{"id":31395,"date":"2019-10-31T21:41:01","date_gmt":"2019-10-31T18:41:01","guid":{"rendered":"https:\/\/prohoster.info\/blog\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya\/"},"modified":"2019-10-31T21:41:01","modified_gmt":"2019-10-31T18:41:01","slug":"kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya","title":{"rendered":"Como assumir o controle da infraestrutura de rede. Cap\u00edtulo tr\u00eas. Seguran\u00e7a de rede. Parte tr\u00eas.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p><i>Este artigo \u00e9 o quinto de uma s\u00e9rie intitulada \"Como assumir o controle da infraestrutura de rede\". O conte\u00fado de todos os artigos da s\u00e9rie e os links podem ser encontrados <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/447008\/\">aqui<\/a><\/noindex><\/i>.<\/p>\n<p>Esta parte ser\u00e1 dedicada aos segmentos de VPN Campus (Office) e Acesso Remoto. <\/p>\n<p><img decoding=\"async\" alt=\"Como assumir o controle da infraestrutura de rede. Cap\u00edtulo tr\u00eas. Seguran\u00e7a de rede. Parte tr\u00eas.\" src=\"\/wp-content\/uploads\/2019\/04\/c20ea5e670105b5bf9b655a97b82f62f.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nPode parecer que projetar uma rede de escrit\u00f3rio \u00e9 simples. <\/p>\n<p>De fato, pegamos switches L2\/L3, conectamos uns aos outros. Em seguida, fazemos a configura\u00e7\u00e3o b\u00e1sica de VLANs, gateways padr\u00e3o, ativamos um roteamento simples, conectamos controladores WiFi, pontos de acesso, instalamos e configuramos ASA para acesso remoto, e ficamos felizes que tudo funcionou. No princ\u00edpio, como j\u00e1 escrevi em um dos artigos anteriores <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/434750\/\">de artigos<\/a><\/noindex> desta s\u00e9rie, planejar e configurar uma rede de escrit\u00f3rio para que \"funcione de alguma forma\" \u00e9 algo que quase qualquer estudante que tenha feito (e aprendido) dois semestres de um curso em telecomunica\u00e7\u00f5es pode fazer.<\/p>\n<p>No entanto, quanto mais voc\u00ea aprende, mais complicada essa tarefa parece. Pessoalmente, o tema do design de redes de escrit\u00f3rio n\u00e3o me parece simples, e neste artigo tentarei explicar o porqu\u00ea.<\/p>\n<p>Simplificando, \u00e9 necess\u00e1rio considerar muitos fatores. Frequentemente, esses fatores entram em conflito entre si e \u00e9 preciso buscar um compromisso razo\u00e1vel. <br \/>\nEssa incerteza \u00e9 a principal complexidade. Assim, ao falarmos sobre seguran\u00e7a, temos um tri\u00e2ngulo com tr\u00eas v\u00e9rtices: seguran\u00e7a, facilidade para os funcion\u00e1rios e custo da solu\u00e7\u00e3o. <br \/>\nE a cada vez precisamos buscar um compromisso entre esses tr\u00eas.<br \/>\n<noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><\/p>\n<h2>Arquitetura<\/h2>\n<p>\nComo exemplo de arquitetura para esses dois segmentos, assim como em artigos anteriores, recomendo <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/td\/docs\/solutions\/Enterprise\/Security\/SAFE_RG\/SAFE_rg\/chap1.html\">Cisco SAFE<\/a><\/noindex> o modelo: <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/td\/docs\/solutions\/Enterprise\/Security\/SAFE_RG\/SAFE_rg\/chap5.html#wpxref51616\">Enterprise Campus<\/a><\/noindex>, <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/td\/docs\/solutions\/Enterprise\/Security\/SAFE_RG\/SAFE_rg\/chap6.html#wpxref74611\">Enterprise Internet Edge<\/a><\/noindex>.<\/p>\n<p>Estes s\u00e3o documentos um pouco desatualizados. Estou apresentando-os aqui porque, fundamentalmente, os esquemas e a abordagem n\u00e3o mudaram, mas o estilo me agrada mais do que na <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/solutions\/enterprise\/design-zone-security\/landing_safe.html#~tab-architecture\">nova documenta\u00e7\u00e3o<\/a><\/noindex>.<\/p>\n<p>Embora n\u00e3o esteja sugerindo que voc\u00ea use exatamente as solu\u00e7\u00f5es da Cisco, acredito que seja \u00fatil analisar atentamente esse design. <\/p>\n<p>Este artigo, como de costume, sem pretender ser completo, \u00e9 mais um complemento para essas informa\u00e7\u00f5es. <\/p>\n<p>No final do artigo, vamos analisar o design Cisco SAFE para o escrit\u00f3rio \u00e0 luz dos conceitos apresentados aqui.<\/p>\n<h2>Princ\u00edpios Gerais<\/h2>\n<p>\nO design da rede de escrit\u00f3rio deve, certamente, satisfazer os requisitos gerais que foram discutidos <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/434750\/\">aqui<\/a><\/noindex> na se\u00e7\u00e3o \"Crit\u00e9rios de Avalia\u00e7\u00e3o da Qualidade do Design\". Al\u00e9m do pre\u00e7o e da seguran\u00e7a, que pretendemos discutir neste artigo, existem ainda tr\u00eas crit\u00e9rios que devemos considerar ao projetar (ou ao fazer altera\u00e7\u00f5es):<\/p>\n<ul>\n<li>escalabilidade (scalability)<\/li>\n<li>facilidade de gerenciamento (manageability)<\/li>\n<li>disponibilidade (availability)<\/li>\n<\/ul>\n<p>\nMuito do que foi discutido para <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/435138\/\">de data centers<\/a><\/noindex> tamb\u00e9m \u00e9 aplic\u00e1vel ao escrit\u00f3rio. <\/p>\n<p>Mas, ainda assim, o segmento de escrit\u00f3rio possui suas pr\u00f3prias especificidades, que do ponto de vista da seguran\u00e7a s\u00e3o cr\u00edticas. A ess\u00eancia dessa especificidade \u00e9 que esse segmento \u00e9 criado para fornecer servi\u00e7os de rede aos funcion\u00e1rios (bem como parceiros e convidados) da empresa e, como consequ\u00eancia, no n\u00edvel mais alto de considera\u00e7\u00e3o do problema, temos duas tarefas:<\/p>\n<ul>\n<li>proteger os recursos da empresa contra a\u00e7\u00f5es maliciosas que podem vir de funcion\u00e1rios (convidados, parceiros) e de softwares que eles utilizam. Isso tamb\u00e9m inclui a prote\u00e7\u00e3o contra conex\u00f5es n\u00e3o autorizadas \u00e0 rede. <\/li>\n<li>proteger os sistemas e os dados dos pr\u00f3prios usu\u00e1rios<\/li>\n<\/ul>\n<p>\nE essa \u00e9 apenas uma camada do problema (ou mais precisamente, um pico do tri\u00e2ngulo). Do outro lado est\u00e1 a conveni\u00eancia do usu\u00e1rio e o custo das solu\u00e7\u00f5es aplicadas.