A hálózati architektúra tervezése az egyik legalapvetőbb, ugyanakkor leggyakrabban elhanyagolt eleme a kiberbiztonsági megfelelésnek. A NIS2 irányelv explicit módon elvárja a hálózatbiztonsági kockázatok kezelését, amelynek gerince a megfelelő szegmentálás. Ez a cikk mérnöki megközelítésből mutatja be, hogyan válasszuk el az OT és IT hálózatokat, hogyan alakítsunk ki DMZ zónákat, és hogyan szigorítsuk a hozzáférési listákat (ACL) egy NIS2-kompatibilis infrastruktúrában.
Miért kritikus a szegmentálás a NIS2 szempontjából?
A NIS2 irányelv (2022/2555 EU direktíva) a technikai és szervezeti intézkedések között kifejezetten megnevezi a hálózat- és rendszerbiztonságot, beleértve a hozzáférés-ellenőrzést és az architekturális kontrollokat. A gyakorlatban ez azt jelenti, hogy egy lapos, szegmentálatlan hálózat – ahol egyetlen kompromittált munkaállomásról el lehet érni a teljes infrastruktúrát – önmagában megfelelőségi hiányosságnak minősül, függetlenül attól, hogy egyébként milyen egyéb védelmi intézkedések vannak érvényben.
A szegmentálás célja, hogy egy sikeres behatolás hatását lokalizálja, megakadályozva az oldalirányú mozgást (lateral movement) a hálózaton belül. Ez különösen kritikus azoknál a szervezeteknél, ahol az informatikai (IT) és az üzemeltetési technológiai (OT) rendszerek egymás mellett működnek.
OT és IT hálózatok elválasztása
Az OT rendszerek (ipari vezérlők, SCADA rendszerek, PLC-k, érzékelők) tervezési filozófiája alapvetően eltér az IT rendszerekétől. Míg az IT világban a bizalmasság és az adatvédelem áll a középpontban, az OT környezetben a rendelkezésre állás és a fizikai folyamatbiztonság az elsődleges szempont. Ez a különbség azt jelenti, hogy a két hálózatot nem elég logikailag elkülöníteni – architekturálisan is külön kell kezelni őket.
A Purdue-modell mint tervezési keretrendszer
A gyakorlatban legszélesebb körben alkalmazott architekturális minta a Purdue Enterprise Reference Architecture, amely szintekre bontja az OT/IT környezetet:
- 0. szint – fizikai folyamat (érzékelők, aktuátorok)
- 1. szint – alap vezérlés (PLC-k, RTU-k)
- 2. szint – felügyeleti rendszerek (SCADA, HMI)
- 3. szint – üzemi műveletirányítás (MES rendszerek)
- 3.5 szint (DMZ) – ipari demilitarizált zóna, amely elválasztja az OT-t az IT-től
- 4-5. szint – vállalati IT hálózat (ERP, email, irodai rendszerek)
A NIS2 megfelelés szempontjából a 3.5-ös szint, vagyis az ipari DMZ kialakítása az egyik legfontosabb technikai kontroll. Ezen a rétegen keresztül történik minden adatforgalom az OT és IT világ között, soha nem közvetlen kapcsolaton keresztül.
Gyakorlati elválasztási elvek
- Az OT hálózatnak nincs közvetlen internet-elérése – minden külső kommunikáció a DMZ-n keresztül, proxyzva vagy adatdiódán át történik
- Az OT és IT hálózatok fizikailag külön switch-infrastruktúrán futnak, vagy VLAN-alapú szegmentálás esetén szigorú tűzfalszabályokkal ellenőrzött átjárókon keresztül kommunikálnak
- Az OT rendszerekhez való távoli hozzáférés csak jump host-on és többfaktoros hitelesítésen keresztül engedélyezett
- Az OT hálózaton belüli forgalom is tovább szegmentálandó cellákra/zónákra (pl. gyártósoranként), hogy egy adott cella kompromittálódása ne terjedjen tovább
DMZ zónák kialakítása
A demilitarizált zóna (DMZ) egy pufferhálózat, amely elválasztja a nyilvánosan elérhető vagy magasabb kockázatú szolgáltatásokat a belső, védett hálózattól. A DMZ tervezésénél az alábbi mérnöki elvek betartása javasolt:
Kétrétegű tűzfal-architektúra
A legjobb gyakorlat szerint a DMZ-t két külön tűzfal határolja: egy külső tűzfal a nyilvános internet felé, és egy belső tűzfal a védett belső hálózat felé. Ez biztosítja, hogy egyetlen tűzfal konfigurációs hibája vagy sebezhetősége se tegye lehetővé a közvetlen hozzáférést a belső rendszerekhez. Ideális esetben a két tűzfal különböző gyártótól származik, csökkentve az azonos sebezhetőség általi egyidejű kompromittálódás kockázatát.
