Networking
Rete aziendale: perché la segmentazione conta anche nelle PMI
In una rete piatta ogni dispositivo può raggiungere ogni altro. Separare sistemi, utenti e servizi limita la propagazione di un incidente, ma le VLAN da sole non bastano: serve controllare il traffico tra i segmenti.
In molte piccole e medie imprese la rete è cresciuta per aggiunte successive: un server, qualche postazione, poi le stampanti, il Wi-Fi, le telecamere, i macchinari di produzione collegati in rete, i telefoni. Spesso tutto sta nella stessa rete, dove ogni dispositivo può comunicare con ogni altro. Funziona, finché qualcosa non va storto.
Il problema di una rete piatta
In una rete senza separazioni, un dispositivo compromesso ha davanti a sé l'intera infrastruttura. Un portatile infetto può cercare di raggiungere direttamente i server; una telecamera con firmware datato diventa un punto d'ingresso verso i sistemi gestionali; un ospite collegato al Wi-Fi vede le stesse risorse dei dipendenti.
La segmentazione parte da un principio semplice: non tutto deve poter parlare con tutto. Ogni gruppo di sistemi dovrebbe poter raggiungere solo ciò che gli serve davvero.
Come si può dividere una rete
Non esiste una suddivisione valida per tutti: dipende da come l'azienda lavora. Questo è un esempio di come si possono raggruppare i sistemi in base alla funzione e al livello di fiducia.
Esempio illustrativo
| Segmento | Contenuto tipico | Di che cosa ha bisogno |
|---|---|---|
| Server | File server, gestionale, database, servizi di directory | Essere raggiunto dai client solo sui servizi necessari |
| Client | Postazioni e portatili dei dipendenti | Accesso ai server applicativi e a Internet |
| Stampa e dispositivi | Stampanti, multifunzione, dispositivi IoT | Ricevere lavori di stampa; quasi nient'altro |
| Produzione | Macchinari, sistemi di controllo, postazioni di reparto | Comunicazioni limitate e note con i sistemi aziendali |
| Telefonia | Telefoni VoIP | Centralino o servizio cloud, con priorità del traffico |
| Ospiti | Dispositivi di visitatori e fornitori | Solo Internet |
| Gestione | Interfacce di amministrazione di switch, firewall, hypervisor, storage | Essere raggiunto solo dagli amministratori |
VLAN: separare il traffico
Lo strumento più comune per dividere una rete fisica in più reti logiche sono le VLAN (Virtual LAN), definite dallo standard IEEE 802.1Q. Gli switch assegnano le porte, o il traffico etichettato, a VLAN diverse: i dispositivi in VLAN differenti non comunicano direttamente tra loro, anche se sono collegati allo stesso apparato.
A ogni VLAN corrisponde di norma una rete IP distinta. Per far parlare due VLAN serve quindi un dispositivo che instradi il traffico tra di esse.
Il punto critico: il routing tra le VLAN
Qui si gioca gran parte dell'efficacia della segmentazione. Il routing tra VLAN può essere fatto da uno switch di livello 3 o da un firewall, e le due scelte hanno conseguenze molto diverse.
- Se uno switch di livello 3 instrada tutto il traffico tra tutte le VLAN senza alcun filtro, le reti sono separate solo sulla carta: qualunque dispositivo può ancora raggiungere qualunque altro, semplicemente passando dal router.
- Se il traffico tra i segmenti passa da un firewall, o da uno switch con liste di controllo degli accessi ben definite, è possibile stabilire esattamente che cosa può attraversare il confine tra un segmento e l'altro.
Da ricordare
Le VLAN separano il traffico, ma da sole non garantiscono la sicurezza. La protezione arriva dalle regole che controllano i flussi tra i segmenti, e dal fatto che quelle regole siano mantenute nel tempo.
Le policy del firewall: che cosa può parlare con che cosa
Un approccio solido, coerente con le linee guida del NIST sulle policy dei firewall, è partire dal divieto predefinito e consentire esplicitamente solo i flussi necessari. In pratica, per ogni coppia di segmenti ci si chiede: che cosa deve passare, in quale direzione, verso quali sistemi e su quali porte?
Esempio illustrativo
- I client possono raggiungere il gestionale sul server applicativo, il file server e Internet.
- I client possono inviare lavori di stampa alle stampanti; le stampanti non possono avviare connessioni verso i client.
- Le telecamere comunicano solo con il sistema di registrazione.
- Gli ospiti raggiungono solo Internet.
- Il segmento di gestione è raggiungibile solo dalle postazioni degli amministratori.
Le regole vanno documentate, motivate e riviste: le eccezioni aggiunte in urgenza e mai rimosse sono una delle cause più comuni di segmentazioni che, nel tempo, smettono di proteggere. Registrare il traffico bloccato aiuta sia a individuare comportamenti anomali sia a capire se una regola manca.
La rete ospiti
La rete per visitatori e fornitori è il caso più semplice e uno dei più trascurati. Una rete ospiti efficace è in un segmento proprio, consente solo l'accesso a Internet e, dove l'apparato lo permette, impedisce ai dispositivi collegati di vedersi tra loro. Usare una password diversa da quella della rete aziendale non basta, se poi le due reti sono la stessa.
Da dove partire
- Censire dispositivi e servizi presenti in rete: non si può separare ciò che non si conosce.
- Mappare i flussi necessari: chi deve parlare con chi, e per fare cosa.
- Definire i segmenti partendo da quelli con il miglior rapporto tra beneficio e impatto, come la rete ospiti, la gestione e i dispositivi IoT.
- Migrare gradualmente, segmento per segmento, verificando che i servizi continuino a funzionare.
- Mantenere regole e documentazione aggiornate a ogni cambiamento.
La segmentazione non elimina gli incidenti, ma ne limita la portata: un problema confinato in un segmento resta un problema gestibile.