<\/p>\n<p>Vamos come\u00e7ar analisando o que o usu\u00e1rio espera de uma rede de escrit\u00f3rio moderna. <\/p>\n<h2>Conveni\u00eancias<\/h2>\n<p>\nAssim vejo as \"conveni\u00eancias de rede\" para o usu\u00e1rio de escrit\u00f3rio:<\/p>\n<ul>\n<li>Mobilidade<\/li>\n<li>Capacidade de utilizar toda a gama de dispositivos e sistemas operacionais habituais<\/li>\n<li>Acesso f\u00e1cil a todos os recursos necess\u00e1rios da empresa <\/li>\n<li>Disponibilidade de recursos da internet, incluindo v\u00e1rios servi\u00e7os em nuvem<\/li>\n<li>\"R\u00e1pido funcionamento\" da rede<\/li>\n<\/ul>\n<p>\nTudo isso se aplica tanto aos funcion\u00e1rios quanto aos convidados (ou parceiros), e essa j\u00e1 \u00e9 uma tarefa para os engenheiros da empresa que, com base na autoriza\u00e7\u00e3o, devem diferenciar os acessos para diferentes grupos de usu\u00e1rios.<\/p>\n<p>Vamos examinar cada um desses aspectos com mais detalhes.<\/p>\n<h3>Mobilidade<\/h3>\n<p>\nEstamos falando sobre a capacidade de trabalhar e utilizar todos os recursos necess\u00e1rios da empresa de qualquer lugar do mundo (claro, onde a internet est\u00e1 dispon\u00edvel).<\/p>\n<p>Isso se aplica plenamente ao escrit\u00f3rio. \u00c9 conveniente quando, de qualquer ponto do escrit\u00f3rio, voc\u00ea pode continuar trabalhando, como receber e-mails, interagir no mensageiro corporativo e estar dispon\u00edvel para videochamadas. Assim, isso permite que voc\u00ea, por um lado, resolva algumas quest\u00f5es por meio da comunica\u00e7\u00e3o 'ao vivo' (como participar de reuni\u00f5es) e, por outro lado, esteja sempre online, mantendo o controle e resolvendo rapidamente algumas tarefas urgentes e de alta prioridade. Isso \u00e9 muito pr\u00e1tico e realmente melhora a qualidade da comunica\u00e7\u00e3o.<\/p>\n<p>Isso \u00e9 alcan\u00e7ado com um design adequado da rede WiFi.<\/p>\n<blockquote><p><b>Observa\u00e7\u00e3o<\/b><\/p>\n<p>Aqui geralmente surge a pergunta: \u00e9 suficiente usar apenas WiFi? Isso significa que \u00e9 poss\u00edvel abrir m\u00e3o do uso de portas Ethernet no escrit\u00f3rio? Se estamos falando apenas de usu\u00e1rios e n\u00e3o de servidores, que, de fato, \u00e9 sensato conectar via porta Ethernet, a resposta geral \u00e9: sim, \u00e9 poss\u00edvel se limitar apenas ao WiFi. Mas h\u00e1 nuances.<\/p>\n<p>Existem grupos importantes de usu\u00e1rios que requerem uma abordagem separada. Estes s\u00e3o, claro, os administradores. Basicamente, a conex\u00e3o WiFi \u00e9 menos confi\u00e1vel (em termos de perda de tr\u00e1fego) e menos r\u00e1pida do que a porta Ethernet comum. Isso pode ser significativo para os administradores. Al\u00e9m disso, os administradores de rede, por exemplo, podem ter uma rede Ethernet dedicada para conex\u00f5es out-of-band.<\/p>\n<p>\u00c9 poss\u00edvel que em sua empresa existam outros grupos\/departamentos para os quais esses fatores tamb\u00e9m sejam importantes.<\/p>\n<p>H\u00e1 outro ponto importante \u2013 telefonia. Por algum motivo, voc\u00ea pode n\u00e3o querer usar VoIP sem fio e preferir usar telefones IP com conex\u00e3o Ethernet comum. <\/p>\n<p>Em geral, nas empresas em que trabalhei, geralmente havia dispon\u00edvel tanto conex\u00e3o WiFi quanto porta Ethernet.<\/p><\/blockquote>\n<p>\nGostaria que a mobilidade n\u00e3o estivesse restrita apenas ao escrit\u00f3rio.<\/p>\n<p>Para possibilitar o trabalho em casa (ou em qualquer outro lugar com acesso \u00e0 internet), utiliza-se uma conex\u00e3o VPN. Ao mesmo tempo, \u00e9 desej\u00e1vel que os funcion\u00e1rios n\u00e3o sintam a diferen\u00e7a entre trabalhar em casa e o trabalho remoto, o que implica a disponibilidade dos mesmos acessos. Como organizar isso, discutiremos mais adiante no cap\u00edtulo 'Sistema de autentica\u00e7\u00e3o e autoriza\u00e7\u00e3o centralizado'.<\/p>\n<blockquote><p><b>Observa\u00e7\u00e3o<\/b><\/p>\n<p>Provavelmente, voc\u00ea n\u00e3o conseguir\u00e1 fornecer a mesma qualidade de servi\u00e7os para trabalho remoto que tem no escrit\u00f3rio. Vamos supor que voc\u00ea esteja usando um Cisco ASA 5520 como seu gateway VPN. De acordo com <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/products\/security\/asa-5500-series-next-generation-firewalls\/data_sheet_c78-345385.html\">fichas t\u00e9cnicas<\/a><\/noindex> este dispositivo pode \"processar\" apenas 225 Mbps de tr\u00e1fego VPN. Isso significa que, claro, em termos de largura de banda, a conex\u00e3o via VPN \u00e9 bastante diferente do trabalho no escrit\u00f3rio. Al\u00e9m disso, se por algum motivo, a lat\u00eancia, perdas, jitter (por exemplo, se voc\u00ea deseja usar a telefonia IP do escrit\u00f3rio) forem significativos para os seus servi\u00e7os de rede, voc\u00ea tamb\u00e9m n\u00e3o obter\u00e1 a mesma qualidade que se estivesse no escrit\u00f3rio. Portanto, ao falar sobre mobilidade, devemos lembrar das poss\u00edveis limita\u00e7\u00f5es.<\/p><\/blockquote>\n<p><\/p>\n<h3>Acesso f\u00e1cil a todos os recursos da empresa<\/h3>\n<p>\nEssa tarefa deve ser tratada em conjunto com outros departamentos t\u00e9cnicos.<br \/>\nA situa\u00e7\u00e3o ideal \u00e9 quando o usu\u00e1rio precisa se autenticar apenas uma vez e, em seguida, tem acesso a todos os recursos necess\u00e1rios.<br \/>\nFornecer acesso f\u00e1cil sem comprometer a seguran\u00e7a pode aumentar significativamente a efici\u00eancia do trabalho e reduzir o n\u00edvel de estresse entre seus colegas.<\/p>\n<blockquote><p><b>Observa\u00e7\u00e3o 1<\/b><\/p>\n<p>Facilidade de acesso n\u00e3o se refere apenas ao n\u00famero de vezes que voc\u00ea precisa digitar a senha. Se, por exemplo, de acordo com sua pol\u00edtica de seguran\u00e7a, para se conectar do escrit\u00f3rio ao data center voc\u00ea deve primeiro conectar-se ao gateway VPN, e ao mesmo tempo voc\u00ea perde o acesso aos recursos do escrit\u00f3rio, isso tamb\u00e9m \u00e9 muito inconveniente.\n<\/p><\/blockquote>\n<blockquote><p><b>Observa\u00e7\u00e3o 2<\/b><\/p>\n<p>Existem servi\u00e7os (por exemplo, acesso ao equipamento de rede) onde geralmente temos nossos pr\u00f3prios servidores AAA dedicados e \u00e9 normal, neste caso, ter que se autenticar v\u00e1rias vezes.