Zero trust, tożsamość i segmentacja

Jako kierunek tak, jako produkt do kupienia nie. Zero trust oznacza, że połączenie nie jest zaufane tylko dlatego, że pochodzi z wnętrza sieci: każdy użytkownik i każde urządzenie potwierdzają, kim są, i dostają dostęp tylko do tego, czego potrzebują, sprawdzany wciąż na nowo. Mała firma zajdzie daleko kilkoma krokami: uwierzytelnianie wieloskładnikowe na każdym koncie dostępnym z internetu, osobne sieci dla gości, urządzeń IoT i serwerów, uprawnienia administratora tylko tam, gdzie są potrzebne, i przez osobne konta administracyjne, oraz VPN albo brama, która sięga tylko do systemów używanych przez daną grupę. Rób to w tej kolejności; każdy krok przydaje się sam w sobie. Monitoring sieci sprawdza efekt: NetSenX pokazuje, które hosty naprawdę rozmawiają ze sobą w monitorowanych segmentach, w każdym planie, więc droga, która nie powinna istnieć, staje się widoczna.

Przetestuj ją z obu stron, a potem obserwuj prawdziwy ruch. Z hosta, który nie powinien mieć dostępu, spróbuj prostym testem połączenia dosięgnąć chronionego segmentu, a z wnętrza chronionego segmentu sprawdź, do czego on sięga na zewnątrz. Przejrzyj reguły zapory między segmentami pod kątem zbyt szerokich zezwoleń, starych wyjątków i reguł, których nikt nie umie wyjaśnić. Potem obserwuj, bo reguły się rozjeżdżają: każde zgłoszenie zmiany, nowa aplikacja i wizyta dostawcy mogą dodać wyjątek, a prawdziwym dowodem są połączenia, które faktycznie przekraczają granicę. Powtarzaj test po zmianach w sieci i co najmniej raz w roku. NetSenX pokazuje na mapie sieci komunikację host–host w monitorowanych segmentach i oznacza nowe sesje niepasujące do normalnego zachowania hosta jako ruch lateralny, w każdym planie, więc nieoczekiwana droga między segmentami jest widoczna przy pierwszym użyciu. Droga, która istnieje, ale nikt z niej nie korzysta, pozostaje niewidoczna dla każdego pasywnego sensora.

Oznacza planowanie tak, jakby napastnik już był w środku, zamiast polegać wyłącznie na tym, że się go nie wpuści. Powód jest praktyczny: phishing, skradzione hasła i dostęp dostawców sprawiają, że granica prędzej czy później zostanie przekroczona, więc liczą się pytania, jak daleko dojdzie intruz i jak szybko go zauważysz. W praktyce: ogranicz, do czego sięga każde konto i host, oddziel konta administracyjne od codziennych, przechowuj logi i zapisy ruchu wystarczająco długo, żeby dało się przeprowadzić dochodzenie, trzymaj kopie zapasowe offline, obserwuj ruch wewnątrz sieci i przećwicz, co zrobisz, gdy przyjdzie alert, łącznie z tym, kto decyduje o odłączeniu maszyny. Częścią tego jest wykrywanie wewnątrz sieci: NetSenX obserwuje ruch host–host pod kątem skanowania, ruchu lateralnego i beaconingu, w każdym planie, więc kroki intruza po wejściu stają się widoczne.

Nie, to dwa różne zadania. Kontrola dostępu do sieci (NAC) decyduje, które urządzenia mogą dołączyć do sieci i do którego segmentu trafią, często z użyciem 802.1X, certyfikatów urządzeń albo sprawdzenia ich stanu. Nie obserwuje, co wpuszczone urządzenie robi później, a większość włamań korzysta z urządzeń i kont wpuszczonych zgodnie z zasadami: laptopa po phishingu, konta dostawcy, drukarki ze starym oprogramowaniem. Jeśli możesz, używaj obu: NAC, żeby trzymać nieznane urządzenia z dala, a znane umieszczać we właściwym miejscu, i monitoringu, żeby widzieć, gdy znane urządzenie zaczyna zachowywać się jak intruz. W małej firmie NAC można zacząć prosto, od zabezpieczenia portów na przełącznikach i Wi-Fi z certyfikatami. NetSenX pokrywa część monitoringu: wykrywa skanowanie, ruch lateralny i beaconing z wpuszczonych urządzeń w każdym planie, a jego mapa sieci pokazuje urządzenia widziane w monitorowanych segmentach.

Klasyczny VPN w jednym punkcie tak: po połączeniu urządzenie użytkownika jest zwykle wewnątrz sieci z szerokim dostępem, czyli w modelu „zaufany, bo w środku”, od którego zero trust odchodzi. Nie znaczy to, że VPN musi zniknąć jutro. Można go znacznie zbliżyć do zero trust: wymagać uwierzytelniania wieloskładnikowego, dawać każdej grupie dostęp tylko do potrzebnych systemów, sprawdzać przed połączeniem, czy urządzenie to zarządzany, aktualny laptop firmowy, i logować każdą sesję. Produkty zero-trust network access (ZTNA) idą krok dalej i łączą użytkownika z jedną aplikacją naraz zamiast z siecią. W każdym przypadku zakładaj, że sesję VPN da się nadużyć, i obserwuj, co robi. Z sensorem na porcie SPAN lub TAP za bramą VPN NetSenX wykrywa skanowanie, ruch lateralny i beaconing z urządzeń użytkowników VPN, w każdym planie.

ZTNA to sposób dawania zdalnym użytkownikom dostępu do pojedynczych aplikacji zamiast do całej sieci. Użytkownik loguje się przez dostawcę tożsamości, usługa sprawdza użytkownika, urządzenie, a często także jego lokalizację i stan, i dopiero wtedy otwiera połączenie do tej jednej aplikacji; reszta sieci pozostaje dla użytkownika niewidoczna. Wiele produktów dostarcza to jako usługę w chmurze z małym konektorem wewnątrz Twojej sieci, więc nic nie musi nasłuchiwać od strony internetu. W małej firmie może zastąpić VPN dla aplikacji webowych i pulpitu zdalnego oraz ułatwia danie dostawcy dostępu do jednego systemu bez dawania mu sieci. Nie zwalnia z obserwowania wnętrza: przejęty serwer aplikacji nadal może dosięgnąć swoich sąsiadów. NetSenX nie dostarcza ZTNA; wykrywa ruch lateralny i skanowanie z hostów w monitorowanych segmentach, w każdym planie.

