ove za odvajanje korisnika, servera, VoIP-a, kamera, IoT uređaja, gostiju i testnih okruženja. To otežava napadaču koji je kompromitovao jednu mašinu da se kreće bočno.
- Šifriranje osjetljivog prometaNameće upotrebu TLS-a u internim i eksternim aplikacijama (HTTPS, SMTPS, LDAPS, itd.), štiti udaljene veze robusnim VPN-ovima i koristi sigurne protokole za upravljanje uređajima (npr. SSH umjesto Telneta). Ovo sprečava da sniffer na LAN mreži "vidi" akreditive ili podatke u običnom tekstu.
Zero Trust Security: Zaštitite mrežni pristup uz Microsoft Entra i Global Secure Access
Filozofija nultog povjerenja zasnovana je na vrlo jednostavnoj ideji.Ne vjerujte automatski nijednom uređaju, korisniku ili lokaciji, čak ni ako se nalazi "unutar" lokalne mreže. Microsoft je ovaj pristup utjelovio u svojoj inicijativi Sigurna budućnost, posebno u okviru stupa "Sigurne mreže".
Za preduzeća koja koriste Windows i Microsoft usluge, Entra (ranije Azure AD)Ovo se prevodi u dodavanje nekoliko slojeva zaštite mreže i pristupa: kontinuirano praćenje sesija, kontrola nad tim odakle se korisnik povezuje, koju mrežnu rutu koristi i koju vrstu prometa generira. Tu do izražaja dolaze funkcije poput Global Secure Access, Microsoft Login Private Access i Conditional Access politika.
Konfigurišite imenovane lokacije u Microsoft Login ID-u Omogućava vam da odredite koje su korporativne mreže, filijale i regije legitimne i pouzdane. Bez ovih definicija, detekcija rizika zasnovana na lokaciji znatno lošije funkcioniše i povećava broj lažno pozitivnih rezultata, što otežava razlikovanje normalne prijave u kancelariju od sumnjivog pokušaja koji potiče iz anonimne VPN mreže ili zemlje u kojoj vaša kompanija čak ni ne posluje.
Ograničenja za zakupce v2 (TRv2) Oni su još jedan ključni stub: sprečavaju neovlaštene korisnike na vašoj lokalnoj mreži i korporativnim uređajima da se autentifikuju na eksternim Microsoft Entra zakupcima. Bez njih, neko sa ukradenim akreditivima mogao bi se povezati sa zakupcem pod svojom kontrolom i procuriti podatke putem eksternog OneDrive-a, SharePoint-a ili Teamsa, a da vaši tradicionalni DLP alati to ne otkriju.
Univerzalna kontinuirana evaluacija pristupa i detaljna kontrola sesija
U Windows okruženjima integriranim s Microsoft Entra-om, ključno je kontrolirati vijek trajanja pristupnih tokena.Uz Universal Access Continuous Assessment (Universal CAE), svaka mrežna veza zaštićena Global Secure Access-om se dinamički ponovo validira na osnovu kritičnih događaja.
Ako Univerzalni CAE nije omogućenUkradeni token može ostati važeći 60 do 90 minuta čak i nakon što korisnik promijeni lozinku, deaktivira račun ili otkrije visok rizik. To napadačima daje vremena da se kreću po mreži, povežu s internim aplikacijama i ukradu podatke.
Aktiviranje Universal CAE u režimu strogog sprovođenjaSvako opoziv sesije, signal visokog rizika ili promjena statusa korisnika prisiljava gotovo trenutnu ponovnu autentifikaciju. Nadalje, pokušaji ponovne upotrebe tokena s različitih IP adresa se efikasnije blokiraju, eliminirajući uobičajeni vektor napada u Windows lokalnim mrežama.
Važno je pregledati sve politike uvjetnog pristupa kako bi se osiguralo da ne onemogućavaju CAE na određenim radnim opterećenjima. Neke kompanije, iz razloga kompatibilnosti, kreiraju izuzetke koji potom postaju trajne rupe u zakonu.