Szolgáltatás-specifikus alzónák
Egy érett DMZ architektúra nem egyetlen homogén zóna, hanem funkció szerint tovább tagolt: külön alzóna a webes szolgáltatásoknak, külön az email-átjárónak, külön a VPN-koncentrátoroknak és külön az ipari DMZ-nek (ha releváns). Minden alzóna között explicit, szükség-alapú szabályokkal kell szabályozni a forgalmat.
Hozzáférési listák (ACL) szigorítása
Az ACL-ek a hálózati szegmentálás gyakorlati megvalósítási eszközei. A NIS2 elvárásoknak megfelelő ACL-konfiguráció a legkevesebb jogosultság elvére (principle of least privilege) épül.
Alapelvek a mérnöki gyakorlatban
- Alapértelmezett tiltás (default deny) – minden szabálylistának implicit tiltó szabállyal kell zárulnia, és csak az explicit módon engedélyezett forgalom haladhat át
- Portszintű, nem hálózatszintű szabályok – a "engedélyezd a teljes alhálózatot" típusú szabályok helyett konkrét forrás-cél-port hármasok definiálása szükséges
- Irányfüggő szabályozás – a bejövő és kimenő forgalmat külön kell kezelni; egy kompromittált belső géptől kiinduló, kifelé irányuló command-and-control kommunikációt is korlátozni kell, nem csak a befelé irányuló támadásokat
- Rendszeres szabály-audit – a tűzfalszabályok idővel felhalmozódnak és elavulnak; negyedéves felülvizsgálat szükséges a "shadow" és redundáns szabályok eltávolítására
- Naplózás minden szabálynál – legalább a tiltott (deny) események naplózása kötelező, hogy a biztonsági incidensek utólag rekonstruálhatók legyenek
Mikroszegmentálás mint kiegészítő réteg
A hagyományos, alhálózat-alapú (VLAN-alapú) szegmentálás mellett egyre inkább elvárt a mikroszegmentálás bevezetése is, amely munkaterhelés- vagy alkalmazásszinten szabályozza a kommunikációt, függetlenül a hálózati topológiától. Ez különösen virtualizált és felhő-alapú környezetekben releváns, ahol a hagyományos hálózati határok elmosódnak, és a védelemnek a munkaterheléshez kell igazodnia, nem a fizikai vagy VLAN-alapú elhelyezkedéshez.
Dokumentálás és auditálhatóság
A NIS2 megfelelés szempontjából nem elegendő a technikailag helyes hálózati architektúra kialakítása – a döntéseket és azok indoklását is dokumentálni kell. Egy hálózati topológia diagram, amely egyértelműen ábrázolja a szegmenshatárokat, a tűzfalszabályzat verziókezelt dokumentációja, valamint az ACL-változtatások naplózása mind olyan bizonyítékok, amelyeket egy hatósági ellenőrzés során be kell tudni mutatni.
Összefoglalás döntéshozók számára
A hálózatszegmentálás nem egyszeri projekt, hanem folyamatosan karbantartandó architekturális elv. Az OT és IT hálózatok szigorú elválasztása, a réteges DMZ-kialakítás és a szigorú, legkevesebb jogosultság elvén alapuló ACL-szabályozás együttesen biztosítják, hogy egy esetleges behatolás hatása lokalizálható maradjon, és ne veszélyeztesse a teljes szervezeti infrastruktúrát. Ez a megközelítés nemcsak a NIS2 megfelelést szolgálja, hanem alapvetően növeli a szervezet ellenálló képességét a valós kiberfenyegetésekkel szemben.