W większości biur tak. Secure access service edge (SASE) przenosi filtrowanie stron, bezpieczny zdalny dostęp i część funkcji zapory do usługi w chmurze, a zero trust zmienia sposób przyznawania dostępu, ale nadal potrzebujesz czegoś, co blokuje niezamówione połączenia z internetu do biura, oddziela segmenty sieci od siebie i kontroluje, do czego mogą sięgać serwery i urządzenia, na których nigdy nie działa klient SASE. Drukarki, kamery, maszyny i wiele serwerów nie mają agenta i chroni je tylko sieć wokół nich. Rola zapory się więc zmniejsza, ale nie znika: ochrona przed ruchem przychodzącym, segmentacja i reguły wychodzące dla niezarządzanych urządzeń. Trzymaj jej reguły krótkie i przeglądane. NetSenX nie zastępuje zapory ani usługi SASE i niczego nie blokuje. Obserwuje ruch przechodzący przez monitorowane segmenty i wykrywa skanowanie, ruch lateralny, beaconing i nietypowy wolumen danych wychodzących, w każdym planie, co pokazuje, kiedy któraś z warstw jest omijana.

Zmniejszają to, do czego intruz sięga z pierwszego przejętego urządzenia. Ruch lateralny to przeskakiwanie z tego urządzenia na inne, zwykle przez pulpit zdalny, udziały plikowe albo narzędzia administracyjne, z hasłami zebranymi po drodze. Segmentacja stawia zapory albo reguły dostępu między grupami systemów, więc przejęty laptop biurowy w ogóle nie otworzy sesji do serwera bazy danych ani systemu kopii zapasowych. Zasada najmniejszych uprawnień sprawia, że konta znalezione na tym laptopie też nie zalogują się do serwerów, bo zwykli użytkownicy nie są wszędzie lokalnymi administratorami, a kont administracyjnych nie używa się do poczty. Biała lista hostów, które mogą używać protokołów administracyjnych, jeszcze bardziej zawęża lukę. Nic z tego nie jest doskonałe, dlatego idzie w parze z wykrywaniem. NetSenX oznacza nowe sesje host–host przez protokoły administracyjne, które nie pasują do normalnego zachowania hosta, jako ruch lateralny, w każdym planie, a od planu Pro łączy je między hostami w jedną historię.

Od systemów, których utrata zabolałaby najbardziej, i urządzeń, którym ufasz najmniej. Praktyczna kolejność dla małej firmy: goście i prywatne urządzenia do osobnej sieci z samym dostępem do internetu; drukarki, kamery, ekrany i inne urządzenia IoT do sieci urządzeń, która nie może inicjować połączeń do komputerów; serwery, zwłaszcza kopie zapasowe, serwery plików i kontroler domeny, do sieci serwerowej, do której komputery sięgają tylko na potrzebnych portach; i osobna droga dla administracji. Każdy krok przydaje się sam, a większość zarządzalnych przełączników i zapór zrobi to VLAN-ami i regułami. Zanim napiszesz reguły, sprawdź, kto naprawdę z kim rozmawia, żeby nie zepsuć zapomnianej zależności, na przykład skanera zapisującego do udziału plikowego. Mapa sieci NetSenX pokazuje hosty w monitorowanych segmentach i to, kto z kim rozmawia, w każdym planie, co daje ten obraz wyjściowy, a potem pokazuje, czy nowe granice działają.

Użyj VLAN-ów do rozdzielenia sieci, a zapory, nie samych list dostępu na przełącznikach, do kontroli tego, co między nimi przechodzi. Umieść sterowniki produkcyjne, panele HMI i serwery SCADA w osobnych VLAN-ach, postaw zaporę między nimi a siecią biurową i dodaj małą DMZ dla systemów potrzebnych obu stronom, takich jak kopia systemu historian czy brama zdalnego dostępu. Pisz reguły jako białą listę: który host biurowy może sięgać do którego hosta OT, na jakim porcie, i nic więcej; resztę odrzucaj i loguj. Listy dostępu na przełącznikach przydają się do prostego rozdziału wewnątrz OT, ale nie śledzą stanu połączeń i łatwo w nich o błąd przy większej skali. Zaplanuj zmianę z inżynierem OT i w oknie serwisowym, bo pominięta zależność może zatrzymać linię. Potem obserwuj granicę: od planu Pro NetSenX oznacza ruch przekraczający poziomy sieci zakładu, z portu SPAN lub TAP, bez odpytywania jakichkolwiek urządzeń OT.

Mikrosegmentacja to kontrola ruchu między pojedynczymi serwerami lub obciążeniami, a nie tylko między strefami sieci, tak że dwa serwery w tym samym segmencie nie mogą ze sobą rozmawiać, jeśli nie pozwala na to reguła. Zwykle realizuje się ją zaporami na hostach, grupami zabezpieczeń w hiperwizorze lub chmurze albo agentem, który egzekwuje politykę na każdej maszynie. Jest bardzo skuteczna wobec intruza przechodzącego z serwera na serwer i powszechna w centrach danych i chmurze. Większość małych firm więcej zyska najpierw na zwykłej segmentacji: osobne sieci dla gości, urządzeń, użytkowników i serwerów. Jeśli masz wiele serwerów, tania wersja mikrosegmentacji to włączenie zapory na każdym serwerze i dopuszczenie tylko potrzebnych mu połączeń. Cokolwiek wybierzesz, niech reguły wynikają z prawdziwego ruchu. Mapa sieci NetSenX pokazuje, które hosty rozmawiają ze sobą w monitorowanych segmentach, w każdym planie, a alerty ruchu lateralnego pokazują sesje niepasujące do normalnego zachowania hosta.

Tylko wtedy, gdy ruch między VLAN-ami przechodzi przez zaporę albo reguły dostępu, które coś egzekwują. Sam VLAN oddziela domeny rozgłoszeniowe na przełączniku; jeśli router między VLAN-ami przepuszcza wszystko, rozdział jest kosmetyczny, a to częste odkrycie w małych sieciach. Źle skonfigurowane porty przełącznika mogą też pozwolić napastnikowi przeskakiwać między VLAN-ami, na przykład porty trunk dostępne dla urządzeń użytkowników albo domyślny VLAN używany do wszystkiego. Żeby VLAN-y coś znaczyły: przepuszczaj ruch między nimi przez zaporę z białą listą, ustaw porty użytkowników na jeden VLAN dostępowy, wyłącz nieużywane porty i trzymaj interfejsy zarządzania w osobnym VLAN-ie. Potem sprawdź prawdziwym ruchem, czy reguły działają. NetSenX pokazuje połączenia host–host w monitorowanych segmentach i wykrywa skanowanie oraz ruch lateralny w każdym planie, więc host sięgający między VLAN-ami tam, gdzie nie powinien, staje się widoczny, o ile ten ruch przechodzi przez łącze z kopią.

