{"id":31395,"date":"2019-10-31T21:41:01","date_gmt":"2019-10-31T18:41:01","guid":{"rendered":"https:\/\/prohoster.info\/blog\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya\/"},"modified":"2019-10-31T21:41:01","modified_gmt":"2019-10-31T18:41:01","slug":"kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya","title":{"rendered":"Hogyan vehetj\u00fck al\u00e1 a h\u00e1l\u00f3zati infrastrukt\u00far\u00e1t az ir\u00e1ny\u00edt\u00e1sunk al\u00e1. Harmadik fejezet. H\u00e1l\u00f3zati biztons\u00e1g. Harmadik r\u00e9sz","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p><i>Ez a cikk az \u00f6t\u00f6dik a \"Hogyan vegy\u00fck kez\u00fcnkbe a h\u00e1l\u00f3zati infrastrukt\u00far\u00e1t\" c\u00edm\u0171 cikksorozatban. Az \u00f6sszes cikk tartalm\u00e1t \u00e9s linkeket itt tal\u00e1lhat. <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/447008\/\">itt<\/a><\/noindex><\/i>.<\/p>\n<p>Ez a r\u00e9sz a Campus (Iroda) &amp; T\u00e1voli hozz\u00e1f\u00e9r\u00e9s VPN szegmensekre \u00f6sszpontos\u00edt. <\/p>\n<p><img decoding=\"async\" alt=\"Hogyan vehetj\u00fck al\u00e1 a h\u00e1l\u00f3zati infrastrukt\u00far\u00e1t az ir\u00e1ny\u00edt\u00e1sunk al\u00e1. Harmadik fejezet. H\u00e1l\u00f3zati biztons\u00e1g. Harmadik r\u00e9sz\" src=\"\/wp-content\/uploads\/2019\/04\/c20ea5e670105b5bf9b655a97b82f62f.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nEls\u0151re \u00fagy t\u0171nhet, hogy az iroda h\u00e1l\u00f3zat\u00e1nak tervez\u00e9se egyszer\u0171. <\/p>\n<p>Val\u00f3j\u00e1ban L2\/L3 switcheket haszn\u00e1lva, \u00f6sszek\u00f6tj\u00fck \u0151ket. Ezut\u00e1n elv\u00e9gezz\u00fck az alap VLAN, az alap\u00e9rtelmezett \u00e1tj\u00e1r\u00f3k be\u00e1ll\u00edt\u00e1s\u00e1t, elind\u00edtjuk az egyszer\u0171 routerez\u00e9st, csatlakoztatjuk a WiFi kontroller\u00fcnket, hozz\u00e1f\u00e9r\u00e9si pontokat telep\u00edt\u00fcnk \u00e9s konfigur\u00e1lunk, valamint be\u00e1ll\u00edtjuk az ASA-t t\u00e1voli hozz\u00e1f\u00e9r\u00e9shez, \u00e9s \u00f6rvend\u00fcnk, hogy minden m\u0171k\u00f6dik. Alapvet\u0151en, mint m\u00e1r eml\u00edtettem egy kor\u00e1bbi cikkemben, <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/434750\/\">cikk\u00fcnkben<\/a><\/noindex> ennek a ciklusnak az \u00f6sszef\u00fcgg\u00e9s\u00e9ben, a legt\u00f6bb di\u00e1k, aki r\u00e9szt vett (\u00e9s elsaj\u00e1t\u00edtotta) k\u00e9t f\u00e9l\u00e9ven \u00e1t telekommunik\u00e1ci\u00f3s kurzust, k\u00e9pes tervezni \u00e9s konfigur\u00e1lni egy iroda h\u00e1l\u00f3zatot, hogy \"valahogyan m\u0171k\u00f6dj\u00f6n\".<\/p>\n<p>De min\u00e9l t\u00f6bbet megtud, ann\u00e1l bonyolultabbnak t\u0171nik ez a feladat. Sz\u00e1momra ez a t\u00e9ma, az iroda h\u00e1l\u00f3zat\u00e1nak tervez\u00e9se, egy\u00e1ltal\u00e1n nem t\u0171nik egyszer\u0171nek, \u00e9s ebben a cikkben megpr\u00f3b\u00e1lom elmagyar\u00e1zni, mi\u00e9rt.<\/p>\n<p>R\u00f6viden, sz\u00e1mos t\u00e9nyez\u0151t figyelembe kell venni. Gyakran ezek a t\u00e9nyez\u0151k ellentmond\u00e1sban \u00e1llnak egym\u00e1ssal, \u00edgy \u00e9sszer\u0171 kompromisszumokat kell keresni. <br \/>\nEz a bizonytalans\u00e1g a f\u0151 neh\u00e9zs\u00e9g. Teh\u00e1t, ha a biztons\u00e1gr\u00f3l besz\u00e9l\u00fcnk, h\u00e1rom cs\u00faccsal rendelkez\u0151 h\u00e1romsz\u00f6g\u00fcnk van: biztons\u00e1g, a munkav\u00e1llal\u00f3k k\u00e9nyelme \u00e9s a megold\u00e1s k\u00f6lts\u00e9ge. <br \/>\n\u00c9s minden alkalommal kompromisszumot kell k\u00f6tni ezen h\u00e1rom dolog k\u00f6z\u00f6tt.<br \/>\n<noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><\/p>\n<h2>Architekt\u00fara<\/h2>\n<p>\nEzekre a k\u00e9t szegmensre vonatkoz\u00f3 architekt\u00far\u00e1kra p\u00e9ldak\u00e9nt, mint ahogy a kor\u00e1bbi cikkekben, javaslom <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/td\/docs\/solutions\/Enterprise\/Security\/SAFE_RG\/SAFE_rg\/chap1.html\">Cisco SAFE<\/a><\/noindex> a modellt: <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/td\/docs\/solutions\/Enterprise\/Security\/SAFE_RG\/SAFE_rg\/chap5.html#wpxref51616\">Enterprise Campus<\/a><\/noindex>, <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/td\/docs\/solutions\/Enterprise\/Security\/SAFE_RG\/SAFE_rg\/chap6.html#wpxref74611\">Enterprise Internet Edge<\/a><\/noindex>.<\/p>\n<p>Ezek n\u00e9h\u00e1ny elavult dokumentum. Itt bemutatom \u0151ket, mert az alapvet\u0151 s\u00e9m\u00e1k \u00e9s megk\u00f6zel\u00edt\u00e9sek nem v\u00e1ltoztak, de az el\u0151ad\u00e1sm\u00f3dot jobban kedvelem, mint a <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/solutions\/enterprise\/design-zone-security\/landing_safe.html#~tab-architecture\">\u00faj dokument\u00e1ci\u00f3ban.<\/a><\/noindex>.<\/p>\n<p>An\u00e9lk\u00fcl, hogy arra biztatn\u00e1m \u00f6n\u00f6ket, hogy kiz\u00e1r\u00f3lag Cisco megold\u00e1sokra t\u00e1maszkodjanak, hasznosnak tartom alaposan megvizsg\u00e1lni ezt a tervez\u00e9st. <\/p>\n<p>Ez a cikk, mint mindig, nem t\u00f6rekszik a teljess\u00e9gre, ink\u00e1bb kieg\u00e9sz\u00edti ezt az inform\u00e1ci\u00f3t. <\/p>\n<p>A cikk v\u00e9g\u00e9n elemezz\u00fck a Cisco SAFE terveit az iroda szempontj\u00e1b\u00f3l, figyelembe v\u00e9ve az itt ismertetett koncepci\u00f3kat.<\/p>\n<h2>\u00c1ltal\u00e1nos elvek<\/h2>\n<p>\nAz iroda h\u00e1l\u00f3zat\u00e1nak tervez\u00e9se term\u00e9szetesen meg kell, hogy feleljen a kor\u00e1bban t\u00e1rgyalt \u00e1ltal\u00e1nos k\u00f6vetelm\u00e9nyeknek. <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/434750\/\">itt<\/a><\/noindex> A \u201eTervez\u00e9si min\u0151s\u00e9g \u00e9rt\u00e9kel\u00e9si krit\u00e9riumai\u201d fejezet\u00e9ben. Az \u00e1r \u00e9s a biztons\u00e1g mellett, amelyeket ebben a cikkben meg sz\u00e1nd\u00e9kozunk vitatni, m\u00e9g h\u00e1rom krit\u00e9riumot is figyelembe kell venn\u00fcnk a tervez\u00e9s sor\u00e1n (vagy a m\u00f3dos\u00edt\u00e1sok sor\u00e1n):<\/p>\n<ul>\n<li>sk\u00e1l\u00e1zhat\u00f3s\u00e1g (scalability)<\/li>\n<li>kezelhet\u0151s\u00e9g<\/li>\n<li>el\u00e9rhet\u0151s\u00e9g<\/li>\n<\/ul>\n<p>\nSok minden, ami m\u00e1r sz\u00f3ba ker\u00fclt, <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/435138\/\">adatk\u00f6zpontok<\/a><\/noindex> szint\u00e9n igaz az irod\u00e1ra is. <\/p>\n<p>M\u00e9gis, az irodai szegmensnek vannak saj\u00e1toss\u00e1gai, amelyek a biztons\u00e1g szempontj\u00e1b\u00f3l kritikusak. Ennek a saj\u00e1toss\u00e1gnak a l\u00e9nyege, hogy ez a szegmens a v\u00e1llalat munkat\u00e1rsainak (valamint partnereknek \u00e9s vend\u00e9geknek) h\u00e1l\u00f3zati szolg\u00e1ltat\u00e1sokat ny\u00fajt, \u00e9s k\u00f6vetkez\u00e9sk\u00e9ppen a probl\u00e9ma legmagasabb szint\u0171 vizsg\u00e1latakor k\u00e9t feladatot kell megoldanunk:<\/p>\n<ul>\n<li>v\u00e9delmet ny\u00fajtani a v\u00e1llalat er\u0151forr\u00e1sai sz\u00e1m\u00e1ra a munkav\u00e1llal\u00f3k (vend\u00e9gek, partnerek) \u00e9s az \u00e1ltaluk haszn\u00e1lt szoftverek \u00e1ltal jelentett k\u00e1ros cselekedetek ellen. Ez mag\u00e1ban foglalja a h\u00e1l\u00f3zatra val\u00f3 jogosulatlan csatlakoz\u00e1s elleni v\u00e9delmet is. <\/li>\n<li>v\u00e9deni a felhaszn\u00e1l\u00f3k rendszereit \u00e9s adatait<\/li>\n<\/ul>\n<p>\n\u00c9s ez csak a probl\u00e9ma egyik oldala (pontosabban a h\u00e1romsz\u00f6g egyik cs\u00facsa). A m\u00e1sik oldalon a felhaszn\u00e1l\u00f3i k\u00e9nyelem \u00e9s a alkalmazott megold\u00e1sok \u00e1ra \u00e1ll.