Článek

Proč plochá firemní síť znamená, že jeden infikovaný počítač ohrožuje celou firmu. Konkrétní příklady společností Maersk a Norsk Hydro a postup, jak zavést segmentaci VLAN.

Proč může jeden infikovaný počítač znamenat kolaps celé firmy

Když se mluví o ransomwaru, většina lidí si představí jeden zašifrovaný počítač a výzvu k zaplacení výkupného na obrazovce. Realita v podnikovém prostředí je však mnohem horší. Skutečným problémem není samotná počáteční infekce – je to to, co se stane v následujících minutách a hodinách, kdy se útočník z jednoho napadeného zařízení dostane k desítkám či tisícům dalších.

Tento proces se nazývá laterální pohyb a ve firmách s plochou sítí – tedy sítí, kde všechna zařízení mohou mezi sebou volně komunikovat – je prakticky nezastavitelný.

Co znamená „plochá síť“

Plochá síť je taková, ve které neexistuje logické oddělení mezi jednotlivými částmi firemní infrastruktury. Notebook účetní je připojen ke stejné síti jako databázový server, tiskárna, kamerový systém i doménový řadič. Pokud útočník převezme kontrolu nad jediným zařízením – často stačí jedno kliknutí na phishingový e-mail – má prakticky volnou cestu ke všemu ostatnímu.

Většina ransomwarových útoků dnes nefunguje tak, že by se škodlivý kód „šířil sám“. Útočník se po počátečním proniknutí pohybuje po síti ručně nebo poloautomaticky: krade přihlašovací údaje z paměti, zkouší je na sousedních zařízeních a postupně získává stále vyšší oprávnění, až se dostane k doménovému řadiči Active Directory. Od tohoto okamžiku má prakticky neomezenou kontrolu nad celou firemní sítí a šifrování se spustí najednou, na tisících zařízení současně.

Příklady z praxe

Maersk a NotPetya (2017)

Nejčastěji citovaný případ v celé oblasti kybernetické bezpečnosti. Útok začal na jediném počítači v pobočce v ukrajinské Oděse, kde byl nainstalován infikovaný účetní software. Společnost Maersk fungovala na globální ploché síti propojující 600 lokalit po celém světě, které si navzájem důvěřovaly – a to stačilo k tomu, aby se škodlivý kód během několika hodin rozšířil do celé organizace, podle některých zdrojů dokonce během prvních sedmi minut.

Výsledek: společnost musela přeinstalovat více než 4 000 serverů, 45 000 počítačů a 2 500 aplikací. Zachránila ji pouze náhoda – jediný doménový řadič Active Directory v pobočce v Ghaně byl během útoku odpojen od sítě kvůli výpadku elektřiny, a stal se tak jediným nepoškozeným zdrojem, ze kterého bylo možné obnovit celou firemní doménu. Bez této náhody by společnost Maersk pravděpodobně přišla o celou firemní identitu a přístupová oprávnění. Finanční škody se odhadují na 250–300 milionů dolarů.

Norsk Hydro a LockerGoga (2019)

Útok začal jednoduchým phishingovým e-mailem, který otevřel jeden ze zaměstnanců. Jelikož většina serverů společnosti byla pod stejnou doménou bez větší segmentace, ransomware se dokázal šířit mnohem rychleji, než by to bylo možné v síti rozdělené na samostatně spravované celky. Postihnuto bylo přibližně 35 000 zaměstnanců ve 40 zemích, náklady na obnovu dosáhly přibližně 71 milionů dolarů.

Zajímavé je, že společnost Norsk Hydro měla na rozdíl od mnoha jiných firem funkční a nepoškozené zálohy – nemusela tedy platit výkupné. Přesto absence segmentace umožnila útočníkovi proniknout téměř kamkoli v síti. Tento případ je dobrým důkazem toho, že samotné zálohování není náhradou za segmentaci – řeší následky útoku, nikoli jeho rozsah.

Jak tento problém řeší segmentace (VLAN)

VLAN (Virtual Local Area Network) umožňuje logicky rozdělit jednu fyzickou síť na několik oddělených segmentů, mezi nimiž probíhá komunikace pouze tam, kde je to výslovně povoleno – typicky přes firewall nebo router s definovanými pravidly.

V praxi to znamená, že namísto jedné velké sítě, kde „všechno vidí všechno“, vznikne například:

• samostatný segment pro běžné pracovní stanice zaměstnanců,
• samostatný segment pro servery a databáze,
• samostatný segment pro tiskárny, kamery a zařízení IoT,
• samostatný segment pro hostovský Wi-Fi přístup,
• samostatný segment pro kritické systémy (výroba, OT, doménové řadiče).