\n<\/p><\/blockquote>\n<p><\/p>\n<h3>Disponibilidade de recursos da internet<\/h3>\n<p>\nA internet n\u00e3o \u00e9 apenas entretenimento, mas tamb\u00e9m um conjunto de servi\u00e7os que pode ser muito \u00fatil para o trabalho. Existem tamb\u00e9m fatores puramente psicol\u00f3gicos. A pessoa moderna est\u00e1 conectada a outras atrav\u00e9s da internet por muitos fios virtuais, e, na minha opini\u00e3o, n\u00e3o h\u00e1 nada de errado em continuar a sentir essa conex\u00e3o mesmo durante o trabalho.<\/p>\n<p>Do ponto de vista da perda de tempo, n\u00e3o h\u00e1 nada de errado se um funcion\u00e1rio tiver, por exemplo, o Skype aberto e gastar 5 minutos conversando com uma pessoa pr\u00f3xima, se necess\u00e1rio.<\/p>\n<p>Isso significa que a internet deve estar sempre dispon\u00edvel? Isso quer dizer que os funcion\u00e1rios podem ter acesso a todos os recursos sem qualquer controle?<\/p>\n<p>N\u00e3o, isso n\u00e3o significa, \u00e9 claro. O n\u00edvel de abertura da internet pode variar entre diferentes empresas \u2013 desde uma total restri\u00e7\u00e3o at\u00e9 uma total abertura. Discutiremos as formas de controle do tr\u00e1fego mais adiante nas se\u00e7\u00f5es dedicadas \u00e0s ferramentas de seguran\u00e7a. <\/p>\n<h3>A capacidade de usar toda a gama de dispositivos familiares<\/h3>\n<p>\n\u00c9 conveniente quando voc\u00ea, por exemplo, pode continuar usando todos os meios de comunica\u00e7\u00e3o com os quais est\u00e1 acostumado tamb\u00e9m no trabalho. N\u00e3o \u00e9 tecnicamente complicado implementar isso. Para isso, precisamos de WiFi e de uma VLAN convidada.<\/p>\n<p>\u00c9 tamb\u00e9m bom se houver a possibilidade de usar o sistema operacional ao qual voc\u00ea est\u00e1 acostumado. Mas, na minha observa\u00e7\u00e3o, isso costuma ser permitido apenas para gerentes, administradores e desenvolvedores. <\/p>\n<blockquote><p><b>Exemplo<\/b><\/p>\n<p>Claro, voc\u00ea pode seguir o caminho das proibi\u00e7\u00f5es, proibindo o acesso remoto, proibindo conex\u00f5es de dispositivos m\u00f3veis, limitando tudo a conex\u00f5es Ethernet est\u00e1ticas, restringindo o acesso \u00e0 internet, obrigando a recolher celulares e gadgets na entrada... e esse caminho \u00e9, de fato, seguido por algumas organiza\u00e7\u00f5es com requisitos elevados de seguran\u00e7a, e, possivelmente, em alguns casos isso pode ser justificado, mas... concorde que isso parece uma tentativa de parar o progresso em uma determinada organiza\u00e7\u00e3o. Claro, gostaria de combinar as capacidades que as tecnologias modernas oferecem com um n\u00edvel de seguran\u00e7a adequado.<\/p><\/blockquote>\n<p><\/p>\n<h3>\"R\u00e1pido funcionamento\" da rede<\/h3>\n<p>\nA velocidade de transmiss\u00e3o de dados \u00e9 tecnicamente composta por muitos fatores. E a velocidade do seu porto de conex\u00e3o geralmente n\u00e3o \u00e9 o mais importante deles. Nem sempre o desempenho lento de um aplicativo est\u00e1 relacionado a problemas de rede, mas neste momento nos interessa apenas a parte da rede. O problema mais comum de \"lentid\u00e3o\" na rede local est\u00e1 relacionado \u00e0 perda de pacotes. Isso normalmente ocorre na presen\u00e7a do efeito de \"gargalo\" ou em problemas de L1 (OSI). Menos frequentemente, em alguns designs (por exemplo, quando os firewalls atuam como gateways padr\u00e3o em suas sub-redes e, assim, todo o tr\u00e1fego passa por eles), a falta de desempenho do hardware pode ser uma quest\u00e3o. <\/p>\n<p>Portanto, ao escolher o equipamento e a arquitetura, voc\u00ea precisa alinhar as velocidades das portas finais, dos troncos e do desempenho do equipamento.<\/p>\n<blockquote><p><b>Exemplo<\/b><\/p>\n<p>Suponha que voc\u00ea esteja utilizando switches de n\u00edvel de acesso com portas de 1 gigabit. Eles est\u00e3o conectados entre si atrav\u00e9s de um Etherchannel de 2 x 10 gigabits. Como gateway padr\u00e3o, voc\u00ea utiliza um firewall com portas de 1 gigabit, conectando-o \u00e0 rede L2 do escrit\u00f3rio utilizando 2 portas de 1 gigabit, combinadas em Etherchannel. <\/p>\n<p>Essa arquitetura \u00e9 bastante conveniente em termos de funcionalidade, pois todo o tr\u00e1fego passa pelo firewall, permitindo que voc\u00ea gerencie confortavelmente as pol\u00edticas de acesso e aplique algoritmos complexos de controle de tr\u00e1fego e preven\u00e7\u00e3o de poss\u00edveis ataques (veja abaixo), mas em termos de largura de banda e desempenho, esse design, certamente, apresenta problemas potenciais. Por exemplo, 2 hosts baixando dados (com uma velocidade de porta de 1 gigabit) podem saturar completamente a conex\u00e3o de 2 gigabits com o firewall, levando assim \u00e0 degrada\u00e7\u00e3o do servi\u00e7o para todo o segmento do escrit\u00f3rio.<\/p><\/blockquote>\n<p>\nVimos um pico do tri\u00e2ngulo, agora vamos examinar os meios pelos quais podemos garantir a seguran\u00e7a.<\/p>\n<h2>Meios de prote\u00e7\u00e3o<\/h2>\n<p>\nAssim, claro, normalmente, nosso desejo (ou melhor, o desejo de nossa dire\u00e7\u00e3o) \u00e9 alcan\u00e7ar o imposs\u00edvel, ou seja, fornecer o m\u00e1ximo de conveni\u00eancia com a m\u00e1xima seguran\u00e7a e o menor custo.<\/p>\n<p>Vamos considerar quais m\u00e9todos temos \u00e0 disposi\u00e7\u00e3o para fornecer prote\u00e7\u00e3o.<\/p>\n<p>Para o escrit\u00f3rio, eu destacaria os seguintes:<\/p>\n<ul>\n<li>abordagem de zero trust no design<\/li>\n<li>alto n\u00edvel de prote\u00e7\u00e3o <\/li>\n<li>visibilidade da rede<\/li>\n<li>sistema centralizado de autentica\u00e7\u00e3o e autoriza\u00e7\u00e3o<\/li>\n<li>verifica\u00e7\u00e3o de host (host checking) <\/li>\n<\/ul>\n<p>\nVamos nos detiver um pouco mais em cada um desses aspectos.