Globalni klijent za siguran pristup: Dovođenje sigurne lokalne mreže na sva Windows računara
Da bi zaštita mreže Zero Trust bila efikasna, svi upravljani uređaji moraju koristiti klijenta Global Secure Access.Ako korporativni Windows računar nema instaliran ovaj klijent, njegov promet može ići direktno na internet ili interne resurse bez prolaska kroz kontrole perimetra ili provjere usklađenosti.
Bez klijenta raspoređenog na svim upravljanim krajnjim tačkama Napadači mogu iskoristiti ove "podignute slušalice" uređaje kako bi dobili početni pristup, lateralno se kretali preko LAN mreže ili izvukli informacije. Nadalje, ovi uređaji nemaju koristi od mrežnih provjera u politikama uvjetnog pristupa, vraćanja izvorne IP adrese ili ograničenja zakupaca.
Kada je klijent aktivan, Windows uređaji se mogu sigurno povezati. Pristup i SaaS aplikacijama i internim resursima osiguran je putem Microsoft Entra Private Accessa, uvijek primjenjujući iste politike identiteta i mreže. Global Secure Access kontrolna ploča vam omogućava praćenje statusa klijenta, provjeru povezanosti i poduzimanje korektivnih mjera ako se otkriju problemi.
Još jedna ključna stvar su licence za Global Secure Access.Za korištenje Microsoft Entra Internet Access i Microsoft Entra Private Access, potreban je Microsoft Entra ID P1. Ako vaš zakupac nema odgovarajuće licence ili one nisu dodijeljene korisnicima, njihov promet neće biti usmjeren putem Global Secure Accessa i ostat će nezaštićen. Preporučljivo je koristiti licenciranje zasnovano na grupama i pratiti isteke kako biste izbjegli nenamjerni gubitak pokrivenosti.
Profili za prosljeđivanje prometa i kontrola onoga što ulazi i izlazi iz vaše lokalne mreže (LAN)
Prosljeđivanje prometa je mehanizam koji osigurava da LAN promet prolazi kroz sigurnosne slojeve. iz Globalnog sigurnog pristupa i ne "bježi" direktno kroz internetska vrata.
Microsoft definira tri vrste profila za prosljeđivanjeJedan za Microsoft promet (M365, Microsoft Entra ID, Graph, SharePoint, Exchange…), drugi za privatni pristup (interni resursi) i treći za opći pristup internetu (javni web, SaaS koji nije od Microsofta, itd.).
Ako ovi profili nisu omogućeniSigurnosne politike, filtriranje sadržaja, zaštita od prijetnji i CAE se ne mogu primijeniti. Bilo koji sajber kriminalac s važećim akreditivima može se povezati s vašim resursima s bilo koje mreže, bez prolaska kroz vaš moderni perimetar.
Također je važno jasno definirati opseg svakog profilaAko dodijelite prosljeđivanje "svim korisnicima" bez prethodnog testiranja s pilot grupama, greška u konfiguraciji mogla bi ostaviti cijelu kompaniju van mreže. Suprotno tome, ako definirate preuzak opseg, korisnici će raditi izvan zaštita, a da to niko ne primijeti.
Na kraju, provjerite da li Microsoft 365 promet aktivno teče kroz Global Secure Access.Ako se dio tog prometa izostavi (zbog starih klijenata, ručnih konfiguracija ili uređaja bez klijenata), gubi se uvid u radna opterećenja najkritičnija za produktivnost i saradnju, a postaje teže povezati stvarne IP adrese s prijavama i upozorenjima.
Sigurni web pristupnik, filtriranje sadržaja i TLS u Windows okruženjima
Sigurna Windows korporativna lokalna mreža ne sastoji se samo od blokiranja portova u zaštitnom zidu (firewallu).Također je ključno pregledati odlazni HTTP/HTTPS promet, jer većina modernih prijetnji putuje šifrirano.
