Когда серверов десятки или сотни, а администраторов несколько человек, очень легко построить сеть по принципу: главное, чтобы ко всему можно было подключиться.
ESXi, iDRAC/iLO, IPMI, гипервизоры, СХД, коммутаторы, UPS — всё доступно из обычной корпоративной сети.
Пока ничего не произошло, это удобно.
А теперь представим, что злоумышленник получил доступ к одному из серверов и начал двигаться по сети. Если с этого же сегмента доступны интерфейсы управления гипервизорами, СХД и железом, то взлом одного сервера постепенно может превратиться во взлом всей инфраструктуры.
Поэтому интерфейсы управления лучше вообще вынести в отдельный сетевой контур.
Туда же — отдельные административные компьютеры. Не рабочий ноутбук администратора, на котором одновременно почта, браузер и Telegram, а отдельный АРМ для управления инфраструктурой.
Из пользовательских VLAN и серверных сегментов доступа в эту сеть быть не должно.
Получается простая схема:
обычная сеть → нет доступа → сеть управления
административный АРМ → разрешён доступ → сеть управления
И отдельно нужно задать себе неприятный вопрос:
если сегодня зашифруют один из критичных серверов, сколько времени потребуется, чтобы поднять его с нуля?
Есть ли резервная копия? Проверяли ли её восстановление? Есть ли копия конфигурации? Где лежат пароли? Сможете ли вы открыть консоль гипервизора, СХД или iDRAC, если основная сеть уже скомпрометирована?
Вот здесь отдельный контур управления становится особенно полезен.
Можно потерять сервер.
Можно потерять целый пользовательский сегмент.
Но у атакующего всё ещё не должно быть доступа к тому месту, откуда вы будете восстанавливать инфраструктуру.
Хорошая архитектура — это не когда взлом невозможен.
Это когда взлом одного узла не превращается во взлом всего остального.
Добавить комментарий