<\/p>\n<h3>Zero Trust<\/h3>\n<p>\nO mundo da TI est\u00e1 mudando muito rapidamente. Nos \u00faltimos 10 anos, o surgimento de novas tecnologias e produtos levou a uma revis\u00e3o significativa dos conceitos de seguran\u00e7a. H\u00e1 uma d\u00e9cada, em termos de seguran\u00e7a, segment\u00e1vamos a rede em zonas de trust, dmz e untrust, e aplicava-se a chamada \"prote\u00e7\u00e3o por per\u00edmetro\", onde havia 2 linhas de defesa: untrust -&gt; dmz e dmz -&gt; trust. Al\u00e9m disso, a prote\u00e7\u00e3o geralmente estava limitada a listas de acesso baseadas em cabe\u00e7alhos L3\/L4 (OSI) (IP, portas TCP\/UDP, bandeiras TCP). Tudo que dizia respeito a n\u00edveis mais altos, incluindo L7, era deixado ao encargo dos sistemas operacionais e produtos de seguran\u00e7a instalados em hosts finais.<\/p>\n<p>Atualmente, a situa\u00e7\u00e3o mudou drasticamente. O conceito moderno <noindex><a rel=\"nofollow\" href=\"https:\/\/doubleoctopus.com\/security-wiki\/network-architecture\/zero-trust\/\">zero trust<\/a><\/noindex> partiu da premissa de que n\u00e3o \u00e9 mais poss\u00edvel considerar sistemas internos, ou seja, aqueles que est\u00e3o dentro do per\u00edmetro, como confi\u00e1veis, e o pr\u00f3prio conceito de per\u00edmetro se tornou difuso.<br \/>\nAl\u00e9m das conex\u00f5es com a internet, tamb\u00e9m temos<\/p>\n<ul>\n<li>acesso remoto VPN de usu\u00e1rios<\/li>\n<li>diversos dispositivos pessoais, laptops trazidos conectados via WiFi corporativo<\/li>\n<li>outros escrit\u00f3rios (branch)<\/li>\n<li>integra\u00e7\u00e3o com infraestrutura em nuvem <\/li>\n<\/ul>\n<p>\nComo \u00e9 que a abordagem Zero Trust se apresenta na pr\u00e1tica?<\/p>\n<p>Idealmente, deve ser permitido apenas o tr\u00e1fego que \u00e9 necess\u00e1rio e, se falamos de ideal, o controle deve ser n\u00e3o apenas no n\u00edvel L3\/L4, mas tamb\u00e9m no n\u00edvel de aplica\u00e7\u00e3o. <\/p>\n<p>Se, por exemplo, voc\u00ea tiver a capacidade de passar todo o tr\u00e1fego pelo firewall, voc\u00ea pode tentar se aproximar do ideal. Mas essa abordagem pode reduzir significativamente a largura de banda total da sua rede, e a filtragem por aplica\u00e7\u00e3o nem sempre funciona bem.<\/p>\n<p>No controle de tr\u00e1fego em um roteador ou switch L3 (usando ACLs padr\u00e3o), voc\u00ea enfrenta outros problemas:<\/p>\n<ul>\n<li>\u00e9 apenas filtragem L3\/L4. Nada impede um invasor de usar portas autorizadas (por exemplo, TCP 80) para seu aplicativo (n\u00e3o http)<\/li>\n<li>gerenciamento complicado de ACL (dif\u00edcil de analisar as ACL)<\/li>\n<li>n\u00e3o \u00e9 um firewall stateful, ou seja, voc\u00ea precisa permitir explicitamente o tr\u00e1fego reverso<\/li>\n<li>no caso dos switches, voc\u00ea geralmente est\u00e1 bastante limitado pelo tamanho do TCAM, o que, ao aplicar a abordagem de \"permitir apenas o que \u00e9 necess\u00e1rio\", pode rapidamente se tornar um problema<\/li>\n<\/ul>\n<p><\/p>\n<blockquote><p><b>Observa\u00e7\u00e3o<\/b><\/p>\n<p>Falando sobre tr\u00e1fego reverso, devemos lembrar que temos a seguinte possibilidade (Cisco) <\/p>\n<p>permit tcp any any established<\/p>\n<p>Mas \u00e9 importante entender que esta linha \u00e9 equivalente a duas linhas:<br \/>\npermit tcp any any ack<br \/>\npermit tcp any any rst<\/p>\n<p>O que significa que, mesmo que n\u00e3o tenha havido um segmento TCP inicial com a flag SYN (ou seja, a sess\u00e3o TCP nem chegou a ser estabelecida), este ACL permitir\u00e1 o pacote com a flag ACK, o que um invasor pode aproveitar para transmitir dados.<\/p>\n<p>Portanto, esta linha de forma alguma transforma seu roteador ou switch L3 em um firewall stateful.<\/p><\/blockquote>\n<p><\/p>\n<h3>Alto n\u00edvel de prote\u00e7\u00e3o<\/h3>\n<p>\nEm <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/435138\/\">artigo<\/a><\/noindex> Na se\u00e7\u00e3o dedicada aos data centers, discutimos os seguintes m\u00e9todos de prote\u00e7\u00e3o.<\/p>\n<ul>\n<li>firewalling stateful (por padr\u00e3o)<\/li>\n<li>prote\u00e7\u00e3o ddos\/dos<\/li>\n<li>firewall de aplicativo<\/li>\n<li>preven\u00e7\u00e3o de amea\u00e7as (antiv\u00edrus, anti-spyware e vulnerabilidades)<\/li>\n<li>filtragem de URL<\/li>\n<li>filtragem de dados (filtragem de conte\u00fado)<\/li>\n<li>bloqueio de arquivos (bloqueio de tipos de arquivo)<\/li>\n<\/ul>\n<p>\nNo caso do escrit\u00f3rio, a situa\u00e7\u00e3o \u00e9 semelhante, mas as prioridades s\u00e3o um pouco diferentes. A disponibilidade do escrit\u00f3rio (availabilty) geralmente n\u00e3o \u00e9 t\u00e3o cr\u00edtica quanto a de um data center, enquanto a probabilidade de tr\u00e1fego malicioso \"interno\" \u00e9 muitas vezes maior. <br \/>\nPortanto, os seguintes m\u00e9todos de prote\u00e7\u00e3o para este segmento tornam-se cr\u00edticos:<\/p>\n<ul>\n<li>firewall de aplicativo<\/li>\n<li>preven\u00e7\u00e3o de amea\u00e7as (antiv\u00edrus, antimalware e vulnerabilidade)<\/li>\n<li>filtragem de URL<\/li>\n<li>filtragem de dados (filtragem de conte\u00fado)<\/li>\n<li>bloqueio de arquivos (bloqueio de tipos de arquivo)<\/li>\n<\/ul>\n<p>\nEmbora todos esses m\u00e9todos de prote\u00e7\u00e3o, exceto o firewall de aplica\u00e7\u00e3o, tradicionalmente tenham sido e continuem a ser resolvidos em hosts finais (por exemplo, instalando softwares antiv\u00edrus) e por meio de proxies, os modernos NGFW tamb\u00e9m oferecem esses servi\u00e7os. <\/p>\n<p>Os fornecedores de equipamentos de seguran\u00e7a buscam criar uma prote\u00e7\u00e3o abrangente, portanto, juntamente com a prote\u00e7\u00e3o na caixa local, s\u00e3o oferecidas v\u00e1rias tecnologias em nuvem e softwares para hosts (prote\u00e7\u00e3o de ponto final\/EPP). Assim, por exemplo, do <noindex><a rel=\"nofollow\" href=\"https:\/\/www.fairline.com.tw\/data\/editor\/files\/01%20%20Gartner%20-%20Magic%20Quad%20-%20Endpoint%20Protection%20Platforms%201-2018.pdf\">Quadrante M\u00e1gico da Gartner de 2018<\/a><\/noindex> vemos que Palo Alto e Cisco t\u00eam seus EPP (PA: Traps, Cisco: AMP), mas n\u00e3o figuram entre os l\u00edderes.