Profil prosljeđivanja pristupa internetu Ovaj profil prisiljava web zahtjeve vaših korisnika da prolaze kroz Secure Web Gateway (SWG) kompanije Global Secure Access. Ako ovaj profil nije omogućen, korisnici mogu direktno pregledavati i preuzimati zlonamjerni softver, povezivati se s domenama komandovanja i kontrole ili krasti podatke bez ikakvog centraliziranog filtriranja.
Direktive za filtriranje web sadržaja su osnova ove kontroleBez njih, pristup bilo kojoj kategoriji stranica (zlonamjerni, phishing, piratski softver, neprikladan sadržaj itd.) je otvoren. Najefikasniji pristup je korištenje pravila zasnovanih na kategorijama (zlonamjerni softver, prevara, piraterija, kriminalne aktivnosti itd.), umjesto oslanjanja isključivo na liste određenih URL-ova, koji brzo zastarevaju.
Ove direktive moraju biti povezane sa sigurnosnim profilimaAko su ove funkcije kreirane, ali nisu povezane ni sa jednim profilom ili referentnim profilom, one se uopće ne primjenjuju i generiraju lažni osjećaj sigurnosti. Nadalje, integracija s uvjetnim pristupom omogućava strože filtriranje kada se otkrije veći rizik (na primjer, ako uređaj nije usklađen ili se korisnik prijavljuje s neuobičajene lokacije).
Kritična komponenta je TLS inspekcijaBudući da je gotovo sav web promet šifriran, ako se HTTPS sesije ne dešifriraju na kontrolnoj tački, mnoge funkcije filtriranja, DLP-a i otkrivanja prijetnji prestat će s radom. To se postiže korištenjem posredničkog CA certifikata koji dinamički generira certifikate za web-lokacije na koje se vaši Windows računari povezuju.
Budite oprezni s TLS izuzecima i upravljanjem certifikatima
TLS inspekcija nije situacija u kojoj se "postavi jednom i zaboravi".Postoje dvije posebno osjetljive tačke: pravila zaobilaženja i istek certifikata o inspekciji.
Pravila zaobilaženja TLS-a Omogućavaju vam da isključite određene domene ili aplikacije koje ne podržavaju inspekciju (na primjer, servise s pričvršćivanjem certifikata ili uzajamnim TLS-om). Problem nastaje kada se ovi izuzeci s vremenom akumuliraju, prestanu se provjeravati i postanu slijepe tačke koje napadači namjerno traže kako bi tunelirali svoju komunikaciju komandovanja i kontrole.
Preporučljivo je periodično pregledavati pravila zaobilaženja i uklonite sve redundantne ili duplicirane destinacije koje se već nalaze na listi preskakanja sistema. Global Secure Access ograničava broj pravila i destinacija po zakupcu, tako da održavanje čistoće i sigurnosti konfiguracije olakšava administraciju.
U vezi s TLS certifikatom o inspekcijiKada istekne, TLS prekid odmah prestaje da funkcioniše. Gubite filtriranje URL-ova, detekciju prijetnji i bilo kakvu kontrolu nad HTTPS saobraćajem. Nije neuobičajeno da napadači pokušavaju da tempiraju svoje kampanje sa periodima kada znaju da neke organizacije ublažavaju svoje kontrole tokom obnavljanja certifikata.
Idealno bi bilo da se održi vremenski okvir od najmanje 90 dana prije isteka.Koristite certifikate s minimalnim rokom važenja od šest mjeseci i planirajte obnavljanje koristeći vašu PKI infrastrukturu (ADCS, OpenSSL, itd.). Osim toga, pratite stopu grešaka prilikom inspekcije TLS-a i održavajte je ispod 1%, jer veće stope često ukazuju na sistemske probleme s povjerenjem, nekompatibilnosti ili čak namjerne pokušaje izazivanja kvarova prilikom inspekcije.
