Арсений Доронин, сетевой аналитик
Введение
В данной статье будет рассмотрено, как организациям выстроить комплексный и централизованный подход к сетевой безопасности. Это не просто настройка firewall и других сетевых устройств, а формирование единой политики, которая:
- единообразна по всей сети и в облачных средах;
- отражает бизнес-цели и учитывает актуальные риски;
- соответствует международным стандартам (NIST, ISO/IEC 27001 и др.);
- управляется на протяжении всего жизненного цикла — от проектирования до аудита и пересмотра.
Ниже — пошаговый порядок формирования политики сетевой безопасности, включая концепцию USP (Unified Security Policy) — единой политики для всей инфраструктуры. Основой для построения такой политики служат международные стандарты и лучшие практики отрасли, включая рекомендации NIST (особенно публикации SP 800–41 и SP 800–30), ISO/IEC 27001–2022, а также опыт и инструменты ведущих производителей решений в области сетевой безопасности.
Такой подход позволяет учесть современные реалии распределённых сетей, гибридных инфраструктур и повышенных требований к управлению рисками. Это гарантирует создание управляемой, прозрачной и масштабируемой политики, соответствующей бизнес-целям и нормативным требованиям.
Чек-лист
Для наглядного понимания каждого шага в построении сетевой политики, можно составить чек-лист действий организации и результатов по итогу этого шага.
| Шаг | Действия | Результат | Стандарт |
| 1 | Инвентаризация и классификация активов | Карта активов и потоков данных | ISO/IEC 27001: A.5.9 |
| 2 | Оценка рисков и угроз | Приоритеты защиты и план мер | NIST SP 800-30 |
| 3 | Сегментация сети и построение зон безопасности | Минимизация риска распространения атак | ISO/IEC 27001: A.13.1 |
| 4 | Формирование правил доступа и фильтрации | Ясные, исполняемые правила трафика | ISO/IEC 27001: A.9 |
| 5 | Документирование и утверждение политики USP | Централизованный и управляемый документ | ISO/IEC 27001: A.5.1.1 |
| 6 | Внедрение, аудит и сопровождение | Контроль исполнения и актуальность | ISO/IEC 27001: A.12.6 |
Шаги формирования политики сетевой безопасности
1. Инвентаризация и классификация активов
Первый шаг — это подробная инвентаризация всех компонентов информационной инфраструктуры. Необходимо понять, какие устройства, приложения и сервисы есть в организации, и какие данные проходят через сеть. Важно не просто перечислить оборудование и софт, а оценить бизнес-ценность каждого актива, выделить критичные сервисы и конфиденциальные данные.
На этом этапе также выявляют, как именно данные перемещаются внутри сети — какие системы взаимодействуют друг с другом, по каким протоколам и каналам. Это помогает понять, где могут возникнуть уязвимости, и какие сегменты сети нужно выделить для изоляции.
Такой подход соответствует рекомендациям стандартов ISO/IEC 27001 и NIST SP 800-30, которые подчеркивают важность учета активов и потоков данных для последующей оценки рисков.
Исходя из этого цель данного шага: обосновать что необходимо защищать и зачем.
- Инвентаризация ИТ-активов:
- Устройства: серверы, ПК, маршрутизаторы, точки доступа.
- Программные сервисы: базы данных, приложения, виртуальные машины.
- Облачные компоненты: IaaS, SaaS, API.
- IoT и OT-устройства и т.д.
- Определение потоков данных:
- Кто с кем взаимодействует и как?
- Какие протоколы используются?
- Какие данные передаются (конфиденциальные, финансовые, персональные)?
- Классификация активов по критичности:
- Тип данных: публичные, внутренние, секретные, персональные.
- В контексте бизнес-процесса: влияет ли актив на прибыль, соблюдение закона, репутацию?
Какие системы являются защищаемыми — это отдельная большая тема. Например, в Положении № 821-П указано, что объектами защиты являются все автоматизированные системы, программное обеспечение, средства вычислительной техники, телекоммуникационное оборудование, которые эксплуатируются и используются при осуществлении переводов денежных средств. Таким образом, все средства и системы, используемые для переводов денежных средств, будут входить в контур безопасности.
После определения перечня защищаемых систем анализируется состав сегментов корпоративной сети и выделяются те, которые войдут в контур безопасности (Contour):
- сегмент хранения и обработки данных — серверы систем;
- сегмент управления — рабочие места администраторов;
- сегмент пользователей — рабочие места пользователей.
Помимо контура безопасности, в сети выделяются следующие сегменты:
- сегмент для банкоматов и платёжных терминалов — Terminal;
- сегмент разработки и тестирования — DevOps;
- сегмент беспроводной сети — Wi-Fi;
- сегмент мобильных устройств — Mobile;
- остальные внутренние сегменты локальной вычислительной сети — LAN.