<\/p>\n<p>Kezdj\u00fck azzal, hogy \u00e1ttekintj\u00fck, mit v\u00e1r el a felhaszn\u00e1l\u00f3 a modern irodai h\u00e1l\u00f3zatt\u00f3l. <\/p>\n<h2>K\u00e9nyelem<\/h2>\n<p>\nSzerintem \u00edgy n\u00e9znek ki az \u201eirodai h\u00e1l\u00f3zati k\u00e9nyelmek\u201d a felhaszn\u00e1l\u00f3 sz\u00e1m\u00e1ra:<\/p>\n<ul>\n<li>Mobilit\u00e1s<\/li>\n<li>A megszokott eszk\u00f6z\u00f6k \u00e9s oper\u00e1ci\u00f3s rendszerek teljes spektrum\u00e1nak haszn\u00e1lat\u00e1nak lehet\u0151s\u00e9ge<\/li>\n<li>K\u00f6nny\u0171 hozz\u00e1f\u00e9r\u00e9s a v\u00e1llalat \u00f6sszes sz\u00fcks\u00e9ges er\u0151forr\u00e1s\u00e1hoz <\/li>\n<li>Internetforr\u00e1sok el\u00e9rhet\u0151s\u00e9ge, bele\u00e9rtve a k\u00fcl\u00f6nb\u00f6z\u0151 felh\u0151szolg\u00e1ltat\u00e1sokat is<\/li>\n<li>A h\u00e1l\u00f3zat \u201egyors m\u0171k\u00f6d\u00e9se\u201d<\/li>\n<\/ul>\n<p>\nMindez vonatkozik mind a munkav\u00e1llal\u00f3kra, mind a vend\u00e9gekre (vagy partnerekre), \u00e9s ez m\u00e1r a v\u00e1llalat m\u00e9rn\u00f6keinek feladata az azonos\u00edt\u00e1s alapj\u00e1n a k\u00fcl\u00f6nb\u00f6z\u0151 felhaszn\u00e1l\u00f3i csoportok hozz\u00e1f\u00e9r\u00e9s\u00e9nek elk\u00fcl\u00f6n\u00edt\u00e9se.<\/p>\n<p>N\u00e9zz\u00fck meg egy kicsit r\u00e9szletesebben mindezen szempontokat.<\/p>\n<h3>Mobilit\u00e1s<\/h3>\n<p>\nArr\u00f3l van sz\u00f3, hogy a v\u00e1llalat \u00f6sszes sz\u00fcks\u00e9ges er\u0151forr\u00e1s\u00e1t b\u00e1rhonnan el\u00e9rj\u00fck \u00e9s haszn\u00e1lhassuk a vil\u00e1g b\u00e1rmely pontj\u00e1r\u00f3l (term\u00e9szetesen ahol internet el\u00e9rhet\u0151).<\/p>\n<p>Ez teljes m\u00e9rt\u00e9kben vonatkozik az irod\u00e1ra is. K\u00e9nyelmes, amikor az iroda b\u00e1rmely pontj\u00e1r\u00f3l folytathatja a munk\u00e1t, p\u00e9ld\u00e1ul e-maileket kaphat, kommunik\u00e1lhat a v\u00e1llalati messengerben, el\u00e9rhet\u0151 lehet videoh\u00edv\u00e1sra, ... \u00cdgy egyr\u00e9szt lehet\u0151s\u00e9ge van \u00e9l\u0151 kommunik\u00e1ci\u00f3val megoldani bizonyos k\u00e9rd\u00e9seket (p\u00e9ld\u00e1ul r\u00e9szt venni \u00e9rtekezleteken), m\u00e1sr\u00e9szt mindig online maradhat, k\u00e9zben tarthatja a fontos \u00fcgyeket \u00e9s gyorsan megoldhatja a s\u00fcrg\u0151s, nagy priorit\u00e1s\u00fa feladatokat. Ez nagyon k\u00e9nyelmes, \u00e9s val\u00f3ban jav\u00edtja a kommunik\u00e1ci\u00f3 min\u0151s\u00e9g\u00e9t.<\/p>\n<p>Ezt a WiFi h\u00e1l\u00f3zat megfelel\u0151 tervez\u00e9s\u00e9vel lehet el\u00e9rni.<\/p>\n<blockquote><p><b>Megjegyz\u00e9s<\/b><\/p>\n<p>Itt \u00e1ltal\u00e1ban felmer\u00fcl a k\u00e9rd\u00e9s, hogy elegend\u0151-e kiz\u00e1r\u00f3lag WiFi-t haszn\u00e1lni? Jelenti ez, hogy lemondhatunk az Ethernet portok haszn\u00e1lat\u00e1r\u00f3l az irod\u00e1ban? Ha csak a felhaszn\u00e1l\u00f3kr\u00f3l van sz\u00f3, nem pedig a kiszolg\u00e1l\u00f3kr\u00f3l, amelyek viszont \u00e9sszer\u0171en norm\u00e1l Ethernet porttal legyenek csatlakoztatva, akkor az \u00e1ltal\u00e1nos v\u00e1lasz: igen, elegend\u0151 lehet kiz\u00e1r\u00f3lag WiFi-re korl\u00e1toz\u00f3dni. De vannak \u00e1rnyalatok.<\/p>\n<p>Fontos felhaszn\u00e1l\u00f3i csoportok vannak, amelyek k\u00fcl\u00f6n megk\u00f6zel\u00edt\u00e9st ig\u00e9nyelnek. Ezek term\u00e9szetesen az adminisztr\u00e1torok. Alapvet\u0151en a WiFi kapcsolat megb\u00edzhatatlanabb (a forgalom elveszt\u00e9se szempontj\u00e1b\u00f3l) \u00e9s lassabb, mint a norm\u00e1l Ethernet port. Ez l\u00e9nyeges lehet az adminisztr\u00e1torok sz\u00e1m\u00e1ra. Ezenk\u00edv\u00fcl a h\u00e1l\u00f3zati adminisztr\u00e1toroknak p\u00e9ld\u00e1ul lehets\u00e9ges, hogy van egy k\u00fcl\u00f6ndedik\u00e1lt Ethernet h\u00e1l\u00f3zatuk az out-of-band kapcsolathoz.<\/p>\n<p>Lehets\u00e9ges, hogy a c\u00e9gen bel\u00fcl m\u00e1s csoportok\/oszt\u00e1lyok is vannak, ahol ezek a t\u00e9nyez\u0151k szint\u00e9n fontosak.<\/p>\n<p>Van m\u00e9g egy fontos szempont \u2013 a telefon\u00e1l\u00e1s. Lehets\u00e9ges, hogy valamilyen okb\u00f3l nem szeretn\u00e9 haszn\u00e1lni a Wireless VoIP-t, \u00e9s hagyom\u00e1nyos Ethernet csatlakoz\u00e1ssal szeretn\u00e9 haszn\u00e1lni az IP telefonokat. <\/p>\n<p>\u00c1ltal\u00e1ban az olyan c\u00e9gekn\u00e9l, ahol dolgoztam, \u00e1ltal\u00e1ban mind WiFi csatlakoz\u00e1s, mind Ethernet port lehet\u0151s\u00e9g volt.<\/p><\/blockquote>\n<p>\nSzeretn\u00e9m, ha a mobilit\u00e1s nem korl\u00e1toz\u00f3dna kiz\u00e1r\u00f3lag az irod\u00e1ra.<\/p>\n<p>A munka lehet\u0151s\u00e9g\u00e9nek biztos\u00edt\u00e1s\u00e1ra otthonr\u00f3l (vagy b\u00e1rmilyen m\u00e1s helyr\u0151l, ahol el\u00e9rhet\u0151 az internet) VPN kapcsol\u00f3d\u00e1st haszn\u00e1lnak. Ilyenkor k\u00edv\u00e1natos, hogy az alkalmazottak ne \u00e9rezz\u00e9k a k\u00fcl\u00f6nbs\u00e9get az otthoni munka \u00e9s a t\u00e1voli munka k\u00f6z\u00f6tt, ami azt jelenti, hogy ugyanazokkal a hozz\u00e1f\u00e9r\u00e9sekkel kell rendelkezni\u00fck. Hogyan lehet ezt megszervezni, arr\u00f3l k\u00e9s\u0151bb a \"Egys\u00e9ges k\u00f6zpontos\u00edtott hiteles\u00edt\u00e9si \u00e9s jogosults\u00e1gi rendszer\" fejezetben fogunk besz\u00e9lni.<\/p>\n<blockquote><p><b>Megjegyz\u00e9s<\/b><\/p>\n<p>Val\u00f3sz\u00edn\u0171leg nem tudja ugyanazt a min\u0151s\u00e9g\u0171 t\u00e1voli munk\u00e1t biztos\u00edtani, mint amit az irod\u00e1ban k\u00edn\u00e1l. Tegy\u00fck fel, hogy a VPN \u00e1tj\u00e1r\u00f3k\u00e9nt Cisco ASA 5520-at haszn\u00e1l. Ennek megfelel\u0151en <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/products\/security\/asa-5500-series-next-generation-firewalls\/data_sheet_c78-345385.html\">adatlap<\/a><\/noindex> ez az eszk\u00f6z csak 225 Mbps VPN forgalmat tud kezelni. Teh\u00e1t term\u00e9szetesen a VPN-kapcsolat s\u00e1vsz\u00e9less\u00e9ge er\u0151sen elt\u00e9r az irodai munk\u00e1t\u00f3l. Ha emiatt a k\u00e9sleltet\u00e9s, a csomagveszt\u00e9s, a jitter (p\u00e9ld\u00e1ul ha irodai IP telef\u00f3ni\u00e1t szeretne haszn\u00e1lni) l\u00e9nyeges az \u00d6n h\u00e1l\u00f3zati szolg\u00e1ltat\u00e1saiban, akkor szint\u00e9n nem kapja meg ugyanazt a min\u0151s\u00e9get, mint ha az irod\u00e1ban lenne. Ez\u00e9rt, amikor a mobilit\u00e1sr\u00f3l besz\u00e9l\u00fcnk, figyelembe kell venn\u00fcnk a lehets\u00e9ges korl\u00e1toz\u00e1sokat.<\/p><\/blockquote>\n<p><\/p>\n<h3>K\u00f6nny\u0171 hozz\u00e1f\u00e9r\u00e9s minden v\u00e1llalati er\u0151forr\u00e1shoz<\/h3>\n<p>\nEzt a feladatot m\u00e1s technikai r\u00e9szlegekkel egy\u00fctt kell kezelni.<br \/>\nIde\u00e1lis esetben a felhaszn\u00e1l\u00f3nak csak egyszer kell hiteles\u00edtenie mag\u00e1t, \u00e9s ut\u00e1na hozz\u00e1f\u00e9r a sz\u00fcks\u00e9ges er\u0151forr\u00e1sokhoz.<br \/>\nA biztons\u00e1g fel\u00e1ldoz\u00e1sa n\u00e9lk\u00fcli k\u00f6nny\u0171 hozz\u00e1f\u00e9r\u00e9s jelent\u0151sen n\u00f6velheti a munkav\u00e9gz\u00e9s hat\u00e9konys\u00e1g\u00e1t \u00e9s cs\u00f6kkentheti koll\u00e9g\u00e1i stresszszintj\u00e9t.