Połącz się z siecią dla gości telefonem albo laptopem i spróbuj dosięgnąć systemów wewnętrznych: otwórz adres serwera plików, stronę drukarki, panel administracyjny routera i wewnętrzny serwer nazw biura. We własnej sieci prosty test połączenia albo ping do wewnętrznych zakresów adresów pokaże, czy coś odpowiada. Potem sprawdź konfigurację: włączona izolacja klientów, sieć gości w osobnym VLAN-ie albo na osobnym porcie routera, wyłącznie dostęp do internetu i niedostępny z niej panel administracyjny systemu Wi-Fi. Powtarzaj to po każdej zmianie w systemie Wi-Fi, bo aktualizacje oprogramowania i nowe punkty dostępowe potrafią zresetować ustawienia. Jeśli segment gości jest monitorowany, NetSenX pokazuje urządzenia gości na mapie sieci i oznacza wszelkie ich sesje do hostów wewnętrznych, a także skanowanie i ruch lateralny, w każdym planie. Urządzenie gościa, które sięga do serwera wewnętrznego, widać jako połączenie, które nie powinno istnieć.

To dobry pierwszy krok, ale tylko jeśli sieć jest naprawdę oddzielona i nie jest jedynym rozdziałem, jaki masz. Sieć gości z własną nazwą, ale z tą samą pulą adresów i bez reguł między nią a biurem, wcale nie jest oddzielona; sprawdź, czy jest izolowana i daje tylko dostęp do internetu. Chroni też wyłącznie przed gośćmi: telefony pracowników, telewizory smart i ekspres do kawy często lądują zamiast tego w sieci biurowej. Prywatne urządzenia i IoT przenieś do sieci gości albo sieci urządzeń, firmowe laptopy trzymaj w sieci z uwierzytelnianiem certyfikatem lub dla każdego użytkownika osobno, regularnie zmieniaj hasło dla gości i nie pozwalaj sieci gości sięgać do paneli administracyjnych samego Wi-Fi. Potem potwierdź to prawdziwym ruchem. Jeśli segment gości jest monitorowany, NetSenX pokazuje jego urządzenia na mapie sieci i oznacza wszelkie ich połączenia z hostami wewnętrznymi, skanowanie i ruch lateralny, w każdym planie.

W większości małych biur tak: aktywne gniazdo w sali spotkań, w recepcji albo za drukarką daje każdemu, kto podłączy urządzenie, taki sam dostęp do sieci jak firmowy komputer. Ukryty tam mały komputer może łączyć się ze swoim właścicielem i przez miesiące służyć jako drzwi do sieci. Zamknij to prostymi środkami: wyłącz nieużywane porty przełączników i gniazda ścienne, przenieś sale spotkań i recepcję do sieci gości, użyj zabezpieczenia portów, które dopuszcza tylko znane urządzenia, albo 802.1X, żeby urządzenie musiało się uwierzytelnić, zanim dostanie jakikolwiek dostęp. Od czasu do czasu przejdź się po biurze i sprawdzaj przełączniki pod kątem nieznanych urządzeń. NetSenX pomaga znaleźć to, co już weszło: jego mapa sieci pokazuje urządzenia widziane w monitorowanych segmentach, także te bez agenta, w każdym planie, a ukryte urządzenie, które łączy się na zewnątrz w regularnych odstępach, jest oznaczane jako beaconing. Urządzenie, które milczy albo stoi w niemonitorowanym segmencie, nie jest widoczne.

802.1X to standard, w którym urządzenie musi udowodnić swoją tożsamość, zanim port przełącznika albo sieć Wi-Fi je wpuści, zwykle certyfikatem albo nazwą użytkownika i hasłem sprawdzanymi przez serwer uwierzytelniania. Urządzenie, które nie przejdzie, nie dostaje dostępu albo trafia do ograniczonej sieci gości. To najskuteczniejszy sposób, żeby nieznane urządzenia nie mogły się po prostu podłączyć, a w Wi-Fi zastępuje jedno wspólne hasło danymi dla każdego użytkownika lub urządzenia, więc dostęp osoby odchodzącej można cofnąć osobno. Wymaga przełączników i punktów dostępowych, które go obsługują, serwera uwierzytelniania, często zawartego w usługach tożsamości w chmurze albo w zaporach, i pewnej uwagi przy drukarkach i urządzeniach, które nie potrafią się uwierzytelnić. Wiele małych biur zaczyna od 802.1X tylko w Wi-Fi i zabezpieczenia portów w sieci przewodowej. NetSenX nie egzekwuje dostępu do sieci; jego mapa sieci pokazuje urządzenia widziane w monitorowanych segmentach, w każdym planie, co pomaga znaleźć te, które przeoczyła Twoja kontrola dostępu.

Zatrzymuje większość przypadków, ale nie wszystkie. Uwierzytelnianie wieloskładnikowe (MFA) blokuje ataki, które opierają się wyłącznie na skradzionym albo odgadniętym haśle, dlatego wymagają go ubezpieczyciele, a NIS2 wymienia je wśród swoich środków. Napastnicy się dostosowali: używają fałszywych stron logowania, które w czasie rzeczywistym przekazują kod, kradną ciasteczko sesji po zalogowaniu, zasypują użytkownika żądaniami push, aż któreś zostanie zatwierdzone, albo namawiają helpdesk do zresetowania telefonu. Podnieś poprzeczkę: wybieraj metody odporne na phishing, takie jak klucze dostępu (passkeys) albo sprzętowe klucze bezpieczeństwa, zwłaszcza dla administratorów i finansów; używaj dopasowywania numerów w powiadomieniach push; ograniczaj czas trwania sesji; i niech helpdesk weryfikuje tożsamość przed zresetowaniem MFA. Obserwuj logi logowania pod kątem ryzykownych logowań. Sensor sieciowy nie widzi logowań. NetSenX pokazuje to, co urządzenie przejętego konta robi potem w sieci, na przykład ruch lateralny, skanowanie albo duże wysyłki, w każdym planie.