Важно отметить, что не все перечисленные сегменты обязательно должны присутствовать в сети. Их наличие зависит от конкретной структуры и процессов организации.
2. Анализ угроз и рисков
Инвентаризация активов дает информацию об количественной характеристики сети, однако важно знать и качественно свои активы, а именно выявить и проанализировать возможные источники опасности. Это могут быть внешние атаки, внутренние ошибки или злоумышленные действия, технические сбои или даже природные катастрофы (физические повреждения оборудования).
Параллельно проводится оценка уязвимостей — слабых мест в системе, которые злоумышленники могут использовать. Объединив информацию об угрозах и уязвимостях, формируется плоскость атаки, которая показывает, какие сценарии наиболее вероятны и критичны для бизнеса.
Методики анализа рисков широко описаны в NIST SP 800-30 и соответствуют лучшим практикам CIS Controls (Critical Security Controls). Цель данного этапа: оценить вероятность и последствия угроз, чтобы расставить приоритеты при защите оборудования.
Подзадачи:
- Оценка угроз:
- Внешние (атаки, эксплойты, вредоносное ПО).
- Внутренние (злонамеренные сотрудники, ошибки конфигурации).
- Природные и техногенные (пожары, сбои, утечки).
- Выявление уязвимостей:
- Непатченные системы.
- Неправильные права доступа.
- Плохо изолированные сегменты и т.д.
- Оценка рисков (Risk = Impact (Влияние) × Likelihood (Вероятность):
- Определить критичные сценарии.
- Использовать матрицы риска.
3. Сегментация сети и построение зон безопасности
Чтобы минимизировать возможный ущерб от инцидентов, сеть делят на отдельные сегменты или зоны безопасности. Каждая зона соответствует определённому уровню доверия и содержит активы с похожими требованиями к защите.
Например, общедоступные сервисы размещают в демилитаризованной зоне (DMZ), внутренние бизнес-приложения — в отдельном сегменте, а критичные базы данных — в зоне с самым высоким уровнем безопасности. Между зонами настраиваются строгие правила доступа и фильтрации. Современный подход предполагает также микросегментацию внутри зон с применением принципов Zero Trust — контроль доступа на уровне каждого соединения и даже отдельного пакета данных.
Цель этого этапа: минимизировать распространение угроз и контролировать доступ прохождения трафика между зонами.
Подзадачи:
- Построение зон безопасности:
- DMZ (демилитаризованная зона).
- Внутренняя сеть (бизнес-приложения).
- Управление (администрирование, доступ с повышенными привилегиями).
- Гостевая сеть, Wi-Fi, IoT.
- Сегментация по функциям и рискам:
- Сервера баз данных отдельно от веб-приложений.
- Админ-интерфейсы недоступны из публичной сети.
- Применение микросегментации (внутри зон):
- Использование тегов, VLAN, групп в облаке (например, Azure NSG, AWS Security Groups).
- Проверка идентичности и контекста на каждом переходе (Zero Trust Network).
4. Формирование правил доступа и фильтрации трафика
Основой любой политики безопасности являются чёткие и однозначные правила, которые регламентируют, какой трафик разрешён, а какой запрещён. Здесь важно реализовать принцип минимально необходимого доступа (Least Privilege): пользователи и сервисы получают только те права, которые нужны им для работы.
Правила составляются с учётом бизнес-процессов и сетевой архитектуры — указывается, кто и с какими ресурсами может взаимодействовать, какие протоколы и порты используются. Современные системы безопасности способны идентифицировать не только IP и порты, но и конкретные приложения, что повышает гибкость в настройки access-list“ов, которые и описывают кому и куда разрешён/запрещён проход трафика. Особенно важны правила default deny, которые по умолчанию блокируют любой неразрешённый трафик, обычно такая функция с самого начала предустановлена на устройствах.
Цель: запретить, все неразрешённое.
Подзадачи:
- Определение логики доступа:
- Кто может подключаться (сотрудники, партнёры, подрядчики).
- Куда (приложения, серверы, сегменты).
- Как (по каким протоколам, портам, из каких зон).
- Формализация правил (Policy Rule Set):
- Наименование зон, которые были определены в прошлом шаге, для удобства настройки правил.
- Указание условий (время, местоположение, тип устройства).
- Учёт приложения, а не только портов.
- Реализация политики «по умолчанию запрещено» (default deny).
5. Документирование и утверждение политики USP
Все результаты предыдущих этапов формируются в единую документированную политику — USP. Этот документ должен быть максимально понятным, чётким и охватывать все аспекты сетевой безопасности: описание зон, правил доступа, процедур мониторинга и реагирования на инциденты, чтобы вновь прибывшие сотрудники могли комплексно понимать организацию системы защиты.