Pokud se ransomware dostane na jednu pracovní stanici v segmentu zaměstnanců, nemá automaticky přístup k databázovému serveru ani k doménovému řadiči – pokud mu to firewall mezi segmenty výslovně nepovolí. Útok, který by v ploché síti zasáhl celou firmu během hodiny, se v segmentované síti může zastavit na jediném oddělení.

Doporučený postup při zavádění segmentace

Segmentaci nelze zavést jedním zásahem během víkendu – firma, která to takto zkusí, většinou naruší fungující procesy dříve, než zvýší bezpečnost. Osvědčený postup má čtyři fáze.

1. Mapování datových toků

Než se cokoli rozdělí, je třeba přesně vědět, co s čím ve skutečnosti komunikuje. Toto je časově nejnáročnější, ale nejdůležitější fáze – většina neúspěšných segmentačních projektů selže právě zde, protože firmy podceňují, kolik „skrytých“ závislostí existuje (například účetní systém, který jednou za měsíc přistupuje na server třetí strany, nebo tiskárna, která komunikuje s cloudovou správou).

V praxi to znamená:

• Inventarizaci všech zařízení v síti (pracovní stanice, servery, tiskárny, kamery, IoT, síťové prvky).
• Monitorování síťové komunikace po dostatečně dlouhou dobu (obvykle 2–4 týdny), aby byly zachyceny i periodické toky (měsíční zálohy, čtvrtletní reporty).
• Nástroje jako analýza NetFlow/sFlow, Wireshark u menších sítí nebo pokročilejší nástroje pro network discovery u větších infrastruktur.
• Identifikace kritických aktiv – kde se nacházejí citlivá data, doménové řadiče, produkční systémy – a kdo/co k nim skutečně potřebuje přístup.

Výstupem této fáze by měla být jednoduchá mapa: „zařízení/skupina A komunikuje se zařízením/skupinou B na portu X z důvodu Y.“

2. Definice zón

Na základě mapy toků se navrhnou logické zóny podle funkce a citlivosti, nikoli podle organizační struktury firmy. Typické rozdělení:

• Zóna pracovních stanic – notebooky a počítače zaměstnanců.
• Zóna serverů/dat – databáze, souborové servery, aplikační servery.
• Zóna správy identit – doménové řadiče, Active Directory, DNS.
• Zóna periferií a IoT – tiskárny, kamery, přístupové systémy, chytrá zařízení.
• Zóna pro hosty – Wi-Fi pro návštěvníky, bez přístupu k interní síti.
• DMZ (demilitarizovaná zóna) – veřejně dostupné služby (webový server, e-mailová brána), oddělené od vnitřní sítě.
• OT/výrobní zóna (je-li relevantní) – výrobní linky, systémy SCADA, zcela izolované od běžné IT sítě.

Pro každou zónu se následně definuje přesné pravidlo: kdo smí komunikovat s kým, na jakém portu a v jakém směru. Základním principem je „default deny“ – vše je zakázáno, pokud není výslovně povoleno, nikoli naopak.

Otevřené a uzavřené porty: druhá vrstva obrany

Segmentace sítě určuje, které zóny mohou mezi sebou komunikovat. Správa portů určuje, jakým způsobem – právě tato vrstva dokáže zastavit útočníka i v okamžiku, kdy se mu podaří překonat hranici mezi zónami.

Proč je to důležité. Každá služba běžící na zařízení – souborový server, databáze, vzdálená správa – komunikuje přes konkrétní port. Je-li port otevřen bez omezení, znamená to, že k této službě se může připojit kdokoli v daném síťovém segmentu, bez ohledu na to, zda to skutečně potřebuje.

Ransomware a útočníci při laterálním pohybu se zaměřují právě na takové zbytečně otevřené porty. Typický příklad: port 445 (SMB), který sloužil jako vstupní brána pro exploit EternalBlue použitý při útocích WannaCry i NotPetya. Další často zneužívané porty:

• 3389 (RDP) – vzdálená plocha; pokud je otevřený směrem z internetu nebo volně v rámci celé vnitřní sítě, je to jeden z nejčastějších vstupních bodů pro ransomwarové skupiny.
• 445 (SMB) – sdílení souborů; historicky nejčastěji zneužívaný protokol pro laterální pohyb.
• 22 (SSH) – vzdálená správa serverů; problém nastává, pokud je přístupný z celé sítě a nikoli pouze z vyhrazených administrátorských stanic.
• 23 (Telnet) – nezabezpečený, nešifrovaný protokol; dnes by již neměl být aktivní téměř nikde, přesto se stále vyskytuje na starších zařízeních IoT a síťových zařízeních.
• 135, 139 (RPC/NetBIOS) – často zneužívány při technikách jako Pass-the-Hash.