Zwykle nie jako „MFA wdrożone”, a nieprecyzyjna odpowiedź w formularzu może później sprawić kłopot. Kwestionariusze ubezpieczeniowe i audytorzy pytają zwykle, gdzie MFA jest wymuszone: poczta, zdalny dostęp, aplikacje w chmurze, konta administratorów i kopie zapasowe. Jeśli MFA obejmuje pocztę, ale nie VPN, albo użytkowników, ale nie administratorów, napisz to dokładnie, bo przy szkodzie ktoś to sprawdzi. Najpierw zamknij luki, z których napastnicy korzystają najczęściej: zdalny dostęp, poczta, konta administratorów i konsola kopii zapasowych, potem pozostałe aplikacje w chmurze. Usuń wyjątki, które nie są już potrzebne, a te, które zostają, udokumentuj z powodem i datą końcową. Konta usługowe, które nie mogą używać MFA, ogranicz do znanych źródeł i zamiast tego obserwuj. NetSenX nie sprawdza zakresu MFA; raportuje go Twój dostawca tożsamości. NetSenX dokłada do dowodów stronę sieciową: historię alertów ze znacznikami czasu dla monitorowanych segmentów, przechowywaną przez okres retencji Twojego planu.

Klucze dostępu (passkeys) i sprzętowe klucze bezpieczeństwa oparte na standardzie FIDO2 oraz karty inteligentne z certyfikatami. Są odporne na phishing, bo klucz sprawdza adres strony, z którą rozmawia, i nie odpowie fałszywej witrynie, więc nie ma kodu, który użytkownik mógłby wpisać w złym miejscu. Aplikacje uwierzytelniające z dopasowywaniem numerów to solidny drugi wybór; kody SMS i proste powiadomienia push typu „zatwierdź lub odrzuć” są najsłabsze, bo przekonująca fałszywa strona albo zmęczony użytkownik mogą je oddać. Zacznij od kont, które liczą się najbardziej: administratorzy, finanse, zarząd i każdy z dostępem do kopii zapasowych albo danych klientów. Miej zapasowy klucz dla każdej osoby i udokumentowaną procedurę odzyskiwania, żeby zgubiony klucz nie kończył się pospiesznym, niebezpiecznym resetem. MFA mieszka u dostawcy tożsamości, nie w sieci. NetSenX nie widzi logowań; pokazuje, co urządzenia robią w monitorowanych segmentach po użyciu dowolnego konta.

To atak, w którym ktoś, kto zna już hasło użytkownika, wywołuje logowanie za logowaniem, tak że telefon użytkownika zapełnia się prośbami o zatwierdzenie, często w nocy, aż użytkownik stuknie „zatwierdź”, żeby to przerwać. Czasem napastnik dodatkowo dzwoni albo pisze, podając się za dział IT. Działa to na proste powiadomienia push typu „zatwierdź lub odrzuć”. Obrona leży po stronie tożsamości: włącz dopasowywanie numerów, żeby użytkownik musiał wpisać numer widoczny na ekranie logowania; pokazuj w powiadomieniu lokalizację i aplikację; ograniczaj liczbę powiadomień na minutę; alarmuj przy powtarzanych odrzuceniach; i powiedz pracownikom, że nieoczekiwane powiadomienie oznacza, że ktoś zna ich hasło, więc trzeba je odrzucić i zadzwonić do IT. Jeszcze lepiej przenieś kluczowe konta na passkeys albo klucze sprzętowe. Sensor sieciowy nie widzi tych powiadomień. NetSenX pokazuje, co się dzieje, jeśli napastnik wejdzie: nietypowe sesje, skanowanie albo wysyłki z urządzenia użytkownika w monitorowanych segmentach, w każdym planie.

Zwykle więcej osób i kont, niż ktokolwiek myśli, więc zbuduj listę z samych systemów, a nie z pamięci. Sprawdź grupy administratorów w katalogu albo u dostawcy tożsamości w chmurze, lokalnych administratorów na komputerach i serwerach, role administracyjne w każdej aplikacji w chmurze, takiej jak poczta, księgowość i udostępnianie plików, konta administracyjne zapór, przełączników, Wi-Fi i kopii zapasowych oraz konta, których używa Twój dostawca IT. Szukaj byłych pracowników, kont wspólnych, kont, które nie logowały się od miesięcy, i kont usługowych z uprawnieniami administratora. Potem ograniczaj: usuń to, czego nikt nie potrzebuje, daj administratorom osobne konta administracyjne, wymagaj na wszystkich MFA odpornego na phishing i powtarzaj przegląd co kwartał oraz przy każdym odejściu. To praca nad tożsamością, a sensor sieciowy nie wypisze uprawnień administratora. NetSenX pomaga z drugiej strony: oznacza użycie protokołów administracyjnych między hostami w sposób niepasujący do ich normalnego zachowania jako ruch lateralny, w każdym planie.

Oznacza, że każda osoba, konto i system dostają tylko taki dostęp, jakiego potrzebują do swojej pracy, na tak długo, jak go potrzebują, i nic więcej. W praktyce w małej firmie: pracownicy nie są lokalnymi administratorami na swoich komputerach; administratorzy używają osobnego konta do prac administracyjnych i zwykłego do poczty i przeglądania stron; udziały plikowe są otwarte dla zespołów, które z nich korzystają, a nie dla wszystkich; dostawcy dostają dostęp do systemów, które obsługują, włączany wtedy, gdy trzeba; konta usługowe mają tylko uprawnienia potrzebne ich aplikacji; a dostęp jest przeglądany, gdy ktoś zmienia stanowisko albo odchodzi. Zysk jest taki, że jedno skradzione hasło albo zainfekowany laptop sięgają znacznie mniej. Zmniejsza to też szum: nietypowy dostęp bardziej się wyróżnia, gdy normalny dostęp jest wąski. NetSenX obserwuje sieciową stronę tego: oznacza nowe sesje między hostami niepasujące do ich normalnego zachowania jako ruch lateralny, w każdym planie, co często ujawnia dostęp, którego nikt nie zamierzał dać.

Tak, a często są najmniej pilnowanymi kontami w firmie. Konta usługowe uruchamiają kopie zapasowe, skany, integracje i zadania harmonogramu, często z szerokimi uprawnieniami, hasłami, które nigdy się nie zmieniają, i bez uwierzytelniania wieloskładnikowego. Tokeny i klucze API do usług w chmurze leżą w skryptach, plikach konfiguracyjnych i repozytoriach kodu, gdzie napastnik, który je znajdzie, może ich użyć z dowolnego miejsca. Prowadź inwentarz z właścicielem dla każdego z nich, dawaj im tylko potrzebne uprawnienia, przechowuj sekrety w sejfie zamiast w plikach, zmieniaj je według harmonogramu i natychmiast, gdy odchodzi ktoś, kto miał do nich dostęp, ograniczaj, skąd można ich używać, i alarmuj, gdy któryś zostanie użyty z nietypowego miejsca albo o nietypowej porze; pokażą to logi tożsamości i chmury. W sieci konto usługowe jest zawsze używane z jakiegoś hosta: NetSenX oznacza ten host, gdy zaczyna nowe sesje do innych hostów, skanuje albo wysyła nietypowo dużo, w każdym planie. Samego tokenu w zaszyfrowanym ruchu nie widzi.