Кроме технической части, USP содержит распределение ответственности, процедуры изменения и обновления политики, а также планы обучения сотрудников. Это гарантирует, что политика будет работать не только на бумаге, но и на практике.
Процесс утверждения включает согласование с руководством и ключевыми подразделениями, что обеспечивает поддержку и ресурсы, как трудовые, так и материальные, для реализации политики.
Цель: собрать все решения в единую, управляемую и понятную политику безопасности, которая станет основой для внедрения и контроля.
Подзадачи:
- Описание целей и сферы применения:
- Чётко обозначить, для каких частей инфраструктуры и бизнес-процессов создаётся политика.
- Определить ответственность за поддержание политики.
- Описать активы организации.
- Документирование зон безопасности и сегментации:
- Включить схемы зон и их взаимосвязей.
- Обозначить границы, через которые проходят проверки безопасности.
- Формализация правил доступа и фильтрации:
- Полные списки разрешённых соединений с указанием условий.
- Правила для удалённых подключений, VPN, облаков.
- Указание методов мониторинга и реагирования:
- Определение журналирования, алертов и процедуры реагирования на инциденты.
- Управление изменениями и обновлениями политики:
- Процедуры внесения изменений, согласования и тестирования.
- Обучение и информирование персонала:
- Обеспечение доступности политики для всех заинтересованных сторон.
- Проведение тренингов и инструктажей.
6. Внедрение, аудит и сопровождение
Утверждённая политика внедряется в инфраструктуру через настройку средств защиты: firewall, систем обнаружения вторжений (IDS), VPN и прочих инструментов. Важна автоматизация, чтобы ускорить применение изменений и минимизировать ошибки.
После внедрения требуется регулярный аудит — проверка соответствия политики фактическим настройкам и анализ эффективности защиты. Это помогает выявлять отклонения, новые угрозы и уязвимости.
Политика должна быть живым документом, который обновляется в ответ на изменения в инфраструктуре, бизнес-требования и плоскости атаки. Постоянное сопровождение обеспечивается с помощью мониторинга, реагирования на инциденты и управления изменениями.
Цель: обеспечить фактическое исполнение политики, контроль за изменениями и её постоянную актуализацию.
Подзадачи:
- Внедрение правил в технические средства защиты:
- Настройка firewall, IDS/IPS, VPN, NAC, облачных политик.
- Автоматизация применения через системы управления (FortiManager, Palo Alto Panorama, Cisco FMC).
- Проведение тестирования и валидации:
- Проверка работоспособности и соответствия политики.
- Регулярные пентесты, аудит конфигураций.
- Организация мониторинга и отчётности:
- Централизованный сбор логов и анализ событий.
- Отчёты по соблюдению политики, выявленные отклонения.
- Управление изменениями:
- Все изменения через формальные запросы и согласования.
- Постоянная обратная связь с бизнесом и ИТ.
- Регулярный аудит и пересмотр:
- Минимум 1–2 раза в год.
- Обновление политики в ответ на новые риски, технологии и бизнес-требования.
Заключение
Политика сетевой безопасности — это не просто набор технических настроек, а стратегический документ, отражающий подход организации к защите своих цифровых активов. Её эффективность зависит от глубины понимания инфраструктуры, уровня зрелости процессов и способности адаптироваться к постоянно меняющемуся ландшафту угроз.
Представленный порядок формирования политики — это результат объединения международных стандартов, нормативных рекомендаций (NIST, ISO, CIS) и практического опыта ведущих вендоров (Cisco, Fortinet, Palo Alto, Tufin, AlgoSec). Такой подход позволяет создать не просто формальную, а реально работающую систему управления сетевой безопасностью: структурированную, прозрачную и масштабируемую
Внедряя шаги по инвентаризации, оценке рисков, сегментации, управлению доступом и сопровождению политики, организации получают не только защиту от инцидентов, но и устойчивую основу для соблюдения нормативных требований, цифровой трансформации и развития бизнеса.
Сетевая безопасность — это процесс, а не событие. Поэтому грамотно сформированная политика должна регулярно пересматриваться, развиваться и быть частью общей культуры безопасности компании.
Адрес:
121205, г. Москва, муниципальный округ Можайский, территория инновационного центра «Сколково», б-р Большой, д. 42, стр. 1, этаж 2, помещение № 162/№ 4
Телефон:
+7 (495) 255-35-82
Почта:
info@netopia.pro
Деятельность осуществляется компанией ООО «Нетопия» при грантовой поддержке Фонда «Сколково»
© Netopia.pro