<\/p>\n<p>A ativa\u00e7\u00e3o dessas prote\u00e7\u00f5es (geralmente por meio da compra de licen\u00e7as) no firewall, claro, n\u00e3o \u00e9 obrigat\u00f3ria (voc\u00ea pode optar pelo caminho tradicional), mas traz algumas vantagens:<\/p>\n<ul>\n<li>neste caso, surge um \u00fanico ponto de aplica\u00e7\u00e3o dos m\u00e9todos de prote\u00e7\u00e3o, o que melhora a visibilidade (veja o pr\u00f3ximo t\u00f3pico). <\/li>\n<li>se houver um dispositivo n\u00e3o protegido em sua rede, ele ainda estar\u00e1 sob o \"guarda-chuva\" de prote\u00e7\u00e3o do firewall<\/li>\n<li> usando prote\u00e7\u00f5es no firewall juntamente com prote\u00e7\u00f5es em hosts finais, aumentamos a probabilidade de detectar tr\u00e1fego malicioso. Por exemplo, o uso de preven\u00e7\u00e3o de amea\u00e7as em hosts locais e no firewall aumenta a probabilidade de detec\u00e7\u00e3o (desde que, claro, essas solu\u00e7\u00f5es sejam baseadas em produtos de software diferentes)<\/li>\n<\/ul>\n<blockquote><p><b>Observa\u00e7\u00e3o<\/b><\/p>\n<p>Por exemplo, se voc\u00ea usar o Kaspersky como antiv\u00edrus tanto em firewalls quanto em hosts finais, isso, obviamente, n\u00e3o aumentar\u00e1 muito suas chances de prevenir um ataque viral em sua rede.<\/p><\/blockquote>\n<p><\/p>\n<h3>Visibilidade da rede<\/h3>\n<p>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/blog.gigamon.com\/2017\/11\/01\/what-is-network-visibility\/\">A ideia principal<\/a><\/noindex> \u00e9 simples \u2013 \"ver\" o que est\u00e1 acontecendo na sua rede, tanto em tempo real quanto dados hist\u00f3ricos. <\/p>\n<p>Eu dividiria essa \"vis\u00e3o\" em dois grupos:<\/p>\n<p><b>Primeiro grupo:<\/b> o que normalmente \u00e9 fornecido pelo seu sistema de monitoramento.<\/p>\n<ul>\n<li>carga de equipamentos<\/li>\n<li>carga de canais<\/li>\n<li>utiliza\u00e7\u00e3o de mem\u00f3ria<\/li>\n<li>utiliza\u00e7\u00e3o de discos<\/li>\n<li>mudan\u00e7a da tabela de roteamento <\/li>\n<li>estado das links<\/li>\n<li>disponibilidade de equipamentos (ou hosts)<\/li>\n<li>\u2026<\/li>\n<\/ul>\n<p><b>Segundo grupo: <\/b>informa\u00e7\u00f5es relacionadas \u00e0 seguran\u00e7a.<\/p>\n<ul>\n<li>diversas estat\u00edsticas (por exemplo, sobre aplica\u00e7\u00f5es, acesso a URLs, que tipos de dados foram baixados, dados dos usu\u00e1rios)<\/li>\n<li>o que foi bloqueado pelas pol\u00edticas de seguran\u00e7a e por quais raz\u00f5es, como\n<ul>\n<li>aplicativo proibido<\/li>\n<li>bloqueado com base em ip\/protocolo\/porta\/bandeiras\/zonas<\/li>\n<li>preven\u00e7\u00e3o de amea\u00e7as<\/li>\n<li>filtragem de URL<\/li>\n<li>filtragem de dados<\/li>\n<li>bloqueio de arquivos<\/li>\n<li>\u2026<\/li>\n<\/ul>\n<\/li>\n<li>estat\u00edsticas de ataques DOS\/DDOS<\/li>\n<li>tentativas malsucedidas de identifica\u00e7\u00e3o e autoriza\u00e7\u00e3o<\/li>\n<li>estat\u00edsticas de todos os eventos de viola\u00e7\u00e3o de pol\u00edticas de seguran\u00e7a mencionados acima<\/li>\n<li>\u2026<\/li>\n<\/ul>\n<p>\nNeste cap\u00edtulo dedicado \u00e0 seguran\u00e7a, estamos interessados precisamente na segunda parte.<\/p>\n<p>Alguns firewalls modernos (na minha experi\u00eancia, Palo Alto) oferecem um bom n\u00edvel de visibilidade. Mas, claro, o tr\u00e1fego que lhe interessa deve passar por este firewall (neste caso voc\u00ea tem a op\u00e7\u00e3o de bloquear o tr\u00e1fego) ou ser espelhado no firewall (usado apenas para monitoramento e an\u00e1lise), e voc\u00ea deve ter licen\u00e7as que permitam habilitar todos esses servi\u00e7os.<\/p>\n<p>H\u00e1, claro, um caminho alternativo, ou mais precisamente, um caminho tradicional, por exemplo,<\/p>\n<ul>\n<li>estat\u00edsticas de sess\u00f5es podem ser coletadas atrav\u00e9s do netflow e depois usar utilit\u00e1rios especiais para analisar e visualizar os dados<\/li>\n<li>preven\u00e7\u00e3o de amea\u00e7as \u2013 programas especiais (antiv\u00edrus, antimalware, firewall) em hosts finais<\/li>\n<li>Filtragem de URL, filtragem de dados, bloqueio de arquivos \u2013 no proxy<\/li>\n<li>tamb\u00e9m \u00e9 poss\u00edvel analisar tcpdump com, por exemplo, <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/cisco\/blog\/268207\/\">snort<\/a><\/noindex><\/li>\n<\/ul>\n<p>\n\u00c9 poss\u00edvel combinar essas duas abordagens, complementando fun\u00e7\u00f5es ausentes ou duplicando-as para aumentar a probabilidade de detectar um ataque.<\/p>\n<p>Qual abordagem escolher?<br \/>\nDepende muito da qualifica\u00e7\u00e3o e das prefer\u00eancias da sua equipe.<br \/>\nAmbos t\u00eam pr\u00f3s e contras.<\/p>\n<h3>Sistema centralizado de autentica\u00e7\u00e3o e autoriza\u00e7\u00e3o<br \/>\n<\/h3>\n<p>\nCom um bom design, a mobilidade que discutimos neste artigo implica que voc\u00ea tenha os mesmos acessos, trabalhando do escrit\u00f3rio, de casa, do aeroporto, de um caf\u00e9 ou de qualquer outro lugar (com as limita\u00e7\u00f5es que discutimos acima). Onde est\u00e1 o problema? <br \/>\nPara entender melhor a complexidade dessa tarefa, vamos considerar um design t\u00edpico.<\/p>\n<blockquote><p><b>Exemplo<\/b><\/p>\n<ul>\n<li>Voc\u00ea dividiu todos os funcion\u00e1rios em grupos. Voc\u00ea decidiu fornecer acessos por grupos.<\/li>\n<li>Dentro do escrit\u00f3rio, voc\u00ea controla os acessos no firewall do escrit\u00f3rio.<\/li>\n<li>O tr\u00e1fego do escrit\u00f3rio para o data center \u00e9 controlado no firewall do data center.<\/li>\n<li>Como gateway VPN, voc\u00ea usa Cisco ASA e, para controlar o tr\u00e1fego que entra na sua rede a partir de clientes dedicados, voc\u00ea aplica ACL locais (no ASA).<\/li>\n<\/ul>\n<p>\nAgora, suponha que voc\u00ea \u00e9 solicitado a adicionar acesso adicional a um determinado funcion\u00e1rio. Ao mesmo tempo, voc\u00ea \u00e9 solicitado a adicionar acesso apenas para ele e mais ningu\u00e9m do seu grupo.<\/p>\n<p>Para isso, precisamos criar um grupo separado para esse funcion\u00e1rio, ou seja,<\/p>\n<ul>\n<li>no ASA criar um pool IP separado para esse funcion\u00e1rio.<\/li>\n<li>adicionar uma nova ACL no ASA e vincul\u00e1-la a esse cliente remoto.<\/li>\n<li>criar novas pol\u00edticas de seguran\u00e7a nos firewalls do escrit\u00f3rio e do data center.<\/li>\n<\/ul>\n<p>\nIsso \u00e9 aceit\u00e1vel se esse evento for raro. Mas na minha pr\u00e1tica, houve situa\u00e7\u00f5es em que funcion\u00e1rios participaram de diferentes projetos, e esse conjunto de projetos mudava com frequ\u00eancia para alguns deles, e n\u00e3o eram 1 ou 2 pessoas, mas dezenas. Claro, algo precisava ser mudado.