Obavještajni podaci o prijetnjama, zaštitni zid u oblaku i zaštita podružnica
Pored filtriranja po kategorijama, korištenje obavještajnih podataka o prijetnjama Dinamičke liste poznatih zlonamjernih domena i URL-ova su ključne za blokiranje veza s aktivnom infrastrukturom napada. Ako ne omogućite ovo filtriranje u Global Secure Accessu, uređaji mogu nastaviti komunicirati s komandnim i kontrolnim serverima čak i nakon što budu otkriveni na drugim slojevima.
Osnovni sigurnosni profil Globalnog sigurnog pristupa Nudi generičku zaštitu za cijelog korisnika, ali je dobra ideja kreirati prilagođene profile povezane s pravilima uvjetnog pristupa kako bi se uzeo u obzir kontekst (ko je korisnik, s kojeg uređaja se povezuje, odakle se povezuje itd.).
Za podružnice povezane putem IPsec tunelaGlobal Secure Access-ov Cloud Firewall je odgovoran za kontrolu odlaznog prometa prema internetu. Ako ne konfigurirate pravila zaštitnog zida za ove udaljene mreže, sav njihov odlazni promet će prolaziti bez ikakvog filtriranja na mrežnom sloju, što će napadaču koji kompromituje radnu stanicu u podružnici omogućiti povezivanje s bilo kojom vanjskom destinacijom bez ograničenja.
Definisanje stava "odbijanje po defaultu" A zatim otvaranje samo neophodnog prometa iz grana značajno smanjuje šanse za eksfiltraciju i lateralno kretanje u druga okruženja, poput oblaka.
Sprečavanje gubitka podataka, prijenos datoteka i generativna AI zaštita
Jedan od najlakših načina za izdvajanje informacija iz lokalne mreže (LAN) To uključuje korištenje legitimnih servisa za prijenos datoteka, pohranu u oblaku ili čak generativnih AI aplikacija za prijenos osjetljivih dokumenata.
Politike filtriranja mrežnog sadržaja u Global Secure Accessu omogućavaju praćenje i kontrolu prijenos datoteka putem preglednika, aplikacija i API-ja. Bez ovih politika, zlonamjerni korisnik ili kompromitovani račun mogli bi prenijeti povjerljive dokumente, vjerodajnice ili intelektualno vlasništvo na vanjske servise praktično bez ikakvog traga na vašim krajnjim sistemima.
U oblasti umjetne inteligencije, AI Gateway i njegova zaštita Prompt Shield-om Oni dodaju još jedan sloj: sprječavaju da korporativne AI aplikacije pate od napada ubrizgavanjem komandi (brzi jailbreakovi, zlonamjerne instrukcije skrivene u vanjskom sadržaju itd.) koji bi mogli uzrokovati da model ignoriše interne politike, otkrije interne podatke ili generiše phishing sadržaj.
Implementirajte ove kontrole na nivou mreže umjesto aplikacije po aplikaciji To osigurava dosljedan stav: ne ovisite o svakom razvojnom timu da nezavisno implementira sigurnosne mjere protiv brzog ubrizgavanja i gubitka podataka u svojim AI rješenjima.
Uslovni pristup i signalizacija zasnovani na globalnom sigurnom pristupu
Microsoftove politike uvjetnog pristupa Oni su veza između identiteta i mreže. Za kompaniju koja želi maksimalno iskoristiti svoju Windows LAN mrežu, ključno je zahtijevati da se korisnici autentificiraju na korporativnim resursima samo ako njihov promet prolazi kroz Global Secure Access.
Kontrole „kompatibilne mreže“ u uslovnom pristupu Oni omogućavaju upravo to: provjeru da li autentifikacija dolazi od Microsoftove sigurnosne usluge, a ne s bilo koje internet IP adrese. Bez ovih kontrola, napadač koji krade akreditive može se povezati s bilo kojeg mjesta, zaobilazeći vaše filtere sadržaja, obavještajne podatke o prijetnjama ili CAE.