<\/p>\n<blockquote><p><b>Megjegyz\u00e9s 1<\/b><\/p>\n<p>A hozz\u00e1f\u00e9r\u00e9s k\u00e9nyelme nem csup\u00e1n abban rejlik, hogy h\u00e1nyszor kell be\u00edrnia a jelsz\u00f3t. P\u00e9ld\u00e1ul ha a biztons\u00e1gi politik\u00e1ja \u00e9rtelm\u00e9ben az irod\u00e1b\u00f3l a datacentrumhoz val\u00f3 csatlakoz\u00e1shoz el\u0151sz\u00f6r a VPN \u00e1tj\u00e1r\u00f3n kereszt\u00fcl kell csatlakozni, \u00e9s ez\u00e1ltal elvesz\u00edti az irodai er\u0151forr\u00e1sokhoz val\u00f3 hozz\u00e1f\u00e9r\u00e9st, az is nagyon k\u00e9nyelmetlen.\n<\/p><\/blockquote>\n<blockquote><p><b>Megjegyz\u00e9s 2<\/b><\/p>\n<p>Vannak szolg\u00e1ltat\u00e1sok (p\u00e9ld\u00e1ul a h\u00e1l\u00f3zati berendez\u00e9sekhez val\u00f3 hozz\u00e1f\u00e9r\u00e9s), ahol \u00e1ltal\u00e1ban k\u00fcl\u00f6n AAA szerverekkel rendelkez\u00fcnk, \u00e9s norm\u00e1lis, hogy ilyen esetekben t\u00f6bbsz\u00f6r kell hiteles\u00edteni.\n<\/p><\/blockquote>\n<p><\/p>\n<h3>Internetes er\u0151forr\u00e1sok el\u00e9rhet\u0151s\u00e9ge<\/h3>\n<p>\nAz internet nem csup\u00e1n sz\u00f3rakoz\u00e1s, hanem olyan szolg\u00e1ltat\u00e1sok halmaza is, amelyek rendk\u00edv\u00fcl hasznosak lehetnek a munk\u00e1hoz. Vannak pszichol\u00f3giai t\u00e9nyez\u0151k is. A modern ember az interneten sok virtu\u00e1lis sz\u00e1llal kapcsol\u00f3dik m\u00e1sokhoz, \u00e9s v\u00e9lem\u00e9nyem szerint nincs semmi rossz abban, ha ezt a kapcsolatot tov\u00e1bbra is \u00e9rz\u00e9keli munka k\u00f6zben is.<\/p>\n<p>Id\u0151vesztes\u00e9g szempontj\u00e1b\u00f3l nem nagy \u00fcgy, ha a munkav\u00e1llal\u00f3nak p\u00e9ld\u00e1ul bekapcsolva van a Skype-ja, \u00e9s sz\u00fcks\u00e9g eset\u00e9n 5 percet besz\u00e9lget egy k\u00f6zeli szem\u00e9llyel.<\/p>\n<p>Jelenti ez, hogy az internet mindig el\u00e9rhet\u0151nek kell lennie, \u00e9s ezt jelenti, hogy a munkav\u00e1llal\u00f3knak szabad hozz\u00e1f\u00e9r\u00e9st adhatunk minden forr\u00e1shoz an\u00e9lk\u00fcl, hogy b\u00e1rmilyen ellen\u0151rz\u00e9st v\u00e9gezn\u00e9nk?<\/p>\n<p>Nem, ez nem \u00edgy van. Az internet nyitotts\u00e1g\u00e1nak szintje k\u00fcl\u00f6nb\u00f6z\u0151 c\u00e9gekn\u00e9l elt\u00e9r\u0151 lehet \u2013 a teljes z\u00e1rtt\u00f3l a teljes nyitotts\u00e1gig. A forgalom ellen\u0151rz\u00e9s\u00e9nek m\u00f3djait k\u00e9s\u0151bb t\u00e1rgyaljuk az v\u00e9delmi eszk\u00f6z\u00f6kr\u0151l sz\u00f3l\u00f3 fejezetben. <\/p>\n<h3>Lehet\u0151s\u00e9g az \u00f6sszes megszokott eszk\u00f6z haszn\u00e1lat\u00e1ra<\/h3>\n<p>\nHasznos, amikor p\u00e9ld\u00e1ul tov\u00e1bbra is haszn\u00e1lhatja az \u00f6sszes megszokott kommunik\u00e1ci\u00f3s eszk\u00f6z\u00e9t a munkahely\u00e9n. Technikai szempontb\u00f3l nem neh\u00e9z ezt megval\u00f3s\u00edtani. Ehhez WiFi \u00e9s vend\u00e9g VLAN sz\u00fcks\u00e9ges.<\/p>\n<p>Az is j\u00f3, ha van lehet\u0151s\u00e9ge haszn\u00e1lni azt az oper\u00e1ci\u00f3s rendszert, amelyhez m\u00e1r hozz\u00e1szokott. De tapasztalataim szerint \u00e1ltal\u00e1ban ezt csak a menedzserek, rendszergazd\u00e1k \u00e9s fejleszt\u0151k sz\u00e1m\u00e1ra engedik meg. <\/p>\n<blockquote><p><b>t\u00e1mad\u00e1sra<\/b><\/p>\n<p>Term\u00e9szetesen el lehet menni a tilt\u00e1sok \u00fatj\u00e1n, megtiltani a t\u00e1voli hozz\u00e1f\u00e9r\u00e9st, megtiltani a mobil eszk\u00f6z\u00f6k csatlakoz\u00e1s\u00e1t, mindent statikus Ethernet kapcsolatokra korl\u00e1tozni, korl\u00e1tozni az internet hozz\u00e1f\u00e9r\u00e9st, k\u00f6telez\u0151en elvenni a mobiltelefonokat \u00e9s k\u00fcty\u00fcket a bej\u00e1ratn\u00e1l... \u00e9s egyes szervezetek, amelyeknek fokozott biztons\u00e1gi k\u00f6vetelm\u00e9nyeik vannak, val\u00f3ban ezt az utat k\u00f6vetik, \u00e9s tal\u00e1n bizonyos esetekben ez indokolt lehet, de... egyet\u00e9rthet\u00fcnk, hogy ez \u00fagy n\u00e9z ki, mint a fejl\u0151d\u00e9s meg\u00e1ll\u00edt\u00e1sa egy adott szervezetben. Term\u00e9szetesen szeretn\u00e9nk \u00f6sszeegyeztetni a modern technol\u00f3gi\u00e1k \u00e1ltal ny\u00fajtott lehet\u0151s\u00e9geket a megfelel\u0151 biztons\u00e1gi szinttel.<\/p><\/blockquote>\n<p><\/p>\n<h3>A h\u00e1l\u00f3zat \u201egyors m\u0171k\u00f6d\u00e9se\u201d<\/h3>\n<p>\nAz adat\u00e1tviteli sebess\u00e9g technikailag sok t\u00e9nyez\u0151b\u0151l \u00e1ll \u00f6ssze. \u00c9s a csatlakoz\u00e1si port sebess\u00e9ge \u00e1ltal\u00e1ban nem a legfontosabb ezek k\u00f6z\u00fcl. Nem mindig a lass\u00fa alkalmaz\u00e1sm\u0171k\u00f6d\u00e9s \u00e1ll kapcsolatban h\u00e1l\u00f3zati probl\u00e9m\u00e1kkal, de most csak a h\u00e1l\u00f3zati r\u00e9sz \u00e9rdekel minket. A helyi h\u00e1l\u00f3zat \u201elassul\u00e1s\u00e1nak\u201d leggyakoribb probl\u00e9m\u00e1ja a csomagveszt\u00e9s. Ez \u00e1ltal\u00e1ban akkor fordul el\u0151, ha palacknyak-hat\u00e1s van, vagy L1 (OSI) probl\u00e9m\u00e1k l\u00e9pnek fel. Ritk\u00e1bban, bizonyos tervekn\u00e9l (p\u00e9ld\u00e1ul amikor a helyi alh\u00e1l\u00f3zatainkban a t\u0171zfal a default gateway) a teljes forgalom rajta megy kereszt\u00fcl, el\u0151fordulhat, hogy a berendez\u00e9s teljes\u00edtm\u00e9nye nem elegend\u0151. <\/p>\n<p>Ez\u00e9rt, amikor az eszk\u00f6z\u00f6k \u00e9s az architekt\u00fara kiv\u00e1laszt\u00e1s\u00e1r\u00f3l van sz\u00f3, figyelembe kell venni a v\u00e9gponti portok, a trunkok \u00e9s az eszk\u00f6z\u00f6k teljes\u00edtm\u00e9ny\u00e9nek sebess\u00e9g\u00e9t.<\/p>\n<blockquote><p><b>t\u00e1mad\u00e1sra<\/b><\/p>\n<p>Tegy\u00fck fel, hogy 1 gigabites portokkal rendelkez\u0151 eloszt\u00f3 switch-eket haszn\u00e1lsz. Ezek egym\u00e1ssal 2 x 10 gigabites Etherchannel-en kereszt\u00fcl vannak \u00f6sszekapcsolva. Mint alap\u00e9rtelmezett \u00e1tj\u00e1r\u00f3t egy gigabites portokkal rendelkez\u0151 t\u0171zfalat haszn\u00e1lsz, amelyet 2 gigabites porton kereszt\u00fcl csatlakoztatsz az iroda L2 h\u00e1l\u00f3zat\u00e1hoz, szint\u00e9n Etherchannel r\u00e9v\u00e9n. <\/p>\n<p>Ez az architekt\u00fara funkci\u00f3 szempontj\u00e1b\u00f3l el\u00e9g k\u00e9nyelmes, mivel minden forgalom \u00e1tmegy a t\u0171zfalon, \u00e9s k\u00e9nyelmesen kezelheted a hozz\u00e1f\u00e9r\u00e9si politik\u00e1kat, valamint bonyolult forgalomellen\u0151rz\u00e9si algoritmusokat \u00e9s lehets\u00e9ges t\u00e1mad\u00e1sok megel\u0151z\u00e9s\u00e9t alkalmazhatod (err\u0151l k\u00e9s\u0151bb), de a s\u00e1vsz\u00e9less\u00e9g \u00e9s a teljes\u00edtm\u00e9ny szempontj\u00e1b\u00f3l ennek a tervez\u00e9snek nyilv\u00e1nval\u00f3an potenci\u00e1lis probl\u00e9m\u00e1i vannak. P\u00e9ld\u00e1ul 2 olyan gazda, akik adatokat t\u00f6ltenek le (1 gigabites port sebess\u00e9ggel), teljesen leterhelhetik a t\u0171zfalhoz vezet\u0151 2 gigabites kapcsolatot, ami a szolg\u00e1ltat\u00e1s roml\u00e1s\u00e1hoz vezethet az irodai szegmens sz\u00e1m\u00e1ra.<\/p><\/blockquote>\n<p>\nM\u00e1r megbesz\u00e9lt\u00fck a h\u00e1romsz\u00f6g egyik cs\u00facs\u00e1t, most n\u00e9zz\u00fck meg, milyen eszk\u00f6z\u00f6ket haszn\u00e1lhatunk a biztons\u00e1g garant\u00e1l\u00e1s\u00e1ra.<\/p>\n<h2>V\u00e9delmi eszk\u00f6z\u00f6k<\/h2>\n<p>\nNos, nyilv\u00e1nval\u00f3an a v\u00e1gyunk (pontosabban a vezet\u00e9s\u00fcnk k\u00edv\u00e1ns\u00e1ga), hogy el\u00e9rj\u00fck a lehetetlent, nevezetesen, a maxim\u00e1lis k\u00e9nyelmet a maxim\u00e1lis biztons\u00e1g \u00e9s minimum \u00e1r mellett.<\/p>\n<p>N\u00e9zz\u00fck meg, milyen m\u00f3dszereink vannak a v\u00e9delem biztos\u00edt\u00e1s\u00e1ra.