Tak. Gdy kilka osób używa jednego konta administracyjnego, nikt potem nie powie, kto co zrobił, hasło rzadko jest zmieniane, gdy ktoś odchodzi, a uwierzytelnianie wieloskładnikowe trudno powiązać z jedną osobą, więc konto często go nie ma. Daj każdemu administratorowi, także pracownikom dostawcy IT, imienne konto administracyjne z MFA odpornym na phishing, a wspólne usuń albo wyłącz. Tam, gdzie wbudowanego konta nie da się usunąć, na przykład lokalnego administratora na komputerach albo konta awaryjnego zapory, daj każdej maszynie unikalne losowe hasło zarządzane przez narzędzie, trzymaj dane awaryjne w zaplombowanej kopercie i alarmuj przy ich użyciu. Loguj czynności administracyjne dla każdej osoby i co kwartał przeglądaj listę kont administracyjnych. Sensor sieciowy nie powie, która osoba użyła konta. NetSenX pokazuje, z którego hosta zaczynają się sesje administracyjne, i oznacza sesje niepasujące do normalnego zachowania hosta jako ruch lateralny, w każdym planie, więc wspólne konto użyte z dziwnej maszyny od razu się wyróżnia.

Tak, dla większości firm są znacznie bezpieczniejsze niż alternatywy: powtarzane hasła, arkusze kalkulacyjne i karteczki. Dobry firmowy menedżer haseł pozwala każdemu używać długich, unikalnych haseł, udostępnia dane logowania zespołu bez wysyłania ich e-mailem i jednym ruchem odbiera dostęp osobie odchodzącej. Sejf staje się cenny, więc go chroń: wymagaj do niego MFA odpornego na phishing, wybierz dostawcę, który szyfruje sejf tak, że sam nie może odczytać jego zawartości, sprawdź, gdzie przechowywane są dane, zablokuj dostęp do sejfu z niezarządzanych urządzeń, jeśli produkt na to pozwala, i udokumentuj procedurę odzyskiwania. Nie trzymaj danych logowania administratorów samego menedżera haseł wyłącznie w nim. Menedżer haseł sam nie zatrzyma phishingu, choć pomaga, bo nie wpisze hasła na fałszywej stronie. NetSenX nie widzi haseł ani sejfów; obserwuje, co urządzenia robią w sieci.

Długość, unikalność i uwierzytelnianie wieloskładnikowe zamiast reguł złożoności i wymuszanej comiesięcznej zmiany. Wytyczne NIST dotyczące tożsamości cyfrowej (SP 800-63B) stawiają na długie hasła, sprawdzanie nowych haseł z listami haseł, które wyciekły, i zmianę hasła wtedy, gdy są dowody, że zostało przejęte, a nie według sztywnego harmonogramu, bo wymuszane okresowe zmiany skłaniają ludzi do przewidywalnych schematów. W praktyce: minimalna długość, która pozwala na frazy hasłowe, brak powtarzania haseł między systemami, menedżer haseł dla wszystkich, blokowanie haseł, które wyciekły, i haseł popularnych, blokada albo spowolnienie po powtarzanych błędach oraz MFA na wszystkim, co jest dostępne z internetu. Konta administracyjne i usługowe zasługują na dłuższe, losowo generowane hasła trzymane w sejfie. Wyjaśnij pracownikom powody; polityki, którą ludzie rozumieją, częściej się przestrzega. NetSenX nie egzekwuje haseł. W sieci oznacza powtarzane próby logowania do monitorowanych hostów jako brute force, w każdym planie, co pokazuje, kiedy ktoś zgaduje.

Jednokrotne logowanie (SSO) pozwala zalogować się raz kontem firmowym u dostawcy tożsamości, a potem korzystać z wielu aplikacji bez osobnych haseł, zwykle przez standardy SAML albo OpenID Connect. Dobrze wdrożone poprawia bezpieczeństwo: mniej haseł do powtarzania i kradzieży, jedno miejsce do wymuszania MFA i zasad dotyczących urządzeń, jedno miejsce do przeglądania logowań i jeden przełącznik do wyłączenia, gdy ktoś odchodzi, co od razu zamyka dostęp do wszystkich podłączonych aplikacji. Druga strona to koncentracja: dostawca tożsamości staje się kluczem do wszystkiego, więc chroń jego konta administracyjne MFA odpornym na phishing, trzymaj zaplombowane konto awaryjne i obserwuj logi logowania. Aplikacje poza SSO mają własne hasła; spisz je, żeby przy odejściu pracownika żadnej nie pominąć. SSO to infrastruktura tożsamości, nie monitoring sieci, i NetSenX nie widzi logowań. Pokazuje, co urządzenia robią w sieci po tym, jak ktokolwiek się zaloguje.

Najpierw zawęź i uwidocznij dostęp, potem go obserwuj. Ustal na piśmie, do których komputerów księgowi mogą sięgać, przez jakie narzędzie, w jakich godzinach i z jakich kont, najlepiej imiennych dla każdej osoby i z uwierzytelnianiem wieloskładnikowym. Wybieraj narzędzie zdalnego dostępu, które kontrolujesz, z logowaniem sesji, zamiast takiego, które zainstalował księgowy; włączaj je na okres zamknięcia miesiąca i potem wyłączaj. Trzymaj komputery działu finansów w segmencie, który nie sięga do reszty sieci. Zapytaj biuro, jak chroni własne systemy, bo ich przejęcie staje się Twoim. Potem obserwuj wzorzec: zdalne sesje widać w sieci jako połączenia z zewnętrznego adresu do konkretnych hostów wewnętrznych w konkretnych godzinach. NetSenX pokazuje te połączenia, a jeśli sesja zacznie sięgać do innych hostów wewnętrznych, oznacza ruch lateralny, w każdym planie; regularne połączenia narzędzia zdalnego poza ustalonym oknem widać jako beaconing. NetSenX nie zarządza tym, kto ma dostęp.

