Zabezpečenie firemnej siete nie je jedno zariadenie, ale vrstvy, ktoré sa dopĺňajú. Keď jedna zlyhá, ďalšia útok zastaví alebo aspoň obmedzí. V článku sú najdôležitejšie tri: firewall, VPN a segmentácia.
Firewall: strážca medzi sieťami
Firewall rozhoduje, aká komunikácia smie prejsť medzi internetom a vašou sieťou a medzi jej časťami. Moderné zariadenia (UTM alebo NGFW) pridávajú ďalšie funkcie:
- Systém na zabránenie prienikom (IPS): rozpoznáva a blokuje známe útoky.
- Filtrovanie webu a aplikácií: blokuje škodlivé kategórie stránok.
- Kontrola šifrovanej prevádzky: pomáha odhaliť hrozby v HTTPS, má však dopad na výkon a súkromie, preto sa nastavuje uvážene.
- Blokovanie podľa krajiny a reputácie: zníži šum z prieskumov a automatických útokov.
Základné pravidlo: najprv zakázať
Dobrá konfigurácia stojí na princípe default deny: povolené je len to, čo je výslovne potrebné, a zvyšok sa blokuje. Pravidlá typu „povoľ všetko“ sa časom nahromadia a nikto ich už nechce meniť. Preto sa pravidlá pravidelne preverujú a nepotrebné odstraňujú.
VPN pre prácu na diaľku a pobočky
- Vzdialený prístup: zamestnanec sa k firemným zdrojom pripojí cez šifrovaný tunel.
- Prepojenie pobočiek (site-to-site): pobočky tvoria jednu sieť.
- Protokoly: IPsec je štandard medzi zariadeniami, WireGuard je moderný, jednoduchý a rýchly, OpenVPN je overený a flexibilný.
- Dvojfaktorové overenie: samotné heslo na VPN nestačí.
Segmentácia: obmedzte škody
Rozdelenie siete na segmenty zmenšuje rozsah škôd. Hostia, kamery, tlačiarne a servery patria do samostatných zón s vlastnými pravidlami. Ak sa nakazí zariadenie v jednej zóne, firewall mu bráni dostať sa ďalej.
Správa a aktualizácie
- Správa zariadení len z oddelenej siete a len pre oprávnené osoby.
- Žiadne vystavené rozhrania ako RDP alebo SSH priamo z internetu.
- Pravidelné aktualizácie firmvéru, pretože zraniteľnosti sieťových zariadení sa aktívne zneužívajú.
- Zálohy konfigurácie a zmeny v logu.
Logy a dohľad
Firewall, ktorý nikto nesleduje, ochráni len čiastočne. Logy a upozornenia je vhodné zapojiť do monitoringu, aby sa nezvyčajné správanie zachytilo skôr, než spôsobí škodu.
Modelový príklad: firma s home office a dvoma pobočkami
Firma s ústredím, dvoma pobočkami a polovicou ľudí na home office potrebuje bezpečný prístup k firemným zdrojom. Typický návrh:
- Spravovaný firewall v ústredí aj pobočkách, s jednotnými pravidlami.
- VPN medzi pobočkami so šifrovaním a overením.
- VPN pre vzdialených zamestnancov s dvojfaktorovým overením a prístupom len k potrebným systémom.
- Segmentácia: servery, kancelárie, hostia a zariadenia v oddelených zónach.
- Správa len z oddelenej siete a aktualizácie firmvéru v pravidelnom okne.
- Logy a upozornenia na neobvyklé prihlásenia a blokované pokusy.
Dôležitá je aj jednoduchosť: bezpečnosť, ktorú nikto nechce používať, sa obchádza. Preto sa prístup vzdialených používateľov nastavuje tak, aby bol rýchly a zrozumiteľný.
Kontrolný zoznam bezpečnosti siete
- Je firewall spravovaný a pravidelne aktualizovaný?
- Platí pravidlo default deny a sú nepotrebné pravidlá odstránené?
- Je zapnuté dvojfaktorové overenie pre VPN a správu?
- Nie sú rozhrania správy ani vzdialená plocha vystavené do internetu?
- Sú hostia, kamery a servery v oddelených segmentoch?
- Sú logy ukladané a niekto ich sleduje?
- Máme zálohu konfigurácie a plán obnovy?
Otázky na dodávateľa
- Ako sa rozhodne o výbere zariadenia a koľko používateľov a prevádzky zvládne?
- Ako sa spravujú pravidlá a kto schvaľuje zmeny?
- Ako sa riešia aktualizácie firmvéru bez prerušenia prevádzky?
- Aké dáta sa ukladajú v logoch a ako dlho?
- Ako vyzerá reakcia na incident?
Slovníček pojmov
- UTM/NGFW: firewall s ďalšími funkciami (IPS, filtrovanie, kontrola aplikácií).
- IPS: systém, ktorý rozpoznáva a blokuje známe útoky.
- Site-to-site VPN: šifrovaný tunel medzi dvoma sieťami.
- Split tunnel: cez VPN ide len firemná prevádzka, zvyšok priamo do internetu.
- Zero trust: neverí sa nikomu len preto, že je vo vnútornej sieti.
Často kladené otázky
Stačí firewall od poskytovateľa internetu?
Zvyčajne nie. Zariadenie od poskytovateľa rieši základnú prevádzku, no firemné nároky (segmentácia, VPN, filtrovanie, logy) vyžadujú vlastný spravovaný firewall.
Prečo nesmie byť RDP vystavené do internetu?
Vzdialená plocha dostupná z internetu patrí medzi najčastejšie vstupy útočníkov (hádanie hesiel, zraniteľnosti). Prístup sa rieši cez VPN s dvojfaktorovým overením.
Koľko VPN používateľov zvládne firewall?
Závisí od modelu a šifrovania. Pri návrhu sa počíta s počtom súčasne pripojených ľudí a rýchlosťou pripojenia. Orientačný odhad dáva kalkulačka.
Potrebujete s tým poradiť?
Pozrite si súvisiacu službu Zabezpečenie sietí, spočítajte si orientačnú cenu alebo nám napíšte — pripravíme nezáväznú ponuku.