Princip „default deny“ na úrovni portů. Stejný princip, který platí pro zóny, platí i zde: vše je uzavřeno, pokud to není výslovně nutné a povoleno. V praxi to znamená:

• Na firewallu mezi zónami povolit pouze konkrétní porty potřebné pro konkrétní, zdokumentovanou komunikaci (například port 443 mezi zónou pracovních stanic a webovým serverem v DMZ), nikoli celý rozsah portů „pro jistotu“.
• Administrativní porty (RDP, SSH) omezit pouze na komunikaci z vyhrazené administrátorské stanice nebo přes VPN, nikdy volně z celé vnitřní sítě.
• Na serverech a koncových zařízeních vypněte/uzavřete všechny porty a služby, které se ve skutečnosti nepoužívají – každý spuštěný nepoužívaný port představuje zbytečnou příležitost pro útočníka.
• Pravidelně skenujte vlastní síť (například nástroji jako Nmap) z pohledu útočníka – zjistěte, co je ve skutečnosti viditelné a dostupné, nikoli to, co si firma myslí, že je nakonfigurováno.

Propojení se segmentací. Segmentace bez řízení portů je jako zamknout vchod do budovy, ale nechat otevřené všechny dveře v jednotlivých kancelářích. Útočník, který se dostane do jedné zóny, sice nemůže volně přecházet mezi zónami, ale v rámci téže zóny může stále využít otevřený port 445 nebo 3389 k tomu, aby se dostal k dalšímu zařízení. Právě kombinace „správně definovaných zón“ + „pouze nezbytných portů mezi nimi a v rámci nich“ je to, co skutečně omezí dosah útoku na jedno nebo několik zařízení – nikoli na celou firmu.

3. Postupné nasazení

Segmentace se zavádí po jednotlivých zónách, nikdy najednou. Doporučený postup:

• Začněte zónami s nejnižším rizikem narušení provozu – typicky hostovská Wi-Fi a IoT/periferní zařízení, kde chyba v pravidlech nezpůsobí výpadek kritických systémů.
• Nasadit pravidla VLAN a firewallu pro danou zónu, monitorovat v režimu „log-only“ nebo „permisivním“ – tedy sledovat, zda by pravidlo něco zablokovalo, aniž by to skutečně blokovalo.
• Po ověření, že pravidla nezachycují legitimní komunikaci, přepněte do režimu plného vynucování (enforce).
• K citlivějším zónám (servery, identita) přistupujte až po ověření předchozích kroků.
• Kritické/OT sestavy segmentujte jako poslední a s největší opatrností, ideálně mimo provozní hodiny a s připraveným plánem vrácení do původního stavu.

4. Testování

Segmentace nekončí nasazením. Je třeba ověřit, zda skutečně funguje tak, jak má:

• Funkční testování – ověřit, zda legitimní procesy (zálohování, aktualizace, přístup zaměstnanců k potřebným systémům) fungují bez přerušení.
• Penetrační testování / simulace „red teamu“ – simulace kompromitace jednoho zařízení v jedné zóně a ověření, zda se útočník (nebo testovací tým) skutečně nedostane do dalších zón.
• Ověření pravidel firewallu – pravidelná kontrola, zda nevznikly „výjimky“, které v průběhu času rozšířily původně úzce definovaná pravidla (toto je běžný způsob, jakým se segmentace časem „rozpustí“).
• Průběžné monitorování – segmentace není jednorázový projekt; nová zařízení, nové aplikace a změny ve firmě vyžadují pravidelnou aktualizaci zón a pravidel.

Proč to firmy stále odkládají

Segmentace se v praxi často odkládá, protože:

• vyžaduje počáteční investici času do zmapování toho, co s čím skutečně musí komunikovat,
• může dočasně narušit fungující, byť nepřehledné procesy,
• je „neviditelná“ – na rozdíl od nového firewallu nebo antiviru nejde o produkt, který lze zakoupit a nainstalovat za jeden den.

Právě to je důvod, proč se segmentace tak často objevuje až v „poučeních“ po útoku – jako v případě společností Norsk Hydro a Maersk – a ne před ním.

Proč neodkládat segmentaci sítě

Ransomware se dnes nespoléhá na sofistikovaný malware, ale na to, že mu to firemní síť sama umožní. Plochá síť je pro útočníka tím nejlepším možným darem – jeden úspěšný phishingový e-mail může vést ke kolapsu celé organizace. Segmentace sítě pomocí VLAN, spolu s důslednou správou otevřených a uzavřených portů, není zázračným řešením, které útok zastaví hned na začátku, ale je to nástroj, který rozhoduje o tom, zda bude výsledkem incidentu jeden infikovaný počítač, nebo celá firma na kolenou.