<\/p>\n<p>Isso foi resolvido da seguinte maneira.<\/p>\n<p>Decidimos que a \u00fanica fonte de verdade, definindo todos os poss\u00edveis acessos de um funcion\u00e1rio, seria o LDAP. Criamos diversos grupos que definem os conjuntos de acessos e cada usu\u00e1rio foi vinculado a um ou mais grupos. <\/p>\n<p>Por exemplo, suponha que existiram os grupos: <\/p>\n<ul>\n<li>guest (acesso \u00e0 Internet)<\/li>\n<li>common access (acessos a recursos comuns: e-mail, base de conhecimento, ...)<\/li>\n<li>contabilidade<\/li>\n<li>projeto 1<\/li>\n<li>projeto 2<\/li>\n<li>administrador de banco de dados<\/li>\n<li>administrador linux<\/li>\n<li>\u2026<\/li>\n<\/ul>\n<p>\nE se algum dos funcion\u00e1rios estivesse envolvido, tanto no projeto 1 quanto no projeto 2, e precisasse de acessos necess\u00e1rios para trabalhar nesses projetos, esse funcion\u00e1rio seria vinculado, respectivamente, aos grupos:<\/p>\n<ul>\n<li>guest <\/li>\n<li>common access<\/li>\n<li>projeto 1<\/li>\n<li>projeto 2<\/li>\n<\/ul>\n<p>\nComo agora transformar essas informa\u00e7\u00f5es em acessos na infraestrutura de rede? <\/p>\n<p>O Cisco ASA Dynamic Access Policy (DAP) (veja <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/support\/docs\/security\/asa-5500-x-series-next-generation-firewalls\/108000-dap-deploy-guide.html\">www.cisco.com\/c\/en\/us\/support\/docs\/security\/asa-5500-x-series-next-generation-firewalls\/108000-dap-deploy-guide.html<\/a><\/noindex>) \u00e9 a solu\u00e7\u00e3o ideal para essa tarefa.<\/p>\n<p>Resumindo nossa implementa\u00e7\u00e3o, no processo de identifica\u00e7\u00e3o\/autentica\u00e7\u00e3o, o ASA recebe do LDAP um conjunto de grupos correspondentes a esse usu\u00e1rio e \"constr\u00f3i\" a partir de v\u00e1rias ACL locais (cada uma correspondente a um grupo) uma ACL din\u00e2mica com todos os acessos necess\u00e1rios, que atende completamente nossas demandas.<\/p>\n<p>Mas isso \u00e9 apenas para conex\u00f5es VPN. Para igualar a situa\u00e7\u00e3o para os colaboradores conectados via VPN e aqueles que est\u00e3o no escrit\u00f3rio, foi dado o pr\u00f3ximo passo. <\/p>\n<p>Ao se conectar do escrit\u00f3rio, os usu\u00e1rios, por meio do protocolo 802.1x, eram alocados em uma VLAN de convidados (para visitantes) ou em uma VLAN com acessos compartilhados (para colaboradores da empresa). Al\u00e9m disso, para obter acessos espec\u00edficos (por exemplo, a projetos no data center), os colaboradores precisavam se conectar via VPN.<\/p>\n<p>Para a conex\u00e3o do escrit\u00f3rio e de casa, foram utilizadas diferentes grupos de t\u00fanel no ASA. Isso \u00e9 necess\u00e1rio para que o tr\u00e1fego dos usu\u00e1rios conectados do escrit\u00f3rio para os recursos compartilhados (como e-mail, servidores de arquivos, sistema de tickets, DNS, \u2026) n\u00e3o passe pelo ASA, mas sim pela rede local. Dessa forma, n\u00e3o sobrecarregamos o ASA com tr\u00e1fego desnecess\u00e1rio, incluindo tr\u00e1fego de alta intensidade.<\/p>\n<p>Assim, a quest\u00e3o foi resolvida. <br \/>\nObtivemos <\/p>\n<ul>\n<li>um conjunto igual de acessos, tanto para conex\u00f5es do escrit\u00f3rio quanto para acesso remoto<\/li>\n<li>a aus\u00eancia de degrada\u00e7\u00e3o do servi\u00e7o ao trabalhar do escrit\u00f3rio, relacionado \u00e0 transmiss\u00e3o de tr\u00e1fego de alta intensidade atrav\u00e9s do ASA<\/li>\n<\/ul>\n<p>\nQual \u00e9 a outra vantagem dessa abordagem?<br \/>\nNa administra\u00e7\u00e3o de acessos. Os acessos s\u00e3o facilmente alterados em um \u00fanico lugar.<br \/>\nPor exemplo, se um colaborador saiu da empresa, voc\u00ea simplesmente o remove do LDAP, e ele perde automaticamente todos os acessos.\n<\/p><\/blockquote>\n<p><\/p>\n<h3>Verifica\u00e7\u00e3o de host (host checking)<\/h3>\n<p>\nCom a possibilidade de conex\u00e3o remota, corremos o risco de permitir n\u00e3o apenas que um funcion\u00e1rio da empresa acesse a rede, mas tamb\u00e9m que todo o software malicioso que, com uma alta probabilidade, est\u00e1 presente em seu computador (por exemplo, em casa) entre, e, al\u00e9m disso, por meio desse software, podemos, possivelmente, abrir o acesso \u00e0 nossa rede para um invasor, utilizando esse host como proxy.<\/p>\n<p>\u00c9 sensato aplicar os mesmos requisitos de seguran\u00e7a para um host conectado remotamente que para um host situado no escrit\u00f3rio.<\/p>\n<p>Isso inclui ter a 'vers\u00e3o correta' do sistema operacional, software antiv\u00edrus, antispyware e firewall, al\u00e9m de atualiza\u00e7\u00f5es. Normalmente, essa possibilidade existe no gateway VPN (veja, por exemplo, para ASA, <noindex><a rel=\"nofollow\" href=\"https:\/\/community.cisco.com\/t5\/security-documents\/how-to-configure-anyconnect-host-scan\/ta-p\/3118732\">aqui<\/a><\/noindex>).<\/p>\n<p>Tamb\u00e9m \u00e9 sensato aplicar os mesmos m\u00e9todos de an\u00e1lise e bloqueio de tr\u00e1fego (consulte \u2018N\u00edvel Alto de Prote\u00e7\u00e3o\u2019), que, de acordo com sua pol\u00edtica de seguran\u00e7a, s\u00e3o aplicados ao tr\u00e1fego do escrit\u00f3rio. <\/p>\n<p>\u00c9 razo\u00e1vel presumir que agora sua rede de escrit\u00f3rio n\u00e3o se limita ao pr\u00e9dio do escrit\u00f3rio e aos hosts que est\u00e3o dentro dele.<\/p>\n<blockquote><p><b>Exemplo<\/b><\/p>\n<p>Uma boa pr\u00e1tica \u00e9 fornecer a cada funcion\u00e1rio que precisa de acesso remoto um bom e conveniente laptop e exigir que trabalhem, tanto no escrit\u00f3rio quanto em casa, apenas nele.<\/p>\n<p>Isso n\u00e3o s\u00f3 aumenta o n\u00edvel de seguran\u00e7a da sua rede, como tamb\u00e9m \u00e9 realmente conveniente e geralmente \u00e9 percebido positivamente pelos funcion\u00e1rios (se for realmente um bom e confort\u00e1vel laptop).<\/p><\/blockquote>\n<p><\/p>\n<h2>Sobre o senso de medida e equil\u00edbrio<\/h2>\n<p>\nBasicamente, esta \u00e9 uma conversa sobre o terceiro v\u00e9rtice do nosso tri\u00e2ngulo \u2014 sobre o pre\u00e7o.<br \/>\nVamos considerar um exemplo hipot\u00e9tico.