Ich dostęp staje się dostępem napastnika. Dostawca IT ma zwykle uprawnienia administratora do Twoich serwerów, narzędzia zdalnego zarządzania na każdym komputerze i hasła do kont w chmurze; biuro rachunkowe może mieć zdalny dostęp do komputerów działu finansów i do bankowości. Napastnicy o tym wiedzą, a niektóre duże incydenty rozeszły się od jednego dostawcy usług do wielu jego klientów. Przygotuj się zawczasu: spisz każdego dostawcę z dostępem i to, do czego sięga, wymagaj imiennych kont z uwierzytelnianiem wieloskładnikowym, ogranicz ich narzędzia do obsługiwanych systemów, zapytaj, jak chronią własne środowisko i jak powiadomią Cię o incydencie, i wpisz te obowiązki do umowy, czego NIS2 też oczekuje w ramach bezpieczeństwa łańcucha dostaw. Ustal, jak w nagłej sytuacji odetniesz im dostęp. NetSenX pokazuje połączenia dostawcy z Twoją siecią i wykrywa ruch lateralny, skanowanie, beaconing i nietypowy wolumen danych wychodzących z hostów, których używa, w każdym planie. Nie monitoruje systemów samego dostawcy.

Połącz inwentarz oprogramowania z ruchem sieciowym. Na każdym serwerze wypisz zainstalowane programy i działające usługi i szukaj narzędzi pulpitu zdalnego i zdalnej pomocy, klientów VPN oraz agentów platform zdalnego zarządzania; zapytaj każdego dostawcę, jakie narzędzia zainstalował, kiedy i czy nadal z nich korzysta. W sieci szukaj tego, co te narzędzia robią nawet w bezczynności: regularnych połączeń z serwerami przekaźnikowymi producenta albo połączeń z adresu w chmurze, których nikt po Twojej stronie nie umie wyjaśnić. Usuń to, co nie jest już potrzebne, to, co potrzebne, przenieś za własną kontrolowaną drogę dostępu, i zmień hasła, które znał dostawca. NetSenX oznacza regularne połączenia jako beaconing w każdym planie, a cele na wynajętych serwerach w chmurze umieszcza w kolejce do przeglądu, gdzie je potwierdzasz, oznaczasz jako podejrzane albo odkładasz na później. Gdy na serwerze działa agent, alert podaje też nazwę lokalnego programu.

Jedną kontrolowaną drogą, imiennymi kontami i zapisem każdej sesji. Prowadź rejestr dostawców z dostępem: kim są, do jakich systemów sięgają, przez jakie narzędzie i na podstawie jakiej umowy. Kieruj cały dostęp dostawców przez bramę, VPN albo bastion, który należy do Ciebie, z uwierzytelnianiem wieloskładnikowym i osobnym kontem dla każdego technika; włączaj dostęp na uzgodnione okna i potem go wyłączaj; loguj albo nagrywaj sesje. Co kwartał przeglądaj rejestr i usuwaj nieużywany dostęp. Wymagaj od dostawców informowania o incydentach po ich stronie i przetestuj, czy potrafisz szybko odciąć im dostęp. W sieci sesje dostawców powinny wtedy zaczynać się tylko z tej jednej drogi. NetSenX pokazuje połączenia, wykrywa ruch lateralny i skanowanie z hostów używanych przez dostawców, w każdym planie, a cele na wynajętych serwerach w chmurze umieszcza w kolejce do przeglądu, więc narzędzie omijające Twoją drogę staje się widoczne.

Oznacza zarządzanie ryzykiem cyberbezpieczeństwa pochodzącym od dostawców i usługodawców jako częścią własnego zarządzania ryzykiem. Dyrektywa (UE) 2022/2555 wymienia bezpieczeństwo łańcucha dostaw wśród środków w swoim art. 21, łącznie z bezpieczeństwem relacji z bezpośrednimi dostawcami i usługodawcami. W praktyce, dla podmiotu objętego dyrektywą: wiedz, którzy dostawcy mają dostęp do Twoich systemów lub danych, oceń, jak krytyczny jest każdy z nich, wymagaj w umowach podstawowych środków bezpieczeństwa i zgłaszania incydentów, ograniczaj i kontroluj ich dostęp oraz regularnie to wszystko przeglądaj. Jeśli dostarczasz usługi podmiotowi objętemu NIS2, spodziewaj się próśb o podobne dowody, nawet jeśli dyrektywa nie dotyczy Cię bezpośrednio. Krajowe przepisy wdrażające mogą dodawać szczegóły, więc sprawdź prawo swojego kraju. NetSenX nie ocenia dostawców. Pokazuje, co ich dostęp robi w Twojej monitorowanej sieci: połączenia, ruch lateralny, skanowanie i beaconing z hostów, których używają, w każdym planie.

Głównie przez konta, częściowo przez sieć. Po stronie tożsamości: wyłącz konta tej osoby ostatniego dnia pracy, cofnij certyfikaty VPN i sesje aplikacji, usuń jej urządzenia z systemu zarządzania urządzeniami, zmień wspólne hasła, które znała, i sprawdź reguły przekierowania poczty oraz prywatne urządzenia zarejestrowane do MFA. Potem obserwuj logi logowania tego konta i alarmuj przy każdym jego użyciu. Po stronie sieci urządzenie, które nadal ma dostęp, na przykład prywatny telefon z hasłem do firmowego Wi-Fi albo domowy komputer z zapisanym profilem VPN, pojawia się, gdy się połączy: mapa sieci NetSenX pokazuje urządzenia widziane w monitorowanych segmentach z czasem pierwszego i ostatniego pojawienia się, w każdym planie, więc urządzenie, które uważałeś za zniknięte, pojawia się ponownie, a widok VPN pokazuje tunele i sesje bramy. Zmień hasło do Wi-Fi, a jeszcze lepiej używaj osobnych danych Wi-Fi dla każdego użytkownika, żeby urządzenia osoby odchodzącej nie mogły wrócić. NetSenX obserwuje urządzenia, nie ludzi, i nie śledzi byłego pracownika.

Głównie po logach logowania, bo zapisują, kto się zalogował, skąd i jak. Szukaj logowań z nowych krajów, z nieznanych urządzeń albo od firm hostingowych, udanych logowań tuż po wielu nieudanych, nowo zarejestrowanych metod MFA, nowych reguł przekierowania poczty i dostępu do aplikacji, z których dana osoba nigdy nie korzysta. Większość dostawców tożsamości i pakietów biurowych w chmurze potrafi oznaczać ryzykowne logowania; włącz to i dopilnuj, żeby ktoś czytał alerty. Sprawdzaj publiczne serwisy powiadamiające o wyciekach dla domeny firmy i reaguj na ich zgłoszenia, resetując hasło i sprawdzając, czy nie było powtarzane. Sieć pokazuje drugą połowę: co napastnik robi z kontem. NetSenX wykrywa ruch lateralny, skanowanie, beaconing i nietypowe wysyłki z urządzeń w monitorowanych segmentach, w każdym planie, i często właśnie tak przejęcie konta staje się widoczne wewnątrz firmy. Samego logowania nie widzi i nie czyta haseł.