<\/p>\n<p>Az irodai k\u00f6rnyezethez a k\u00f6vetkez\u0151ket emeln\u00e9m ki:<\/p>\n<ul>\n<li>zero trust megk\u00f6zel\u00edt\u00e9s a tervez\u00e9sben<\/li>\n<li>magas szint\u0171 v\u00e9delem <\/li>\n<li>h\u00e1l\u00f3zati l\u00e1that\u00f3s\u00e1g<\/li>\n<li>egys\u00e9ges, centraliz\u00e1lt autentik\u00e1ci\u00f3s \u00e9s autoriz\u00e1ci\u00f3s rendszer<\/li>\n<li>gazda ellen\u0151rz\u00e9s (host checking) <\/li>\n<\/ul>\n<p>\nMost r\u00e9szletesebben ismerj\u00fck meg ezeket az aspektusokat.<\/p>\n<h3>Zero Trust<\/h3>\n<p>\nAz IT vil\u00e1g nagyon gyorsan v\u00e1ltozik. Az elm\u00falt 10 \u00e9v sor\u00e1n az \u00faj technol\u00f3gi\u00e1k \u00e9s term\u00e9kek megjelen\u00e9se komolyan \u00e1talak\u00edtotta a biztons\u00e1gi koncepci\u00f3kat. M\u00e9g t\u00edz \u00e9vvel ezel\u0151tt a biztons\u00e1g szempontj\u00e1b\u00f3l a h\u00e1l\u00f3zatot trust, dmz \u00e9s untrust z\u00f3n\u00e1kra szegment\u00e1ltuk, \u00e9s a \u201eperemv\u00e9delem\u201d volt \u00e9rv\u00e9nyben, amelyben 2 v\u00e9delmi vonal volt: untrust -&gt; dmz \u00e9s dmz -&gt; trust. A v\u00e9delem \u00e1ltal\u00e1ban a L3\/L4 (OSI) fejl\u00e9cek (IP, TCP\/UDP portok, TCP z\u00e1szl\u00f3k) alap\u00fa hozz\u00e1f\u00e9r\u00e9si list\u00e1kra korl\u00e1toz\u00f3dott. Minden, ami a magasabb szintekkel, bele\u00e9rtve az L7-et is, kapcsolatos volt, az oper\u00e1ci\u00f3s rendszerekre \u00e9s a v\u00e9gs\u0151 hosztokon telep\u00edtett v\u00e9delmi term\u00e9kekre lett b\u00edzva.<\/p>\n<p>Most a helyzet alapjaiban megv\u00e1ltozott. A modern koncepci\u00f3 <noindex><a rel=\"nofollow\" href=\"https:\/\/doubleoctopus.com\/security-wiki\/network-architecture\/zero-trust\/\">zero trust<\/a><\/noindex> abb\u00f3l indul ki, hogy m\u00e1r lehetetlen a perimen bel\u00fcli, azaz a bels\u0151 rendszereket megb\u00edzhat\u00f3nak tekinteni, \u00e9s mag\u00e1nak a perem fogalma is elmos\u00f3dott\u00e1 v\u00e1lt.<br \/>\nA \uc778\ud130\ub137hez val\u00f3 csatlakoz\u00e1s mellett rendelkez\u00fcnk<\/p>\n<ul>\n<li>a felhaszn\u00e1l\u00f3k t\u00e1voli hozz\u00e1f\u00e9r\u00e9s\u0171 VPN-jeivel<\/li>\n<li>k\u00fcl\u00f6nb\u00f6z\u0151 szem\u00e9lyes eszk\u00f6z\u00f6kkel, irodai WiFi-n kereszt\u00fcl csatlakoztatott laptopokkal<\/li>\n<li>m\u00e1s (branch) irod\u00e1kkal<\/li>\n<li>a felh\u0151infrastrukt\u00far\u00e1val val\u00f3 integr\u00e1ci\u00f3val <\/li>\n<\/ul>\n<p>\nMilyen a Zero Trust megk\u00f6zel\u00edt\u00e9s a gyakorlatban?<\/p>\n<p>Ide\u00e1lisan csak azok a forgalmak enged\u00e9lyezettek, amelyek sz\u00fcks\u00e9gesek, \u00e9s ha m\u00e1r a t\u00f6k\u00e9letess\u00e9gr\u0151l besz\u00e9l\u00fcnk, a kontrollnak nemcsak L3\/L4 szinten, hanem alkalmaz\u00e1sszinten is meg kell val\u00f3sulnia. <\/p>\n<p>Ha p\u00e9ld\u00e1ul van lehet\u0151s\u00e9ge az \u00f6sszes forgalmat t\u0171zfalon \u00e1tengedni, akkor megpr\u00f3b\u00e1lhat k\u00f6zel\u00edteni a t\u00f6k\u00e9letess\u00e9ghez. De ez a megk\u00f6zel\u00edt\u00e9s jelent\u0151sen cs\u00f6kkentheti a h\u00e1l\u00f3zata \u00f6sszes\u00edtett s\u00e1vsz\u00e9less\u00e9g\u00e9t, r\u00e1ad\u00e1sul az alkalmaz\u00e1salap\u00fa sz\u0171r\u00e9s nem mindig m\u0171k\u00f6dik j\u00f3l.<\/p>\n<p>Ha viszont a forgalom ellen\u0151rz\u00e9se a routeren vagy L3 switch-en t\u00f6rt\u00e9nik (szabv\u00e1nyos ACL haszn\u00e1lat\u00e1val), m\u00e1s probl\u00e9m\u00e1kkal szembes\u00fcl:<\/p>\n<ul>\n<li>ez csak L3\/L4 sz\u0171r\u00e9s. Semmi sem akad\u00e1lyozza meg a t\u00e1mad\u00f3t abban, hogy a megengedett portokat (p\u00e9ld\u00e1ul TCP 80) saj\u00e1t alkalmaz\u00e1s\u00e1hoz (nem http) haszn\u00e1lja.<\/li>\n<li>bonyolult ACL menedzsment (neh\u00e9z az ACL elemz\u00e9se)<\/li>\n<li>ez nem statefull t\u0171zfal, teh\u00e1t egy\u00e9rtelm\u0171en enged\u00e9lyeznie kell a visszafel\u00e9 ir\u00e1nyul\u00f3 forgalmat<\/li>\n<li>switch-ek eset\u00e9n \u00e1ltal\u00e1ban el\u00e9g szigor\u00faan korl\u00e1tozottak a TCAM m\u00e9rete, ami a \u201ecsak azt enged\u00e9lyezd, ami sz\u00fcks\u00e9ges\u201d megk\u00f6zel\u00edt\u00e9sekor hamar probl\u00e9m\u00e1v\u00e1 v\u00e1lhat.<\/li>\n<\/ul>\n<p><\/p>\n<blockquote><p><b>Megjegyz\u00e9s<\/b><\/p>\n<p>A visszafel\u00e9 ir\u00e1nyul\u00f3 forgalom kapcs\u00e1n nem szabad elfelejten\u00fcnk, hogy van egy lehet\u0151s\u00e9g\u00fcnk (Cisco) <\/p>\n<p>permit tcp any any established<\/p>\n<p>De meg kell \u00e9rteni, hogy ez a sor egyen\u00e9rt\u00e9k\u0171 k\u00e9t sorral:<br \/>\nenged\u00e9lyezni tcp b\u00e1rhol b\u00e1rhov\u00e1 ack<br \/>\nenged\u00e9lyezni tcp b\u00e1rhol b\u00e1rhov\u00e1 rst<\/p>\n<p>Ez azt jelenti, hogy m\u00e9g ha nem is volt eredeti TCP szegmens SYN jelz\u00e9ssel (teh\u00e1t a TCP kapcsolat m\u00e9g nem is kezd\u0151d\u00f6tt el), ez az ACL \u00e1tengedi az ACK jelz\u00e9s\u0171 csomagot, amit a t\u00e1mad\u00f3 ki tud haszn\u00e1lni az adatok tov\u00e1bb\u00edt\u00e1s\u00e1ra.<\/p>\n<p>Teh\u00e1t ez a sor egy\u00e1ltal\u00e1n nem alak\u00edtja a routeredet vagy az L3 kapcsol\u00f3t stateful t\u0171zfall\u00e1.<\/p><\/blockquote>\n<p><\/p>\n<h3>. Egyetlen cselekedet sem t\u00f6rt\u00e9nhet az \u00d6n \"fel\u00fcgyelete\" n\u00e9lk\u00fcl.<\/h3>\n<p>\nA <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/435138\/\">a Spotify d\u00f6nt\u00e9shozatali m\u00f3dszertan\u00e1r\u00f3l. Egyre t\u00f6bb felhaszn\u00e1l\u00f3 prefer\u00e1lja a zenehallgat\u00e1st mobilon a streaming szolg\u00e1ltat\u00e1sban, de a c\u00e9gn\u00e9l t\u00falnyom\u00f3r\u00e9szt webprogramoz\u00f3k dolgoznak. A Spotify elemezte ezt a helyzetet, \u00e9s \u00fagy d\u00f6nt\u00f6tt, hogy t\u00f6bb mobilfejleszt\u0151t vesz fel, valamint \u00e1tnevezi a webes szakembereket \u00faj ir\u00e1nyba:<\/a><\/noindex> A data center-ekkel foglalkoz\u00f3 r\u00e9szben a k\u00f6vetkez\u0151 v\u00e9delmi m\u00f3dokat vizsg\u00e1ltuk.<\/p>\n<ul>\n<li>stateful firewalling (by default)<\/li>\n<li>ddos\/dos v\u00e9delem<\/li>\n<li>application firewalling<\/li>\n<li>threat prevention (antivirus, anti-spyware, and vulnerability)<\/li>\n<li>URL filtering<\/li>\n<li>data filtering (content filtering)<\/li>\n<li>file blocking (file types blocking)<\/li>\n<\/ul>\n<p>\nIroda eset\u00e9ben a helyzet hasonl\u00f3, de a priorit\u00e1sok kicsit m\u00e1sok. Az iroda el\u00e9rhet\u0151s\u00e9ge (availability) \u00e1ltal\u00e1ban nem olyan kritikus, mint a data center eset\u00e9ben, m\u00edg a \"bels\u0151\" k\u00e1rt\u00e9kony forgalom val\u00f3sz\u00edn\u0171s\u00e9ge nagys\u00e1grendekkel magasabb. <br \/>\nEz\u00e9rt a k\u00f6vetkez\u0151 v\u00e9delmi m\u00f3dszerek kulcsszerepet j\u00e1tszanak ebben a szegmensben:<\/p>\n<ul>\n<li>application firewalling<\/li>\n<li>fenyeget\u00e9smegel\u0151z\u00e9s (anti-virus, anti-spyware \u00e9s sebezhet\u0151s\u00e9g)<\/li>\n<li>URL filtering<\/li>\n<li>data filtering (content filtering)<\/li>\n<li>file blocking (file types blocking)<\/li>\n<\/ul>\n<p>\nB\u00e1r ezek a v\u00e9delmi m\u00f3dszerek, az alkalmaz\u00e1s t\u0171zfalat kiv\u00e9ve, hagyom\u00e1nyosan az v\u00e9gs\u0151 hosztokon (p\u00e9ld\u00e1ul antiv\u00edrus programok telep\u00edt\u00e9s\u00e9vel) \u00e9s proxy seg\u00edts\u00e9g\u00e9vel ker\u00fcltek megold\u00e1sra, a modern NGFW-k ezek szervizt is ny\u00fajtanak. <\/p>\n<p>A biztons\u00e1gi berendez\u00e9sek gy\u00e1rt\u00f3i arra t\u00f6rekednek, hogy \u00e1tfog\u00f3 v\u00e9delmet ny\u00fajtsanak, ez\u00e9rt a helyi v\u00e9delem mellett k\u00fcl\u00f6nf\u00e9le felh\u0151alap\u00fa technol\u00f3gi\u00e1kat \u00e9s kliens szoftvereket aj\u00e1nlanak a hosztokhoz (end point protection\/EPP). P\u00e9ld\u00e1ul a <noindex><a rel=\"nofollow\" href=\"https:\/\/www.fairline.com.tw\/data\/editor\/files\/01%20%20Gartner%20-%20Magic%20Quad%20-%20Endpoint%20Protection%20Platforms%201-2018.pdf\">Gartner Magic Quadrant 2018-as jelent\u00e9s\u00e9b\u0151l<\/a><\/noindex> l\u00e1tjuk, hogy a Palo Alto \u00e9s a Cisco rendelkezik saj\u00e1t EPP-j\u00e9vel (PA: Traps, Cisco: AMP), de nem tartoznak a vezet\u0151k k\u00f6z\u00e9.