I dataelektronikarbransjen er det avgjerande å kunne dele opp nettverk i logiske segment som held ulike brukarar, tenester og system frå kvarandre. Segmentering handlar om å byggje ein infrastruktur der ein kompromittert del ikkje automatisk gir tilgang til resten. Dette kompetansemålet krev at du både kan konfigurere slike nettverk og aktivt vurdere og redusere sikkerheitsrisiko i dei.
Segmenterte nettverk deler ein nettverksinfrastruktur inn i isolerte soner ved hjelp av VLAN, subnett og brannmurar. Dette avgrensar kva trafikk som kan flyte mellom ulike delar av nettverket, reduserer angrepsflata og gjer det enklare å kontrollere informasjonssikkerheita.
Eit segmentert nettverk er eit nettverk som er delt inn i fleire isolerte soner, kalla segment eller soner. Kvart segment har sin eigen trafikk, og kommunikasjon mellom segment må gå gjennom kontrollerte punkt som brannmurar eller rutera med tilgangskontrollistar (ACL). Typiske segment kan vere: kontoransatte, gjestenettverk, serverar, industrikontrollanlegg og administrasjonsutstyr.
Grunnen til at segmentering er so viktig, er at det avgrensar skadeomfanget dersom noko går gale. Dersom ein angriper kjem seg inn på gjestenettverket, skal vedkomande ikkje automatisk få tilgang til serversona. Segmentering er difor eit sentralt prinsipp i moderne informasjonssikkerheit, og er forankra i tankegangen om minste privilegium: ingen del av nettverket skal ha meir tilgang enn det som er strengt naudsynt.
Det finst to hovudmetodar for segmentering. Fysisk segmentering bruker separate nettverkskablar, svitsjar og grensesnitt for kvart segment. Dette gir god isolasjon, men er kostbart og lite fleksibelt. Virtuell segmentering bruker VLAN (Virtual Local Area Network) på same fysiske infrastruktur, der ein tildeler portane på ein administrerbar svitsj til ulike VLAN-ID-ar. Rutergrensesnitt eller ein Layer 3-svitsj handterer trafikk mellom VLAN.
Eit typisk oppsett ser slik ut. Steg 1: Planlegg segment etter behov, til dømes VLAN 10 for kontor, VLAN 20 for serverar og VLAN 30 for gjester. Steg 2: Konfigurer VLAN på svitsjen og tildel portane riktig VLAN-ID. Steg 3: Set opp trunk-portar mellom svitsjar og ruter så alle VLAN kan transporterast. Steg 4: Konfigurer IP-adressering med eige subnett per VLAN, til dømes 192.168.10.0/24 for VLAN 10. Steg 5: Legg inn ACL eller brannmurreglar som definerer kva trafikk som er tillate mellom segment. Steg 6: Test tilkopling og isolasjon ved å pinge mellom segment og verifisere at berre tillate trafikk kjem gjennom.
For virtuelle servermiljø konfigurerer ein virtuelle svitsjar (vSwitch) i hypervisoren, til dømes VMware vSphere eller Hyper-V, og tildeler virtuelle maskinar til ulike VLAN-grupper. Dette gjer at ein fysisk server kan ha fleire isolerte nettverksmiljø.
Å vurdere informasjonssikkerheita tyder å identifisere kva truslar og sårbarheiter som finst i nettverksinfrastrukturen. Ein vanleg framgangsmåte er å gjennomføre ei risikovurdering: kartlegg kva verdiar som finst (data, system, tenester), kva truslar som er aktuelle (uautorisert tilgang, avlytting, denial-of-service), og kor sannsynlege og kor skadelege desse truslane er.
Konkrete tiltak for å redusere risiko inkluderer: aktivere porttryggleik på svitsjar so berre godkjende MAC-adresser får tilgang, bruke 802.1X-autentisering for nettverkstilgang, kryptere trafikk mellom segment med VPN eller TLS der det er naudsynt, overvake nettverkstrafikk med IDS/IPS-system, halde programvare og firmware oppdatert, og dokumentere alle konfigurasjonsval so ein kan oppdage uønskte endringar. Tiltaka må stå i høve til risikobiletet som er avdekt i vurderinga.
Ein vanleg feil er at trunk-portane ikkje er konfigurerte riktig, noko som fører til at VLAN-trafikk ikkje kjem fram mellom svitsjar. Ein annan feil er at ein gløymer å definere ACL-reglar mellom segment, slik at all trafikk faktisk passerer fritt. Pass og so på at native VLAN er sett eksplisitt og ikkje er det same som eit brukarrettet VLAN, sidan dette kan opne for VLAN-hopping-angrep. Mange gløymer dessutan å dokumentere konfigurasjonen, noko som gjer feilsøking svært vanskeleg.