Globalna signalizacija sigurnog pristupa za uvjetni pristup Ovo rješava još jedan problem: kada saobraćaj prolazi kroz proxy, izvorna IP adresa koju vidi Microsoft Entra ID je obično proxyjeva, a ne stvarna IP adresa korisnika. Omogućavanje ove signalizacije omogućava ubacivanje dodatnih informacija u zahtjev tako da politike zasnovane na lokaciji i detekcija rizika (nemoguća putovanja, anonimne IP adrese, nepoznata svojstva prijave) nastave ispravno funkcionisati.
Ako ova signalizacija nije aktiviranaZapisnici o prijavi će prikazivati samo odlazne IP adrese proxyja, što će komplicirati bilo kakvu forenzičku istragu ili odgovor na incident i smanjiti tačnost automatiziranog otkrivanja rizika.
Microsoft Private Access: Unesite: Nulto povjerenje za interne resurse
Mnoge kompanije se i dalje oslanjaju na tradicionalne VPN-ove za pristup internim resursima (datotečni serveri, ERP-ovi, interne aplikacije). Microsoftov model privatnog pristupa Entra nastoji zamijeniti taj model modelom nultog povjerenja, u kojem se svaki zahtjev autentificira i autorizira detaljno.
Privatni mrežni konektori su "brokeri" koji povezuju vašu lokalnu mrežu sa Global Secure Access-om.Ako su neaktivni ili zastarjeli, korisnici mogu biti u iskušenju da pribjegnu manje sigurnim alternativnim metodama pristupa ili ćete biti prisiljeni izložiti usluge direktno internetu.
Svaka grupa konektora idealno bi trebala imati barem dvije aktivne instance ažurirane.Kako bi se izbjegle pojedinačne tačke kvara, jedan konektor u grupi znači da softverski problem, nesretno ažuriranje ili čak lokalna zlonamjerna radnja mogu ostaviti sve privatne aplikacije koje zavise od te grupe bez pristupa.
Segmentacija aplikacija u privatnom pristupu Ovo je još jedna kritična tačka. Ako definirate preširoke segmente (ogromni rasponi IP adresa, više nefiltriranih portova, neselektivno korištenje brzog pristupa), u suštini replicirate permisivni model tradicionalnih VPN-ova. Preporučeni pristup je segmentacija po aplikacijama, korištenje FQDN-ova ili određenih IP adresa i portova, te povezivanje svakog segmenta s politikama uvjetnog pristupa na osnovu rizika i tipa resursa.
Privatni DNS, interni promet i performanse pri udaljenom pristupu
Interno razrješenje imena je ključno za ispravno funkcioniranje privatnog pristupa.Ako ne konfigurirate odgovarajući privatni DNS, udaljeni korisnici neće moći razriješiti interne FQDN-ove kroz sigurni tunel, a njihovi Windows računari će se vratiti na javne DNS servere, gdje ta imena jednostavno ne postoje.
Kada je profil privatnog pristupa omogućen, ali DNS portovi nisu objavljeni (53 UDP/TCP) na odgovarajućim segmentima ili ako privatni DNS sufiksi nisu definirani, klijent Global Secure Access ne može usmjeravati interne DNS upite. To uzrokuje da se segmenti zasnovani na FQDN-u ne primjenjuju, a korisnik se na kraju povezuje direktno, izvan mrežnih politika.
Za poboljšanje performansi bez žrtvovanja sigurnostiFunkcije poput Inteligentnog lokalnog pristupa (ILA) omogućavaju lokalno usmjeravanje privatnog prometa kada se korisnik fizički nalazi na korporativnoj mreži, izbjegavajući nepotrebna putovanja u oblak uz održavanje uvjetnih kontrola pristupa.
Brzi pristup, sa svoje strane, mora biti pravilno povezan sa grupama aktivnih konektora Politike uslovnog pristupa su već na snazi. U suprotnom, korisnici ili neće moći pristupiti internim resursima kada im zatrebaju, ili, još gore, moći će to učiniti bez ikakvih dodatnih MFA, provjera usklađenosti uređaja ili lokacije.
Kontroleri domena, RDP i sigurnosni senzori u Windows okruženju
U lokalnoj mreži zasnovanoj na Windowsu, kontroleri domena su krajnji cilj.Ko god kontroliše domen, kontroliše račune, politike, grupe i, u praksi, cijelu mrežu.