<\/p>\n<p>Ezeknek a v\u00e9delemnek a bekapcsol\u00e1sa (\u00e1ltal\u00e1ban licenc v\u00e1s\u00e1rl\u00e1s\u00e1val) a t\u0171zfalon term\u00e9szetesen nem k\u00f6telez\u0151 (mehet\u00fcnk a hagyom\u00e1nyos \u00faton is), de bizonyos el\u0151ny\u00f6ket ny\u00fajt:<\/p>\n<ul>\n<li>ebben az esetben egyetlen ponton alkalmazhat\u00f3k a v\u00e9delmi m\u00f3dszerek, ami jav\u00edtja a l\u00e1that\u00f3s\u00e1got (tov\u00e1bbi t\u00e9ma). <\/li>\n<li>ha a h\u00e1l\u00f3zatodban van egy v\u00e9dtelen eszk\u00f6z, akkor az is a t\u0171zfal v\u00e9delmi \"erny\u0151je\" al\u00e1 ker\u00fcl<\/li>\n<li> a t\u0171zfalon a v\u00e9delem \u00e9s az v\u00e9gs\u0151 hosztok v\u00e9delme egy\u00fcttes haszn\u00e1lata n\u00f6veli a k\u00e1rt\u00e9kony forgalom \u00e9szlel\u00e9s\u00e9nek val\u00f3sz\u00edn\u0171s\u00e9g\u00e9t. P\u00e9ld\u00e1ul a fenyeget\u00e9smegel\u0151z\u00e9s helyi hosztokon \u00e9s a t\u0171zfalon val\u00f3 alkalmaz\u00e1sa n\u00f6veli az \u00e9szlel\u00e9s val\u00f3sz\u00edn\u0171s\u00e9g\u00e9t (felt\u00e9ve, hogy ezek a megold\u00e1sok k\u00fcl\u00f6nb\u00f6z\u0151 szoftverterm\u00e9kekre \u00e9p\u00fclnek).<\/li>\n<\/ul>\n<blockquote><p><b>Megjegyz\u00e9s<\/b><\/p>\n<p>Ha p\u00e9ld\u00e1ul a Kaspersky-t haszn\u00e1lja v\u00edrusirt\u00f3k\u00e9nt mind a t\u0171zfalon, mind a v\u00e9gpontokon, nyilv\u00e1nval\u00f3, hogy ez nem n\u00f6veli jelent\u0151sen az es\u00e9lyeit, hogy megakad\u00e1lyozza a v\u00edrusos t\u00e1mad\u00e1st a h\u00e1l\u00f3zat\u00e1ban.<\/p><\/blockquote>\n<p><\/p>\n<h3>H\u00e1l\u00f3zati l\u00e1that\u00f3s\u00e1g<\/h3>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/blog.gigamon.com\/2017\/11\/01\/what-is-network-visibility\/\">A f\u0151 \u00f6tlet<\/a><\/noindex> egyszer\u0171en sz\u00f3lva \u2013 l\u00e1tni, mi t\u00f6rt\u00e9nik a h\u00e1l\u00f3zat\u00e1ban, val\u00f3s id\u0151ben \u00e9s t\u00f6rt\u00e9neti adatok alapj\u00e1n. <\/p>\n<p>Ezt a \"l\u00e1t\u00e1st\" k\u00e9t csoportra osztan\u00e1m:<\/p>\n<p><b>Els\u0151 csoport:<\/b> amit \u00e1ltal\u00e1ban a monitoroz\u00f3 rendszered k\u00edn\u00e1l.<\/p>\n<ul>\n<li>berendez\u00e9sek terhelts\u00e9ge<\/li>\n<li>csatorn\u00e1k terhelts\u00e9ge<\/li>\n<li>mem\u00f3riahaszn\u00e1lat<\/li>\n<li>lemezhaszn\u00e1lat<\/li>\n<li>\u00fatvonalv\u00e1ltoztat\u00e1sok <\/li>\n<li>linkek \u00e1llapota<\/li>\n<li>berendez\u00e9sek (vagy hostok) rendelkez\u00e9sre \u00e1ll\u00e1sa<\/li>\n<li>\u2026<\/li>\n<\/ul>\n<p><b>M\u00e1sodik csoport: <\/b>biztons\u00e1ggal kapcsolatos inform\u00e1ci\u00f3k.<\/p>\n<ul>\n<li>k\u00fcl\u00f6nf\u00e9le statisztik\u00e1k (p\u00e9ld\u00e1ul az alkalmaz\u00e1sokr\u00f3l, weboldal-l\u00e1togat\u00e1sokr\u00f3l, let\u00f6lt\u00f6tt adatok t\u00edpusair\u00f3l, felhaszn\u00e1l\u00f3i adatok)<\/li>\n<li>mi volt blokkolva a biztons\u00e1gi politik\u00e1k \u00e1ltal \u00e9s mi\u00e9rt, nevezetesen\n<ul>\n<li>tiltott alkalmaz\u00e1s<\/li>\n<li>tiltva IP\/protokoll\/port\/jelv\u00e9nyek\/z\u00f3n\u00e1k alapj\u00e1n<\/li>\n<li>fenyeget\u00e9smegel\u0151z\u00e9s<\/li>\n<li>URL sz\u0171r\u00e9s<\/li>\n<li>adat sz\u0171r\u00e9s<\/li>\n<li>f\u00e1jlblokkol\u00e1s<\/li>\n<li>&#8230;<\/li>\n<\/ul>\n<\/li>\n<li>statisztik\u00e1k DOS\/DDOS t\u00e1mad\u00e1sokra<\/li>\n<li>sikertelen azonos\u00edt\u00e1si \u00e9s hiteles\u00edt\u00e9si k\u00eds\u00e9rletek<\/li>\n<li>statisztik\u00e1k az \u00f6sszes fent eml\u00edtett biztons\u00e1gi politik\u00e1kat s\u00e9rt\u0151 esem\u00e9nyr\u0151l<\/li>\n<li>&#8230;<\/li>\n<\/ul>\n<p>\nA biztons\u00e1gnak szentelt jelen fejezetben sz\u00e1munkra a m\u00e1sodik r\u00e9sz a legfontosabb.<\/p>\n<p>N\u00e9h\u00e1ny modern t\u0171zfal (a saj\u00e1t tapasztalataim szerint, p\u00e9ld\u00e1ul a Palo Alto) j\u00f3 l\u00e1that\u00f3s\u00e1gi szintet biztos\u00edt. De term\u00e9szetesen, a forgalomnak, ami \u00e9rdekel, \u00e1t kell haladnia ezen a t\u0171zfalon (ebben az esetben lehet\u0151s\u00e9g van a forgalom letilt\u00e1s\u00e1ra) vagy t\u00fckr\u00f6zni kell a t\u0171zfalra (csak figyel\u00e9s \u00e9s elemz\u00e9s c\u00e9lj\u00e1b\u00f3l), \u00e9s enged\u00e9lyekkel kell rendelkeznie, amelyek lehet\u0151v\u00e9 teszik ezen szolg\u00e1ltat\u00e1sok aktiv\u00e1l\u00e1s\u00e1t.<\/p>\n<p>Van term\u00e9szetesen alternat\u00edv \u00fat is, pontosabban egy hagyom\u00e1nyos m\u00f3dszer, p\u00e9ld\u00e1ul<\/p>\n<ul>\n<li>a munkamenet statisztik\u00e1kat a netflow seg\u00edts\u00e9g\u00e9vel is gy\u0171jtheti, majd speci\u00e1lis eszk\u00f6z\u00f6ket haszn\u00e1lhat az inform\u00e1ci\u00f3k elemz\u00e9s\u00e9re \u00e9s az adatok vizualiz\u00e1l\u00e1s\u00e1ra.<\/li>\n<li>fenyeget\u00e9smegel\u0151z\u00e9s \u2013 speci\u00e1lis programok (v\u00edrusirt\u00f3, k\u00e9mprogram-irt\u00f3, t\u0171zfal) a v\u00e9gpontokon.<\/li>\n<li>URL sz\u0171r\u00e9s, adat sz\u0171r\u00e9s, f\u00e1jlblokkol\u00e1s \u2013 proxy szinten<\/li>\n<li>tov\u00e1bb\u00e1 a tcpdump-ot is elemezheti p\u00e9ld\u00e1ul <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/cisco\/blog\/268207\/\">snort seg\u00edts\u00e9g\u00e9vel.<\/a><\/noindex><\/li>\n<\/ul>\n<p>\nEzeket a megk\u00f6zel\u00edt\u00e9seket \u00f6sszekapcsolhatja, kieg\u00e9sz\u00edtve a hi\u00e1nyz\u00f3 funkci\u00f3kat vagy megism\u00e9telve \u0151ket a t\u00e1mad\u00e1s \u00e9szlel\u00e9s\u00e9nek val\u00f3sz\u00edn\u0171s\u00e9g\u00e9nek n\u00f6vel\u00e9se \u00e9rdek\u00e9ben.<\/p>\n<p>Melyik megk\u00f6zel\u00edt\u00e9st v\u00e1lassza?<br \/>\nNagyon f\u00fcgg a csapata k\u00e9pes\u00edt\u00e9s\u00e9t\u0151l \u00e9s preferenci\u00e1it\u00f3l.<br \/>\nMindk\u00e9t esetben vannak el\u0151ny\u00f6k \u00e9s h\u00e1tr\u00e1nyok.<\/p>\n<h3>K\u00f6zpontos\u00edtott hiteles\u00edt\u00e9si \u00e9s enged\u00e9lyez\u00e9si rendszer<br \/>\n<\/h3>\n<p>\nJ\u00f3 tervez\u00e9s eset\u00e9n, a cikkben t\u00e1rgyalt mobilit\u00e1s azt jelenti, hogy ugyanazokkal a hozz\u00e1f\u00e9r\u00e9sekkel rendelkezik, f\u00fcggetlen\u00fcl att\u00f3l, hogy az irod\u00e1b\u00f3l, otthonr\u00f3l, a rep\u00fcl\u0151t\u00e9rr\u0151l, egy k\u00e1v\u00e9z\u00f3ban vagy b\u00e1rmely m\u00e1s helysz\u00ednen dolgozik (a fent eml\u00edtett korl\u00e1toz\u00e1sok figyelembev\u00e9tel\u00e9vel). Mi teh\u00e1t a probl\u00e9ma? <br \/>\nA feladat \u00f6sszetetts\u00e9g\u00e9nek jobb meg\u00e9rt\u00e9se \u00e9rdek\u00e9ben n\u00e9zz\u00fck meg egy tipikus diz\u00e1jnt.<\/p>\n<blockquote><p><b>t\u00e1mad\u00e1sra<\/b><\/p>\n<ul>\n<li>Csoportokba osztotta az \u00f6sszes alkalmazottat. Elhat\u00e1rozta, hogy csoportonk\u00e9nt biztos\u00edtja a hozz\u00e1f\u00e9r\u00e9seket.<\/li>\n<li>Az irod\u00e1n bel\u00fcl az irodai t\u0171zfalon ellen\u0151rzi a hozz\u00e1f\u00e9r\u00e9seket.