Tak. Administrator, który czyta pocztę i przegląda strony z konta administracyjnego, wystawia klucze do wszystkiego na każdą wiadomość phishingową i każdą złośliwą stronę. Z osobnym kontem administracyjnym, używanym tylko do zadań administracyjnych i nigdy do poczty ani przeglądania stron, przejęte konto codzienne daje napastnikowi znacznie mniej. Idź dalej, gdzie się da: wymagaj na kontach administracyjnych MFA odpornego na phishing, używaj ich tylko z dedykowanej stacji administracyjnej albo bastionu, dawaj każdemu kontu administracyjnemu uprawnienia tylko do systemów, którymi zarządza, i wyłączaj konta administracyjne nieużywane od miesięcy. Dotyczy to także pracowników Twojego dostawcy IT. To higiena tożsamości, której narzędzie sieciowe nie wyegzekwuje. Wyostrza jednak monitoring: gdy sesje administracyjne mają przychodzić tylko z jednej stacji albo bastionu, NetSenX oznacza użycie protokołów administracyjnych z innych hostów jako ruch lateralny, w każdym planie.

Zarządzanie dostępem uprzywilejowanym (PAM) to zestaw narzędzi i praktyk do kontroli najpotężniejszych kont: administratorów, roota, kont usługowych i awaryjnych. Typowe funkcje to sejf, który przechowuje i zmienia hasła administracyjne, wypożyczanie danych logowania na ograniczony czas, nagrywanie sesji, zatwierdzanie przed dostępem i uprawnienia przyznawane na czas wykonania zadania. Pełne produkty PAM pasują do większych firm i środowisk regulowanych. Mała firma pokryje podstawy bez nich: inwentarz kont uprzywilejowanych, osobne konta administracyjne z MFA odpornym na phishing, unikalne hasła lokalnych administratorów zarządzane przez narzędzie, bastion do zdalnej administracji i kwartalny przegląd. Wybierz produkt PAM, gdy liczba administratorów, dostawców albo wymagania audytu sprawiają, że ta ręczna praca staje się zawodna. NetSenX nie jest narzędziem PAM. Uzupełnia je, pokazując, gdzie w sieci odbywają się sesje uprzywilejowane, i oznaczając te niepasujące do normalnego zachowania hosta jako ruch lateralny, w każdym planie.

Częściowo, a NetSenX mniej, niż można by się spodziewać. Wiele ataków na tożsamość dzieje się wewnątrz systemów logowania: password spraying na konta w chmurze, phishing kodów MFA, kradzież tokenów sesji i nadużywanie uprawnień w katalogu. Zostawiają one ślady w logach dostawcy tożsamości, katalogu i chmury, a nie w Twojej sieci biurowej, więc wyłapują je narzędzia czytające te logi, takie jak wykrywanie ryzyka u dostawcy tożsamości, EDR albo SIEM. Niektóre ataki na katalog przechodzą przez sieć, na przykład gdy jedna stacja nagle prosi kontroler domeny o wiele biletów usług, i obserwują je wyspecjalizowane narzędzia. NetSenX nie zgłasza alertów o zdarzeniach tożsamości. Widzi zachowanie urządzeń wokół nich: powtarzane próby logowania do monitorowanych hostów jako brute force oraz ruch lateralny, skanowanie i beaconing, które następują po przejęciu konta, w każdym planie. Używaj go obok logów tożsamości, a nie zamiast nich.

Nie, NIS2 nie wymienia zero trust z nazwy, ale kilka wymaganych w niej środków zmierza w tę samą stronę. Art. 21 dyrektywy (UE) 2022/2555 wymaga od podmiotów objętych jej zakresem środków opartych na ryzyku, które obejmują między innymi polityki kontroli dostępu, zarządzanie aktywami, stosowanie uwierzytelniania wieloskładnikowego lub ciągłego, zabezpieczoną komunikację i bezpieczeństwo łańcucha dostaw. Praktyki zero trust, takie jak weryfikacja każdego użytkownika i urządzenia, najmniejsze uprawnienia i segmentacja sieci, to jeden praktyczny sposób spełnienia tych środków, ale dyrektywa pozostawia metodę Tobie, a krajowe przepisy wdrażające i wytyczne mogą dodawać szczegóły; sprawdź prawo swojego kraju. Audytorzy szukają udokumentowanej analizy ryzyka, środków do niej dopasowanych i dowodów, że działają. NetSenX dostarcza dowodów po stronie sieci: które hosty rozmawiają ze sobą w monitorowanych segmentach oraz alerty o ruchu lateralnym, skanowaniu i beaconingu, w każdym planie. Nie zapewnia Ci zgodności.

Załóż, że jeden laptop zostanie przejęty, i zdecyduj z góry, jak mało ma móc dotknąć. Zwykłe laptopy rzadko muszą rozmawiać ze sobą, więc zablokuj ruch laptop–laptop zaporą na urządzeniu albo ustawieniami przełącznika; pozwól im sięgać do serwerów tylko na portach używanych przez ich aplikacje; trzymaj kopie zapasowe, interfejsy zarządzania i ścieżki administracyjne kontrolera domeny poza ich zasięgiem; i dopilnuj, żeby użytkownik nie był lokalnym administratorem, wtedy złośliwe oprogramowanie nie wyłączy łatwo ochrony i nie zbierze haseł innych kont. W VPN-ie daj każdej grupie dostęp tylko do tego, czego potrzebuje. Potem sprawdź wynik prawdziwym ruchem, bo zestaw reguł na papierze często ma luki. NetSenX pokazuje, które hosty rozmawiają ze sobą w monitorowanych segmentach, i oznacza nowe sesje host–host niepasujące do normalnego zachowania laptopa jako ruch lateralny, razem ze skanowaniem i beaconingiem, w każdym planie, więc widzisz, dokąd przejęty laptop nadal mógłby sięgnąć.

Nie. Większość serwerów potrzebuje krótkiej listy celów wychodzących, takich jak serwery aktualizacji, miejsce docelowe kopii zapasowych i kilka usług partnerów, i niczego więcej. Nieograniczony ruch wychodzący pozwala złośliwemu oprogramowaniu na serwerze łączyć się z atakującym, pobierać narzędzia i wysyłać skradzione dane. Ogranicz go filtrowaniem ruchu wychodzącego na zaporze: dopuść cele, których potrzebuje każdy serwer, kieruj ruch WWW przez proxy, jeśli je masz, a resztę odrzucaj i loguj. Zacznij przez kilka tygodni w trybie samego logowania, żeby zobaczyć, z czego serwery naprawdę korzystają, a potem zaostrz. Reguły oparte na domenach łatwiej utrzymać niż listy adresów, bo usługi w chmurze zmieniają adresy. To samo dotyczy drukarek, kamer i urządzeń OT. NetSenX pokazuje, z jakimi celami na zewnątrz łączą się monitorowane hosty, wykrywa beaconing i nietypowy wolumen danych wychodzących w każdym planie, a cele na wynajętych serwerach w chmurze umieszcza w kolejce do przeglądu, co daje listę potrzebną do napisania reguł.