Kada administratori pristupaju kontrolerima domena putem RDP-a Koristeći Microsoft Private Sign-In, moraju to učiniti s autentifikacijom otpornom na phishing: na primjer, FIDO2 sigurnosni ključevi, Windows Hello for Business sa jakom podrškom ili ekvivalentnim metodama koje zahtijevaju kriptografski dokaz vlasništva.
Bez ovih otpornih metodaNapadač koji uspije ukrasti vjerodajnice ili oteti tokene sesije mogao bi ih ponovo reproducirati kako bi uspostavio RDP sesije s kontrolerom domene, izvršio DCSync napade za izdvajanje heševa svih računa, kreirao Kerberos zlatne tikete i održao dugoročnu perzistenciju ili modificirao GPO-e za implementaciju masovnog zlonamjernog softvera.
Senzori privatnog pristupa raspoređeni na kontrolerima domena Oni omogućavaju primjenu strogih pravila na Kerberos zahtjeve koji potiču iz lokalne mreže. Bez ovih senzora, bilo koji uređaj s pristupom lokalnoj mreži može zatražiti servisne tikete za privilegovane resurse bez MFA kontrola, usklađenosti ili konteksta, održavajući implicitni model povjerenja zasnovan isključivo na tome da je "unutar" mreže.
Sigurnosne kopije, održavanje i operativno upravljanje LAN-om
Sigurnost lokalne mreže nije ograničena samo na sprječavanje neovlaštenog pristupa.To također znači mogućnost oporavka ako nešto pođe po zlu. Požar u podatkovnom centru, ransomware koji šifrira datotečni server ili kvar hardvera mogu paralizirati kompaniju ako ne postoje dobro osmišljene sigurnosne kopije.
Preporučuje se centralizacija poslovnih podataka na datotečnom serveru. ili na sigurnim servisima za pohranu podataka s jasnom politikom izrade sigurnosnih kopija, uključujući sigurnosne kopije izvan lokacije (izvan ureda ili u drugoj regiji) za ekstremne scenarije katastrofe. Konsultujte se sa Poređenje metoda pravljenja sigurnosnih kopija da odaberu najbolju strategiju.
Dobro upravljana Windows domena Pojednostavljuje dodjeljivanje dozvola, provođenje pravila o lozinkama, implementaciju softvera i upravljanje ažuriranjima. Osigurava da svi računari na mreži koriste profesionalne verzije Windowsa koje se mogu pravilno integrirati u Active Directory ili Microsoft Entra.
Pored ažuriranog antivirusnog softvera na svim računarima i serverimaPreporučljivo je uspostaviti redovno održavanje: pregled logova, provjeru statusa sigurnosnih kopija, primjenu kritičnih zakrpa, inventarizaciju licenci i praćenje incidenata. Dodjeljivanje ove odgovornosti internoj osobi ili vanjskom dobavljaču pomaže u sprječavanju da se problemi gurnu pod tepih.
Konačno, nikada ne podcjenjujte ljudski faktorFiltriranje MAC adresa, onemogućavanje nekorištenih Ethernet portova, ograničavanje instalacije softvera i segmentacija po VLAN-u smanjuje štetu koju može uzrokovati i greška zaposlenika i namjerna akcija nezadovoljne osobe unutar organizacije.
Dobro dizajnirana i upravljana LAN mreža u Windows okruženju, poboljšana Microsoft Entra mogućnostima, Global Secure Access-om, segmentacijom, web filtriranjem i obavještajnim podacima o prijetnjamaPostaje mnogo robusniji od jednostavnog seta kablova i prekidača: postaje sigurna platforma na kojoj vaša kompanija može nastaviti rasti, uključujući IoT, usluge u oblaku, pa čak i generativnu umjetnu inteligenciju, bez nepotrebnog izlaganja sajber napadima koji su danas, nažalost, uobičajeni.