<\/p>\n<blockquote><p><b>Exemplo<\/b><\/p>\n<p>Voc\u00ea tem um escrit\u00f3rio com 200 pessoas. Voc\u00ea decidiu torn\u00e1-lo o mais confort\u00e1vel e seguro poss\u00edvel.<\/p>\n<p>Portanto, voc\u00ea decidiu passar todo o tr\u00e1fego pelo firewall e, assim, para todas as sub-redes do escrit\u00f3rio, o firewall \u00e9 o gateway padr\u00e3o. Al\u00e9m do software de seguran\u00e7a instalado em cada host final (antiv\u00edrus, antispyware e firewall), voc\u00ea tamb\u00e9m decidiu aplicar todos os m\u00e9todos de prote\u00e7\u00e3o poss\u00edveis no firewall.<\/p>\n<p>Para garantir uma alta velocidade de conex\u00e3o (tudo para conveni\u00eancia), voc\u00ea escolheu switches de acesso com portas de 10 gigabits e, como firewalls, os firewalls NGFW de alto desempenho, como os da s\u00e9rie 7K da Palo Alto (com portas de 40 gigabits), naturalmente com todas as licen\u00e7as inclu\u00eddas e, evidentemente, em configura\u00e7\u00e3o de Alta Disponibilidade.<\/p>\n<p>Al\u00e9m disso, claro, para trabalhar com essa linha de equipamentos, precisamos de pelo menos alguns engenheiros de seguran\u00e7a altamente qualificados.<\/p>\n<p>Al\u00e9m disso, voc\u00ea decidiu fornecer a cada funcion\u00e1rio um bom notebook.<\/p>\n<p>No total, cerca de 10 milh\u00f5es de d\u00f3lares para implementa\u00e7\u00e3o, centenas de milhares de d\u00f3lares (acredito que mais perto de um milh\u00e3o) para suporte anual e sal\u00e1rios dos engenheiros.<\/p>\n<p>Escrit\u00f3rio, 200 pessoas\u2026<br \/>\nConfort\u00e1vel? Provavelmente, sim. <\/p>\n<p>Voc\u00ea leva essa proposta \u00e0 sua ger\u00eancia\u2026<br \/>\nTalvez exista um n\u00famero de empresas no mundo para as quais isso \u00e9 uma solu\u00e7\u00e3o aceit\u00e1vel e correta. Se voc\u00ea \u00e9 funcion\u00e1rio dessa empresa \u2014 minhas congratula\u00e7\u00f5es, mas na grande maioria dos casos, estou certo de que seu conhecimento n\u00e3o ser\u00e1 valorizado pela ger\u00eancia.<\/p><\/blockquote>\n<p>\nEste exemplo \u00e9 exagerado? O pr\u00f3ximo cap\u00edtulo dar\u00e1 a resposta a essa pergunta.<\/p>\n<p>Se na sua rede voc\u00ea n\u00e3o v\u00ea nada do que foi mencionado acima, isso \u00e9 norma.<br \/>\nPara cada caso espec\u00edfico, voc\u00ea precisa encontrar um compromisso razo\u00e1vel entre conveni\u00eancia, pre\u00e7o e seguran\u00e7a. Muitas vezes, n\u00e3o \u00e9 necess\u00e1rio um NGFW no seu escrit\u00f3rio, nem normalmente a prote\u00e7\u00e3o L7 no firewall. Basta garantir um bom n\u00edvel de visibilidade e alertas, e isso pode ser feito com o uso de produtos open source, por exemplo. Sim, sua rea\u00e7\u00e3o a um ataque n\u00e3o ser\u00e1 imediata, mas o importante \u00e9 que voc\u00ea a ver\u00e1 e, com os processos corretos em seu departamento, conseguir\u00e1 neutraliz\u00e1-lo rapidamente.<\/p>\n<p>E, lembrando que, conforme a proposta desta s\u00e9rie de artigos, voc\u00ea n\u00e3o est\u00e1 projetando a rede, voc\u00ea est\u00e1 apenas tentando melhorar o que lhe foi legado.<\/p>\n<h2>An\u00e1lise da arquitetura SAFE do escrit\u00f3rio<\/h2>\n<p>\nPreste aten\u00e7\u00e3o neste quadrado vermelho que destaquei na imagem de <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/dam\/en\/us\/solutions\/collateral\/enterprise\/design-zone-security\/safe-architecture-guide-secure-campus.pdf\">Guia de Arquitetura do Campus Seguro SAFE<\/a><\/noindex>, que eu gostaria de discutir aqui.<\/p>\n<p><img decoding=\"async\" alt=\"Como assumir o controle da infraestrutura de rede. Cap\u00edtulo tr\u00eas. Seguran\u00e7a de rede. Parte tr\u00eas.\" src=\"\/wp-content\/uploads\/2019\/04\/617b6561b6ebb17d4f015251abcadf9b.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nEste \u00e9 um dos pontos chave da arquitetura e uma das incertezas mais importantes.<\/p>\n<blockquote><p><b>Observa\u00e7\u00e3o<\/b><\/p>\n<p>Nunca configurei e n\u00e3o trabalhei com FirePower (da linha de firewalls da Cisco \u2014 apenas com ASA), portanto vou consider\u00e1-lo como qualquer outro firewall, por exemplo, como um Juniper SRX ou Palo Alto, assumindo que ele tenha as mesmas capacidades.<\/p><\/blockquote>\n<p>\nDas configura\u00e7\u00f5es normais, vejo apenas 4 poss\u00edveis usos do firewall com essa conex\u00e3o:<\/p>\n<ul>\n<li>o gateway padr\u00e3o para cada sub-rede \u00e9 um switch, enquanto o firewall est\u00e1 em modo transparente (isto \u00e9, todo o tr\u00e1fego passa por ele, mas n\u00e3o forma um salto L3)<\/li>\n<li>O gateway padr\u00e3o para cada sub-rede s\u00e3o as subinterfaces do firewall (ou interfaces SVI), o switch desempenha o papel de L2.<\/li>\n<li>O switch utiliza diferentes VRF, e o tr\u00e1fego entre os VRF passa pelo firewall, enquanto o tr\u00e1fego dentro de um \u00fanico VRF \u00e9 controlado por ACL no switch.<\/li>\n<li>Todo o tr\u00e1fego \u00e9 espelhado no firewall para an\u00e1lise e monitoramento, o tr\u00e1fego n\u00e3o passa por ele.<\/li>\n<\/ul>\n<p><\/p>\n<blockquote><p><b>Observa\u00e7\u00e3o 1<\/b><\/p>\n<p>Podem ser poss\u00edveis combina\u00e7\u00f5es dessas op\u00e7\u00f5es, mas para simplificar, n\u00e3o as consideraremos.<\/p><\/blockquote>\n<blockquote><p><b>Nota 2<\/b><\/p>\n<p>Ainda h\u00e1 a possibilidade de usar PBR (arquitetura de cadeia de servi\u00e7os), mas at\u00e9 agora, embora seja uma solu\u00e7\u00e3o interessante em minha opini\u00e3o, \u00e9 mais ex\u00f3tica, portanto, n\u00e3o a considerarei aqui.<\/p><\/blockquote>\n<p>\nDo conceito dos fluxos no documento, podemos ver que o tr\u00e1fego realmente passa pelo firewall, ou seja, conforme o design da Cisco, a quarta op\u00e7\u00e3o est\u00e1 descartada.<\/p>\n<p>Vamos considerar primeiro as duas primeiras op\u00e7\u00f5es.<br \/>\nNessas op\u00e7\u00f5es, todo o tr\u00e1fego passa pelo firewall.<\/p>\n<p>Agora vamos observar <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/products\/collateral\/security\/firepower-ngfw\/data_sheet-c78-736661.html\">fichas t\u00e9cnicas<\/a><\/noindex>, vamos observar <noindex><a rel=\"nofollow\" href=\"https:\/\/itprice.com\">Cisco GPL<\/a><\/noindex> e vemos que se quisermos que a largura de banda total do nosso escrit\u00f3rio seja pelo menos em torno de 10 a 20 gigabits, devemos comprar a vers\u00e3o 4K.