Opieraj je na zaobserwowanym ruchu, wprowadzaj etapami i zostaw sobie drogę odwrotu. Najpierw przez kilka tygodni zapisuj, kto naprawdę z kim rozmawia, łącznie z rzadko uruchamianymi zadaniami: kopiami zapasowymi, listą płac, raportami na koniec miesiąca, skanerem zapisującym do udziału. Na tej podstawie przygotuj reguły zezwalające, przejrzyj je z właścicielem każdego systemu i zdecyduj, które zaobserwowane połączenia w ogóle nie powinny istnieć. Potem ustaw zaporę tak, żeby logowała to, co nowe reguły by zablokowały, bez blokowania, i zbadaj każde trafienie. Dopiero potem egzekwuj, po jednym segmencie, z planem wycofania i kimś pod ręką. Prowadź dokumentację reguł z powodem i właścicielem każdej z nich. Mapa sieci NetSenX pokazuje komunikację host–host w monitorowanych segmentach, w każdym planie, czyli obraz zaobserwowanego ruchu, którego ta metoda potrzebuje, a jego alerty ruchu lateralnego pokazują potem sesje niepasujące do nowej normy.

Tak, zawsze gdy udostępniasz coś, do czego musi docierać internet albo inna niezaufana sieć. Strefa zdemilitaryzowana (DMZ) to osobny segment sieci między światem zewnętrznym a Twoją siecią wewnętrzną, w którym stawia się systemy przyjmujące połączenia z zewnątrz, takie jak serwer WWW, przekaźnik poczty, brama zdalnego dostępu albo serwer wymiany plików. Jeśli któryś z nich zostanie przejęty, napastnik jest w DMZ, a reguły zapory nie pozwalają mu otwierać połączeń do sieci wewnętrznej. Ta sama idea oddziela w zakładach sieć biurową od produkcyjnej. Wiele małych firm nie udostępnia już samodzielnie usług publicznych i wtedy DMZ jest mała albo niepotrzebna; ale w chwili, gdy przekierowujesz port na serwer wewnętrzny, masz problem DMZ bez DMZ. Aktualizuj hosty w DMZ, trzymaj je w minimalnej konfiguracji i dopuszczaj tylko konkretne połączenia do wewnątrz, których potrzebują. W monitorowanym segmencie NetSenX wykrywa ruch lateralny i skanowanie z hosta w DMZ w stronę hostów wewnętrznych, w każdym planie.

Często tak, przynajmniej częściowo. Sprawdź, co już masz: wiele routerów i zapór biznesowych obsługuje VLAN-y i reguły między nimi, wiele zarządzalnych przełączników też, a większość systemów Wi-Fi potrafi uruchomić osobną sieć gości z izolacją klientów. Jeśli masz przełączniki niezarządzalne, zacznij od tego, co ich nie wymaga: Wi-Fi dla gości z izolacją dla odwiedzających i prywatnych urządzeń, zapora na każdym komputerze i serwerze ustawiona tak, żeby dopuszczała tylko to, co potrzebne, zablokowany ruch laptop–laptop i udziały plikowe ograniczone do grup, które z nich korzystają. Wymieniaj przełączniki niezarządzalne stopniowo, zaczynając tam, gdzie stoją serwery i kopie zapasowe. Zapisz, co oddzieliłeś i dlaczego, żeby następna osoba tego nie cofnęła. Potem sprawdź prawdziwym ruchem, czy to działa. NetSenX pokazuje, które hosty rozmawiają ze sobą w monitorowanych segmentach, w każdym planie; jeden agent na porcie SPAN lub TAP, który wymaga przełącznika z kopiowaniem ruchu albo TAP-a, liczy się jako jedno urządzenie dla tego segmentu.

Traktuj go jak najcenniejszy system, jaki masz, bo kto go kontroluje, kontroluje każde konto. Ogranicz, kto może się do niego logować: tylko kilka imiennych kont administracyjnych z MFA odpornym na phishing, używanych z dedykowanej stacji administracyjnej i nigdy do poczty ani przeglądania stron. Aktualizuj go, nie uruchamiaj na nim niczego innego, zablokuj mu dostęp do internetu poza tym, czego potrzebuje, i pozwól zwykłym komputerom sięgać do niego tylko na portach wymaganych do uwierzytelniania, nie przez pulpit zdalny ani udziały administracyjne. Trzymaj przetestowaną kopię katalogu offline i udokumentowany plan odtworzenia, bo odbudowa katalogu pod presją jest trudna. Regularnie przeglądaj członkostwo w grupach administratorów i obserwuj logi bezpieczeństwa katalogu narzędziem, które je czyta. W sieci NetSenX oznacza nowe sesje do kontrolera domeny niepasujące do normalnego zachowania hosta, na przykład komputer z działu marketingu otwierający zdalną sesję w nocy, jako ruch lateralny, w każdym planie. Logów katalogu nie czyta.

Nie. Zero trust polega na tym, żeby nie dawać dostępu na zaufanie: każde urządzenie i konto potwierdza swoją tożsamość, dostaje tylko to, czego potrzebuje, a jego dostęp jest stale sprawdzany. Dotyczy to urządzeń, kont i połączeń, nie pracy ludzi, i nie wymaga czytania niczyich treści. Wiąże się jednak z logowaniem, na przykład logowań, stanu urządzeń i połączeń sieciowych, więc bądź przejrzysty: powiedz pracownikom, co jest zapisywane, po co i jak długo, zaangażuj radę pracowników, jeśli jest, i przeprowadź ocenę skutków dla ochrony danych tam, gdzie wymaga tego prawo. Ograniczaj dane do minimum, a cel do bezpieczeństwa. NetSenX zbudowano w ten sposób: obserwuje urządzenia i połączenia, nie ludzi, analizuje metadane połączeń, żeby wykrywać ataki, nigdy nie odszyfrowuje ruchu i nie ocenia ani nie szereguje pracowników. Jego alerty wskazują hosty i adresy; gdy alert wymaga kontekstu dotyczącego osoby, ten krok pozostaje w Twoim własnym procesie.