<\/li>\n<li>Az iroda \u00e9s az adatk\u00f6zpont k\u00f6z\u00f6tti forgalmat az adatk\u00f6zpont t\u0171zfal\u00e1n ellen\u0151rzi.<\/li>\n<li>VPN kapuk\u00e9nt Cisco ASA-t haszn\u00e1l, \u00e9s a h\u00e1l\u00f3zat\u00e1ba bel\u00e9p\u0151 \u00fcgyfelek \u00e1ltal gener\u00e1lt forgalom ellen\u0151rz\u00e9s\u00e9re helyi (ASA-n l\u00e9v\u0151) ACL-t alkalmaz.<\/li>\n<\/ul>\n<p>\nMost felt\u00e9telezz\u00fck, hogy megk\u00e9rik, hogy adjon hozz\u00e1 egy tov\u00e1bbi hozz\u00e1f\u00e9r\u00e9st egy bizonyos alkalmazottnak. Ehhez csak az \u0151 hozz\u00e1f\u00e9r\u00e9s\u00e9t kellene megadni, \u00e9s senki m\u00e1snak a csoportb\u00f3l.<\/p>\n<p>Ehhez k\u00fcl\u00f6n csoportot kell l\u00e9trehoznunk e munkat\u00e1rs sz\u00e1m\u00e1ra, teh\u00e1t<\/p>\n<ul>\n<li>az ASA-n k\u00fcl\u00f6n IP-poolt l\u00e9trehozni ennek a munkat\u00e1rsnak<\/li>\n<li>\u00faj ACL-t hozz\u00e1adni az ASA-hoz, \u00e9s azt hozz\u00e1rendelni ehhez a t\u00e1voli \u00fcgyf\u00e9lhez<\/li>\n<li>\u00faj biztons\u00e1gi politik\u00e1kat l\u00e9trehozni az irodai \u00e9s az adatk\u00f6zponti t\u0171zfalakon.<\/li>\n<\/ul>\n<p>\nJ\u00f3, ha ez az esem\u00e9ny ritka. De tapasztalataim alapj\u00e1n volt olyan helyzet, amikor az alkalmazottak k\u00fcl\u00f6nb\u00f6z\u0151 projektekben vettek r\u00e9szt, \u00e9s ezek a projektek n\u00e9h\u00e1nyuk sz\u00e1m\u00e1ra el\u00e9g gyakran v\u00e1ltoztak, nem 1-2 emberr\u0151l volt sz\u00f3, hanem tucatnyi. Term\u00e9szetesen itt valamit v\u00e1ltoztatni kellett.<\/p>\n<p>A k\u00f6vetkez\u0151 m\u00f3don d\u00f6nt\u00f6tt\u00fcnk.<\/p>\n<p>\u00dagy d\u00f6nt\u00f6tt\u00fcnk, hogy a munkat\u00e1rsak \u00f6sszes lehets\u00e9ges hozz\u00e1f\u00e9r\u00e9s\u00e9t a LDAP hat\u00e1rozza meg, ami az igazs\u00e1g egyetlen forr\u00e1sa. K\u00fcl\u00f6nb\u00f6z\u0151 csoportokat hoztunk l\u00e9tre, amelyek a hozz\u00e1f\u00e9r\u00e9si szetteket defini\u00e1lt\u00e1k, \u00e9s minden felhaszn\u00e1l\u00f3t egy vagy t\u00f6bb csoporthoz rendelt\u00fcnk. <\/p>\n<p>P\u00e9ld\u00e1ul vegy\u00fck \u00e9szre, hogy voltak csoportok. <\/p>\n<ul>\n<li>vend\u00e9g (hozz\u00e1f\u00e9r\u00e9s az internethez)<\/li>\n<li>\u00e1ltal\u00e1nos hozz\u00e1f\u00e9r\u00e9s (hozz\u00e1f\u00e9r\u00e9s k\u00f6z\u00f6s er\u0151forr\u00e1sokhoz: e-mail, tud\u00e1sb\u00e1zis, \u2026)<\/li>\n<li>k\u00f6nyvel\u00e9s<\/li>\n<li>projekt 1<\/li>\n<li>projekt 2<\/li>\n<li>adatb\u00e1zis-adminisztr\u00e1tor<\/li>\n<li>linux adminisztr\u00e1tor<\/li>\n<li>\u2026<\/li>\n<\/ul>\n<p>\n\u00c9s ha valaki az adott projektekben r\u00e9szt vett, \u00e9s sz\u00fcks\u00e9ge volt a munk\u00e1hoz sz\u00fcks\u00e9ges hozz\u00e1f\u00e9r\u00e9sekre, akkor ezt az illet\u0151t a megfelel\u0151 csoportokhoz rendelt\u00fck:<\/p>\n<ul>\n<li>guest <\/li>\n<li>\u00e1ltal\u00e1nos hozz\u00e1f\u00e9r\u00e9s<\/li>\n<li>projekt 1<\/li>\n<li>projekt 2<\/li>\n<\/ul>\n<p>\nHogyan alak\u00edthat\u00f3 most ez az inform\u00e1ci\u00f3 a h\u00e1l\u00f3zati berendez\u00e9seken el\u00e9rhet\u0151v\u00e9? <\/p>\n<p>A Cisco ASA Dynamic Access Policy (DAP) (see <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/support\/docs\/security\/asa-5500-x-series-next-generation-firewalls\/108000-dap-deploy-guide.html\">www.cisco.com\/c\/en\/us\/support\/docs\/security\/asa-5500-x-series-next-generation-firewalls\/108000-dap-deploy-guide.html<\/a><\/noindex>) solution is just right for this task.<\/p>\n<p>In short, regarding our implementation, during the identification\/authorization process, the ASA receives a set of groups from LDAP corresponding to the user and 'assembles' a dynamic ACL from several local ACLs (each of which corresponds to a group) with all necessary accesses, which fully meets our requirements.<\/p>\n<p>But this is only for VPN connections. To make the situation the same for employees connecting via VPN and those in the office, the following step was taken. <\/p>\n<p>When connecting from the office, users would use the 802.1x protocol to access either a guest VLAN (for guests) or a general access VLAN (for company employees). Furthermore, to gain specific accesses (such as to projects in the data center), employees had to connect via VPN.<\/p>\n<p>Az irod\u00e1b\u00f3l \u00e9s otthonr\u00f3l val\u00f3 csatlakoz\u00e1shoz k\u00fcl\u00f6nb\u00f6z\u0151 alag\u00fatcsoportokat alkalmaztunk az ASA-n. Erre az\u00e9rt van sz\u00fcks\u00e9g, hogy az irod\u00e1b\u00f3l csatlakoz\u00f3 felhaszn\u00e1l\u00f3k forgalma a k\u00f6z\u00f6s er\u0151forr\u00e1sokhoz (amelyeket minden munkav\u00e1llal\u00f3 haszn\u00e1l, mint p\u00e9ld\u00e1ul e-mail, f\u00e1jlszerverek, jegyrendszer, DNS, &#8230;) ne az ASA-n kereszt\u00fcl, hanem a helyi h\u00e1l\u00f3zaton menjen. \u00cdgy nem terhelt\u00fck meg az ASA-t felesleges forgalommal, bele\u00e9rtve a nagy intenzit\u00e1s\u00fa forgalmat is.<\/p>\n<p>Thus, the task was solved. <br \/>\nWe achieved <\/p>\n<ul>\n<li>the same set of accesses for both office connections and remote connections<\/li>\n<li>no service degradation when working from the office related to the transfer of high-intensity traffic through the ASA<\/li>\n<\/ul>\n<p>\nWhat other advantages does this approach have?<br \/>\nIn access administration. Accesses are easily modified in one place.<br \/>\nFor example, if an employee leaves the company, you simply remove them from LDAP, and they automatically lose all accesses.\n<\/p><\/blockquote>\n<p><\/p>\n<h3>Host checking<\/h3>\n<p>\nWith the possibility of remote connections, we expose ourselves to the risk of allowing not only company employees into the network but also all malicious software that is likely present on their computers (e.g., home computers), and moreover, through this software, we may potentially open access to our network for attackers using this host as a proxy.<\/p>\n<p>\u00c9sszer\u0171, hogy a t\u00e1volr\u00f3l csatlakoz\u00f3 hostok sz\u00e1m\u00e1ra ugyanazokat a biztons\u00e1gi k\u00f6vetelm\u00e9nyeket alkalmazz\u00e1k, mint az irod\u00e1ban l\u00e9v\u0151 hostok eset\u00e9ben.<\/p>\n<p>Ez mag\u00e1ban foglalja a \u201ehelyes\u201d oper\u00e1ci\u00f3s rendszer, v\u00edrusirt\u00f3, k\u00e9mprogram-elt\u00e1vol\u00edt\u00f3 \u00e9s t\u0171zfal szoftverek \u00e9s friss\u00edt\u00e9sek haszn\u00e1lat\u00e1t is. \u00c1ltal\u00e1ban ez a lehet\u0151s\u00e9g el\u00e9rhet\u0151 a VPN \u00e1tj\u00e1r\u00f3n (pl. ASA eset\u00e9n, n\u00e9zd meg a p\u00e9ld\u00e1t, <noindex><a rel=\"nofollow\" href=\"https:\/\/community.cisco.com\/t5\/security-documents\/how-to-configure-anyconnect-host-scan\/ta-p\/3118732\">itt<\/a><\/noindex>).<\/p>\n<p>\u00c9sszer\u0171, hogy ugyanezeket az elemz\u00e9si \u00e9s forgalomblokkol\u00e1si m\u00f3dszereket alkalmazzuk (l\u00e1sd \u201eMagas szint\u0171 v\u00e9delem\u201d), amelyeket a biztons\u00e1gi politik\u00e1j\u00e1nak megfelel\u0151en alkalmaz a irodai forgalomra. <\/p>\n<p>\u00c9sszer\u0171 azt felt\u00e9telezni, hogy mostant\u00f3l az irodai h\u00e1l\u00f3zatod nem korl\u00e1toz\u00f3dik az irodai \u00e9p\u00fcletre \u00e9s az ott l\u00e9v\u0151 hostokra.<\/p>\n<blockquote><p><b>t\u00e1mad\u00e1sra<\/b><\/p>\n<p>J\u00f3 fog\u00e1s, hogy minden alkalmazott sz\u00e1m\u00e1ra, akinek t\u00e1voli hozz\u00e1f\u00e9r\u00e9sre van sz\u00fcks\u00e9ge, j\u00f3, k\u00e9nyelmes laptopot biztos\u00edtanak, \u00e9s megk\u00f6vetelik, hogy csak err\u0151l dolgozzon, ak\u00e1r az irod\u00e1ban, ak\u00e1r otthon.