Den beste måten å øve på er å bruke simuleringsverktøy som Cisco Packet Tracer eller GNS3 der du kan byggje opp heile nettverkstopologiar utan fysisk utstyr. Set opp eit scenario med minst tre VLAN, konfigurer reglar mellom dei, og test systematisk kva trafikk som passerer. Prøv med vilje å bryte sikkerheitstiltaka og sjå kva som skjer. Logg alle steg i eit konfigurasjonsdokument slik du vil gjere det i arbeidslivet. Øv og på å lese loggfiler frå svitsjar og brannmurar for å forstå kva som faktisk skjer i nettverket.
Du skal konfigurere eit nettverk for ein skole med tre segment: elevar (VLAN 10), tilsette (VLAN 20) og administrasjon (VLAN 30). Elevar skal ikkje ha tilgang til administrasjonssona, men tilsette skal kunne nå begge. Korleis planlegg og konfigurerer du dette?
Fasit: VLAN 10: 192.168.10.0/24, VLAN 20: 192.168.20.0/24, VLAN 30: 192.168.30.0/24. ACL: tillat trafikk frå VLAN 20 til alle, nekt trafikk frå VLAN 10 til VLAN 30, tillat trafikk frå VLAN 10 til VLAN 20.
Steg 1: Definer tre VLAN med ulike subnett. Steg 2: Tildel svitsjeportar til riktig VLAN etter kvar enhet høyrer heime. Steg 3: Konfigurer trunk-port mellom svitsj og ruter. Steg 4: Set opp inter-VLAN-ruting på ruteren eller Layer 3-svitsjen. Steg 5: Skriv ACL-reglar som nektar trafikk frå VLAN 10 til VLAN 30, og tillat resten. Steg 6: Test ved å pinge frå ein elev-PC til ein administrasjons-PC og verifiser at pakken blir blokkert. Test og at ein tilsett-PC kjem fram til begge.
Prøv Lekselos gratis i 14 dager for å lese hele forklaringen, se eksemplet steg for steg og øve på vg3 dataelektronikarfaget tilpasset deg.
Lekselos loser barnet gjennom oppgaven ett steg om gangen, så det lærer i stedet for å kopiere. Du får ukeplan, prøver og gloser samlet, og ser hva som er gjort. Forankret i LK20, laget i Norge. 14 dager gratis, uten kort.
Eit subnett er ei logisk IP-adressegruppe som definerer kven som høyrer til same nettverk på lag 3. Eit VLAN er ei logisk gruppering på lag 2 som isolerer datatrafikk på same fysiske svitsj. I praksis bruker ein gjerne eitt subnett per VLAN, men dei er teknisk sett to ulike konsept på ulike lag i nettverksmodellen.
Segmentering avgrensar kva ein angriper kan nå dersom ein del av nettverket blir kompromittert. Det reduserer angrepsflata og gjer det enklare å overvake og kontrollere trafikk mellom ulike soner. Utan segmentering kan ein enkelt kompromittert PC gi tilgang til heile nettverket.
VLAN-hopping er eit angrep der ein angripar sender pakkar tagga med ein annan VLAN-ID enn den porten er tildelt, og slik kjem seg inn i eit anna segment. Ein hindrar dette ved å eksplisitt konfigurere native VLAN til eit ubrukt VLAN, deaktivere DTP-forhandling på tilgangsportane og aldri bruke VLAN 1 til brukartrafikk.
Cisco Packet Tracer er eit gratis og godt eigna verktøy for nybegynnarar og vidaregåande elevar. GNS3 er meir avansert og kan emulere reell nettverkshardvare. EVE-NG er eit anna alternativ som blir brukt mykje i profesjonell opplæring. Alle let deg byggje og teste nettverkstopologiar utan fysisk utstyr.
Ein profesjonell dokumentasjon inneheld nettverkskart med alle einheiter og tilkoplingar, ein tabell over VLAN-ID, namn og tilhøyrande subnett, oversikt over konfigurerte ACL-reglar og kvifor dei er valde, og ein logg over endringar med dato og ansvarleg person. God dokumentasjon er avgjerande for feilsøking og sikkerheitsrevisjonar.
Forankring i læreplanen: Kompetansemål (LK20): Fag: Læreplan i vg3 dataelektronikarfaget Trinn: Installering og drift Kompetansemål: Eleven skal kunne konfigurere og setje i drift fysiske og virtuelle segmenterte nettverk i tråd med definerte behov, vurdere informasjonssikkerheita i infrastrukturen til nettverka og setje i verk tiltak for å redusere risiko. Nynorsk: Eleven skal kunne konfigurere og setje i drift fysiske og virtuelle segmenterte nettverk i tråd med definerte behov, vurdere informasjonssikkerheita i infra (Kilde: Utdanningsdirektoratet)
Lekselos loser deg gjennom oppgaver med hint, ikke fasit, og lager øving tilpasset deg. Prøv gratis.