<\/p>\n<blockquote><p><b>Observa\u00e7\u00e3o<\/b><\/p>\n<p>Quando falo sobre a largura de banda total, refiro-me ao tr\u00e1fego entre as sub-redes (e n\u00e3o dentro de um \u00fanico VLAN).<\/p><\/blockquote>\n<p>\nDo GPL, vemos que para o HA Bundle com Threat Defense, o pre\u00e7o varia dependendo do modelo (4110 \u2013 4150) de aproximadamente 0,5 a 2,5 milh\u00f5es de d\u00f3lares.<\/p>\n<p>Ou seja, nosso design come\u00e7a a se assemelhar ao exemplo anterior.<\/p>\n<p>Isso significa que este design est\u00e1 incorreto?<br \/>\nN\u00e3o, n\u00e3o significa. A Cisco oferece a m\u00e1xima prote\u00e7\u00e3o poss\u00edvel com base na linha de produtos que possui. Mas isso n\u00e3o significa que seja um \u2018must-do\u2019 para voc\u00ea. <\/p>\n<p>Basicamente, essa \u00e9 uma quest\u00e3o comum que surge ao projetar um escrit\u00f3rio ou um data center, e isso significa apenas que \u00e9 necess\u00e1rio buscar um compromisso. <\/p>\n<p>Por exemplo, n\u00e3o deixar todo o tr\u00e1fego passar pelo firewall, e neste caso o terceiro op\u00e7\u00e3o me parece bastante atraente, ou (veja a se\u00e7\u00e3o anterior), talvez voc\u00ea n\u00e3o precise de \u2018Threat Defense\u2019 ou nem mesmo de um firewall neste segmento da rede, e pode se contentar com monitoramento passivo usando solu\u00e7\u00f5es pagas (n\u00e3o caras) ou open source, ou um firewall \u00e9 necess\u00e1rio, mas de outro fornecedor.<\/p>\n<p>Normalmente, sempre h\u00e1 essa incerteza e n\u00e3o h\u00e1 resposta definitiva sobre qual solu\u00e7\u00e3o \u00e9 a melhor para voc\u00ea.<br \/>\nEssa \u00e9 a complexidade e a beleza dessa tarefa.<br \/>\n<br \/>Fonte: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/447610\/\">habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u044f\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb. \u0421\u043e\u0434\u0435\u0440\u0436\u0430\u043d\u0438\u0435 \u0432\u0441\u0435\u0445 \u0441\u0442\u0430\u0442\u0435\u0439 \u0446\u0438\u043a\u043b\u0430 \u0438 \u0441\u0441\u044b\u043b\u043a\u0438 \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u0437\u0434\u0435\u0441\u044c. \u042d\u0442\u0430 \u0447\u0430\u0441\u0442\u044c \u0431\u0443\u0434\u0435\u0442 \u043f\u043e\u0441\u0432\u044f\u0449\u0435\u043d\u0430 Campus (Office) &amp; Remote access VPN \u0441\u0435\u0433\u043c\u0435\u043d\u0442\u0430\u043c. \u041c\u043e\u0436\u0435\u0442 \u043f\u043e\u043a\u0430\u0437\u0430\u0442\u044c\u0441\u044f, \u0447\u0442\u043e \u0434\u0438\u0437\u0430\u0439\u043d \u043e\u0444\u0438\u0441\u043d\u043e\u0439 \u0441\u0435\u0442\u0438 \u2013 \u044d\u0442\u043e \u043f\u0440\u043e\u0441\u0442\u043e. \u0414\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e, \u0431\u0435\u0440\u0435\u043c L2\/L3 \u043a\u043e\u043c\u043c\u0443\u0442\u0430\u0442\u043e\u0440\u044b, \u0441\u043e\u0435\u0434\u0438\u043d\u044f\u0435\u043c \u0438\u0445 \u043c\u0435\u0436\u0434\u0443 \u0441\u043e\u0431\u043e\u0439. \u0414\u0430\u043b\u0435\u0435, \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u043c \u044d\u043b\u0435\u043c\u0435\u043d\u0442\u0430\u0440\u043d\u0443\u044e \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0443 [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":23359,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-31395","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.3 - aioseo.com -->\n\t<meta name=\"description\" content=\"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u044f\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.\" \/>\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya\" \/>\n\t\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.3\" \/>\n\t\t<meta property=\"og:locale\" content=\"pt_PT\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c. \u0413\u043b\u0430\u0432\u0430 \u0442\u0440\u0435\u0442\u044c\u044f. \u0421\u0435\u0442\u0435\u0432\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c. \u0427\u0430\u0441\u0442\u044c \u0442\u0440\u0435\u0442\u044c\u044f | ProHoster\" \/>\n\t\t<meta property=\"og:description\" content=\"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u044f\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2019-10-31T18:41:01+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2019-10-31T18:41:01+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47Como assumir o controle da infraestrutura de rede. Cap\u00edtulo tr\u00eas. Seguran\u00e7a de rede. Parte tr\u00eas | ProHoster","description":"Este artigo \u00e9 o quinto de uma s\u00e9rie de artigos intitulada \"Como assumir o controle da infraestrutura de rede\".","canonical_url":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pt_PT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c. \u0413\u043b\u0430\u0432\u0430 \u0442\u0440\u0435\u0442\u044c\u044f. \u0421\u0435\u0442\u0435\u0432\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c. \u0427\u0430\u0441\u0442\u044c \u0442\u0440\u0435\u0442\u044c\u044f | ProHoster","og:description":"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043f\u044f\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.","og:url":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-tretya","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:41:01+00:00","article:modified_time":"2019-10-31T18:41:01+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"31395","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 05:58:22","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:17:26","updated":"2026-01-21 05:58:22","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/31395","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/comments?post=31395"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/31395\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media\/23359"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media?parent=31395"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/categories?post=31395"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/tags?post=31395"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}