<\/p>\n<p>Ez nemcsak n\u00f6veli a h\u00e1l\u00f3zatod biztons\u00e1gi szintj\u00e9t, hanem val\u00f3ban k\u00e9nyelmes is, \u00e9s \u00e1ltal\u00e1ban pozit\u00edvan fogadj\u00e1k az alkalmazottak (ha t\u00e9nyleg j\u00f3 \u00e9s k\u00e9nyelmes laptopr\u00f3l van sz\u00f3).<\/p><\/blockquote>\n<p><\/p>\n<h2>Az ar\u00e1ny\u00e9rz\u00e9kr\u0151l \u00e9s az egyens\u00falyr\u00f3l<\/h2>\n<p>\nAlapvet\u0151en ez a harmadik cs\u00facsr\u00f3l besz\u00e9l a h\u00e1romsz\u00f6g\u00fcnkben \u2014 az \u00e1r.<br \/>\nN\u00e9zz\u00fck meg egy hipotetikus p\u00e9ld\u00e1t.<\/p>\n<blockquote><p><b>t\u00e1mad\u00e1sra<\/b><\/p>\n<p>Van egy 200 f\u0151s irod\u00e1d. Azt d\u00f6nt\u00f6tted, hogy maxim\u00e1lisan k\u00e9nyelmess\u00e9 \u00e9s maxim\u00e1lisan biztonsoss\u00e1 teszed.<\/p>\n<p>Ez\u00e9rt \u00fagy d\u00f6nt\u00f6tt\u00e9l, hogy az \u00f6sszes forgalmat a t\u0171zfalon kereszt\u00fcl engeded \u00e1t, \u00e9s \u00edgy az iroda minden alh\u00e1l\u00f3zata eset\u00e9ben a t\u0171zfal a default \u00e1tj\u00e1r\u00f3. A v\u00e9gpontokon telep\u00edtett security szoftver (v\u00edrusirt\u00f3, k\u00e9mprogram-elt\u00e1vol\u00edt\u00f3 \u00e9s t\u0171zfal szoftver) mellett \u00fagy d\u00f6nt\u00f6tt\u00e9l, hogy minden lehets\u00e9ges v\u00e9delmi m\u00f3dszert alkalmazol a t\u0171zfalon.<\/p>\n<p>A magas sebess\u00e9g\u0171 csatlakoz\u00e1s biztos\u00edt\u00e1sa \u00e9rdek\u00e9ben (minden a k\u00e9nyelem \u00e9rdek\u00e9ben) 10 gigabites portokkal rendelkez\u0151 hozz\u00e1f\u00e9r\u00e9si switcheket v\u00e1lasztott\u00e1l, m\u00edg a t\u0171zfalak eset\u00e9ben nagy teljes\u00edtm\u00e9ny\u0171 NGFW t\u0171zfalakat, p\u00e9ld\u00e1ul a Palo Alto 7K sorozat\u00e1t (40 gigabites portokkal), term\u00e9szetesen minden licenccel \u00e9s term\u00e9szetesen high availability p\u00e1rral.<\/p>\n<p>Emellett persze a berendez\u00e9s haszn\u00e1lat\u00e1hoz legal\u00e1bb n\u00e9h\u00e1ny magasan k\u00e9pzett biztons\u00e1gi m\u00e9rn\u00f6kre is sz\u00fcks\u00e9g van.<\/p>\n<p>Ezen k\u00edv\u00fcl minden alkalmazottnak adt\u00e1l egy j\u00f3 laptopot.<\/p>\n<p>\u00d6sszess\u00e9g\u00e9ben k\u00f6r\u00fclbel\u00fcl 10 milli\u00f3 doll\u00e1r az implement\u00e1ci\u00f3hoz, sz\u00e1mos ezer doll\u00e1r (szerintem k\u00f6zelebb a milli\u00f3hoz) az \u00e9ves t\u00e1mogat\u00e1sra \u00e9s a m\u00e9rn\u00f6k\u00f6k b\u00e9r\u00e9re.<\/p>\n<p>Iroda, 200 ember\u2026<br \/>\nK\u00e9nyelmes? Val\u00f3sz\u00edn\u0171leg, igen. <\/p>\n<p>Ezzel az aj\u00e1nlattal a vezet\u0151s\u00e9gedhez fordulsz...<br \/>\nLehet, hogy a vil\u00e1gban van n\u00e9h\u00e1ny v\u00e1llalat, ahol ez elfogadhat\u00f3 \u00e9s helyes d\u00f6nt\u00e9s. Ha te ennek a v\u00e1llalatnak az alkalmazottja vagy, gratul\u00e1lok, de a t\u00f6bbs\u00e9gi esetekben biztos vagyok benne, hogy a tud\u00e1sodat a vezet\u0151s\u00e9g nem fogja \u00e9rt\u00e9kelni.<\/p><\/blockquote>\n<p>\nT\u00falozzon ez a p\u00e9lda? A k\u00f6vetkez\u0151 fejezet meg fogja adni a v\u00e1laszt erre a k\u00e9rd\u00e9sre.<\/p>\n<p>Ha a h\u00e1l\u00f3zatodban nem l\u00e1tsz valamit az el\u0151bb eml\u00edtett dolgok k\u00f6z\u00fcl, akkor ez norm\u00e1lis.<br \/>\nMinden konkr\u00e9t esetben meg kell tal\u00e1lnod a megfelel\u0151 kompromisszumot a k\u00e9nyelem, az \u00e1r \u00e9s a biztons\u00e1g k\u00f6z\u00f6tt. Gyakran m\u00e9g csak nem is sz\u00fcks\u00e9ges NGFW az irod\u00e1dban, az L7 v\u00e9delem a t\u0171zfalon sem k\u00f6telez\u0151. El\u00e9g egy j\u00f3 l\u00e1that\u00f3s\u00e1g \u00e9s riaszt\u00e1si szint biztos\u00edt\u00e1sa, \u00e9s ez megoldhat\u00f3 p\u00e9ld\u00e1ul ny\u00edlt forr\u00e1sk\u00f3d\u00fa term\u00e9kek haszn\u00e1lat\u00e1val. Igen, a t\u00e1mad\u00e1sra adott reakci\u00f3d nem lesz azonnali, de a legfontosabb, hogy \u00e9szre fogod venni, \u00e9s a megfelel\u0151 folyamatok megl\u00e9t\u00e9vel a r\u00e9szlegeden gyorsan semleges\u00edteni tudod.<\/p>\n<p>\u00c9s eml\u00e9keztetlek, hogy a ciklus e cikkek sz\u00e1nd\u00e9ka szerint nem a h\u00e1l\u00f3zat tervez\u00e9s\u00e9vel foglalkozol, csup\u00e1n pr\u00f3b\u00e1lod jav\u00edtani azt, ami a rendelkez\u00e9sedre \u00e1ll.<\/p>\n<h2>A SAFE irodai architekt\u00fara elemz\u00e9se<\/h2>\n<p>\nFigyelj erre a piros n\u00e9gyzetre, amit a t\u00e9rk\u00e9pen kiemeltem, <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/dam\/en\/us\/solutions\/collateral\/enterprise\/design-zone-security\/safe-architecture-guide-secure-campus.pdf\">SAFE Secure Campus Architecture Guide<\/a><\/noindex>, amelyet itt szeretn\u00e9k megbesz\u00e9lni.<\/p>\n<p><img decoding=\"async\" alt=\"Hogyan vehetj\u00fck al\u00e1 a h\u00e1l\u00f3zati infrastrukt\u00far\u00e1t az ir\u00e1ny\u00edt\u00e1sunk al\u00e1. Harmadik fejezet. H\u00e1l\u00f3zati biztons\u00e1g. Harmadik r\u00e9sz\" src=\"\/wp-content\/uploads\/2019\/04\/617b6561b6ebb17d4f015251abcadf9b.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nEz az architekt\u00fara egyik kulcspontja \u00e9s az egyik legfontosabb bizonytalans\u00e1g.<\/p>\n<blockquote><p><b>Megjegyz\u00e9s<\/b><\/p>\n<p>Soha nem \u00e1ll\u00edtottam be \u00e9s nem dolgoztam a FirePower-rel (a Cisco t\u0171zfalai k\u00f6z\u00fcl \u2013 csak az ASA-val), \u00edgy \u00fagy fogom kezelni, mint b\u00e1rmilyen m\u00e1s t\u0171zfalat, p\u00e9ld\u00e1ul a Juniper SRX-et vagy a Palo Alto-t, felt\u00e9telezve, hogy azoknak megvannak a hasonl\u00f3 k\u00e9pess\u00e9geik.<\/p><\/blockquote>\n<p>\nA megszokott konfigur\u00e1ci\u00f3kb\u00f3l csak 4 lehets\u00e9ges t\u0171zfalhaszn\u00e1lati vari\u00e1ci\u00f3t l\u00e1tok egy ilyen csatlakoz\u00e1ssal:<\/p>\n<ul>\n<li>minden alh\u00e1l\u00f3zatn\u00e1l az alap\u00e9rtelmezett \u00e1tj\u00e1r\u00f3 egy switch, mik\u00f6zben a t\u0171zfal \u00e1tl\u00e1tsz\u00f3 m\u00f3dban m\u0171k\u00f6dik (azaz az \u00f6sszes forgalom rajta halad \u00e1t, de nem k\u00e9pez L3 ugr\u00e1st)<\/li>\n<li>minden alh\u00e1l\u00f3zatn\u00e1l a t\u0171zfal al-interf\u00e9szei (vagy SVI interf\u00e9szek) az alap\u00e9rtelmezett \u00e1tj\u00e1r\u00f3k, a switch L2 szerepet j\u00e1tszik<\/li>\n<li>a switchen k\u00fcl\u00f6nb\u00f6z\u0151 VRF-ek vannak, \u00e9s a forgalom a VRF-ek k\u00f6z\u00f6tt a t\u0171zfalon megy \u00e1t, a forgalom egy VRF-en bel\u00fcl az ACL-ek \u00e1ltal van szab\u00e1lyozva a switchen<\/li>\n<li>minden forgalom t\u00fckr\u00f6z\u00e9se a t\u0171zfalra anal\u00edzis \u00e9s monitoroz\u00e1s c\u00e9lj\u00e1b\u00f3l, a forgalom rajta nem halad \u00e1t<\/li>\n<\/ul>\n<p><\/p>\n<blockquote><p><b>Megjegyz\u00e9s 1<\/b><\/p>\n<p>Ezeket a lehet\u0151s\u00e9geket kombin\u00e1lni lehet, de egyszer\u0171s\u00e9g kedv\u00e9\u00e9rt most nem foglalkozunk vel\u00fck.<\/p><\/blockquote>\n<blockquote><p><b>Megjegyz\u00e9s2<\/b><\/p>\n<p>Van lehet\u0151s\u00e9g a PBR (szolg\u00e1ltat\u00e1sl\u00e1nc architekt\u00fara) haszn\u00e1lat\u00e1ra is, de ez egyel\u0151re, v\u00e9lem\u00e9nyem szerint, ink\u00e1bb egzotikus megold\u00e1s, ez\u00e9rt itt nem t\u00e1rgyalom.<\/p><\/blockquote>\n<p>\nA dokumentumban tal\u00e1lhat\u00f3 forgalmi le\u00edr\u00e1sok alapj\u00e1n l\u00e1tjuk, hogy a forgalom m\u00e9gis a t\u0171zfalon kereszt\u00fcl halad, teh\u00e1t a Cisco tervez\u00e9se szerint a negyedik lehet\u0151s\u00e9g kiz\u00e1rhat\u00f3.<\/p>\n<p>El\u0151sz\u00f6r vizsg\u00e1ljuk meg az els\u0151 k\u00e9t lehet\u0151s\u00e9get.<br \/>\nEzekkel a lehet\u0151s\u00e9gekkel az \u00f6sszes forgalom a t\u0171zfalon kereszt\u00fcl halad.<\/p>\n<p>Most n\u00e9zz\u00fck meg <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/products\/collateral\/security\/firepower-ngfw\/data_sheet-c78-736661.html\">adatlap<\/a><\/noindex>, n\u00e9zz\u00fck <noindex><a rel=\"nofollow\" href=\"https:\/\/itprice.com\">Cisco GPL<\/a><\/noindex> \u00e9s l\u00e1tjuk, hogy ha legal\u00e1bb 10 \u2013 20 gigabites \u00f6sszes s\u00e1vsz\u00e9less\u00e9get szeretn\u00e9nk az irod\u00e1nk sz\u00e1m\u00e1ra, akkor 4K verzi\u00f3t kell v\u00e1s\u00e1rolnunk.<\/p>\n<blockquote><p><b>Megjegyz\u00e9s<\/b><\/p>\n<p>Amikor az \u00f6sszes s\u00e1vsz\u00e9less\u00e9gr\u0151l besz\u00e9lek, akkor a k\u00fcl\u00f6nb\u00f6z\u0151 alh\u00e1l\u00f3zatok k\u00f6z\u00f6tti forgalmat \u00e9rtem (nem egy vLAN-on bel\u00fcl).<\/p><\/blockquote>\n<p>\nA GPL-b\u0151l l\u00e1tjuk, hogy a HA Bundle Threat Defense \u00e1rai a modellt\u0151l f\u00fcgg\u0151en (4110 \u2013 4150) ~0,5 \u2013 2,5 milli\u00f3 doll\u00e1r k\u00f6z\u00f6tt v\u00e1ltoznak.<\/p>\n<p>Teh\u00e1t a designunk kezd hasonl\u00edtani az el\u0151z\u0151 p\u00e9ld\u00e1hoz.<\/p>\n<p>Jelenti ez, hogy a design hib\u00e1s?<br \/>\nNem, nem jelenti. A Cisco a rendelkez\u00e9sre \u00e1ll\u00f3 term\u00e9kportf\u00f3li\u00f3ja alapj\u00e1n a lehet\u0151 legnagyobb v\u00e9delmet ny\u00fajtja. De ez nem jelenti azt, hogy ez minden esetben \u201emusz\u00e1j\u201d lenne az \u00d6n sz\u00e1m\u00e1ra. <\/p>\n<p>Alapvet\u0151en ez egy szok\u00e1sos k\u00e9rd\u00e9s, amely az iroda vagy adatk\u00f6zpont tervez\u00e9sekor mer\u00fcl fel, \u00e9s csak annyit jelent, hogy kompromisszumot kell keresni. <\/p>\n<p>P\u00e9ld\u00e1ul nem minden forgalmat a t\u0171zfalon kereszt\u00fcl engedni, \u00e9s ebben az esetben a harmadik lehet\u0151s\u00e9g nekem el\u00e9g vonz\u00f3nak t\u0171nik, vagy (l\u00e1sd az el\u0151z\u0151 fejezetet), lehet, hogy \u00d6nnek nincs sz\u00fcks\u00e9ge a \u201eThreat Defense\u201d-re, vagy egy\u00e1ltal\u00e1n nem sz\u00fcks\u00e9ges t\u0171zfal ezen a h\u00e1l\u00f3zati szegmensen, \u00e9s elegend\u0151 a passz\u00edv monitoroz\u00e1s, amit olcs\u00f3 (nem dr\u00e1ga) vagy ny\u00edlt forr\u00e1sk\u00f3d\u00fa megold\u00e1sokkal v\u00e9gezhet, vagy sz\u00fcks\u00e9ge van t\u0171zfalra, de m\u00e1s gy\u00e1rt\u00f3t\u00f3l.<\/p>\n<p>\u00c1ltal\u00e1ban mindig ott van ez a bizonytalans\u00e1g, \u00e9s nincs egy\u00e9rtelm\u0171 v\u00e1lasz, hogy melyik megold\u00e1s a legjobb az \u00d6n sz\u00e1m\u00e1ra.<br \/>\nEz a feladat bonyolults\u00e1ga \u00e9s sz\u00e9ps\u00e9ge.<br \/>\n<br \/>Forr\u00e1s: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/447610\/\">habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u044f\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb. \u0421\u043e\u0434\u0435\u0440\u0436\u0430\u043d\u0438\u0435 \u0432\u0441\u0435\u0445 \u0441\u0442\u0430\u0442\u0435\u0439 \u0446\u0438\u043a\u043b\u0430 \u0438 \u0441\u0441\u044b\u043b\u043a\u0438 \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u0437\u0434\u0435\u0441\u044c. \u042d\u0442\u0430 \u0447\u0430\u0441\u0442\u044c \u0431\u0443\u0434\u0435\u0442 \u043f\u043e\u0441\u0432\u044f\u0449\u0435\u043d\u0430 Campus (Office) &amp; Remote access VPN \u0441\u0435\u0433\u043c\u0435\u043d\u0442\u0430\u043c. \u041c\u043e\u0436\u0435\u0442 \u043f\u043e\u043a\u0430\u0437\u0430\u0442\u044c\u0441\u044f, \u0447\u0442\u043e \u0434\u0438\u0437\u0430\u0439\u043d \u043e\u0444\u0438\u0441\u043d\u043e\u0439 \u0441\u0435\u0442\u0438 \u2013 \u044d\u0442\u043e \u043f\u0440\u043e\u0441\u0442\u043e. \u0414\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e, \u0431\u0435\u0440\u0435\u043c L2\/L3 \u043a\u043e\u043c\u043c\u0443\u0442\u0430\u0442\u043e\u0440\u044b, \u0441\u043e\u0435\u0434\u0438\u043d\u044f\u0435\u043c \u0438\u0445 \u043c\u0435\u0436\u0434\u0443 \u0441\u043e\u0431\u043e\u0439. \u0414\u0430\u043b\u0435\u0435, \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u043c \u044d\u043b\u0435\u043c\u0435\u043d\u0442\u0430\u0440\u043d\u0443\u044e \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0443 [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":23359,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-31395","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.3 - aioseo.com -->\n\t<meta name=\"description\" content=\"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u044f\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.\" \/>\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya\" \/>\n\t\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.3\" \/>\n\t\t<meta property=\"og:locale\" content=\"hu_HU\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c. \u0413\u043b\u0430\u0432\u0430 \u0442\u0440\u0435\u0442\u044c\u044f. \u0421\u0435\u0442\u0435\u0432\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c. \u0427\u0430\u0441\u0442\u044c \u0442\u0440\u0435\u0442\u044c\u044f | ProHoster\" \/>\n\t\t<meta property=\"og:description\" content=\"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u044f\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2019-10-31T18:41:01+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2019-10-31T18:41:01+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47Hogyan vegy\u00fck k\u00e9zbe a h\u00e1l\u00f3zati infrastrukt\u00far\u00e1t. Harmadik fejezet. H\u00e1l\u00f3zati biztons\u00e1g. Harmadik r\u00e9sz | ProHoster","description":"Ez a cikk az \u201eHogyan vegy\u00fck k\u00e9zbe a h\u00e1l\u00f3zati infrastrukt\u00far\u00e1t\u201d cikkciklus \u00f6t\u00f6dik r\u00e9sze.","canonical_url":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"hu_HU","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c. \u0413\u043b\u0430\u0432\u0430 \u0442\u0440\u0435\u0442\u044c\u044f. \u0421\u0435\u0442\u0435\u0432\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c. \u0427\u0430\u0441\u0442\u044c \u0442\u0440\u0435\u0442\u044c\u044f | ProHoster","og:description":"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u044f\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.","og:url":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:41:01+00:00","article:modified_time":"2019-10-31T18:41:01+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"31395","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 05:58:22","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:17:26","updated":"2026-01-21 05:58:22","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts\/31395","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/comments?post=31395"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts\/31395\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/media\/23359"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/media?parent=31395"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/categories?post=31395"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/tags?post=31395"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}