Основы сетевой безопасности

Клиент строит цепочку от сертификата до локально доверенного корня, проверяет каждую подпись, сроки действия, соответствие имени хоста полю subject alternative name и статус отзыва. Он никак не проверяет добросовестность владельца.

Нужен трафик без аутентификации или с понижением и путь, на котором атакующий уже находится: общая локальная сеть, подставной шлюз, отравленное разрешение имён. Устраняют это аутентифицированное шифрование со строгой проверкой сертификата и HSTS.

TLS защищает данные в передаче — конфиденциальность, целостность и аутентификацию сервера по его сертификату. Он не защищает данные в хранении, не скрывает, кто с кем общается, и ничего не даёт, если одна из конечных точек уже скомпрометирована.

Классические ответы DNS не аутентифицированы и не шифруются, поэтому на пути можно подсунуть поддельную запись. DNSSEC подписывает записи для проверки подлинности, а DoH и DoT шифруют канал запроса. Это разные половины задачи, и одно не заменяет другое.

Экран без состояния судит каждый пакет отдельно по статичным правилам, поэтому обратному трафику нужно своё правило. Экран с состоянием отслеживает соединения и пропускает ответы сам. Default-deny отбрасывает всё явно не разрешённое, и забытый сервис закрыт.

Стороны согласуют набор шифров, сервер доказывает личность сертификатом, а эфемерный обмен ключами выводит симметричный ключ для остальной сессии. Forward secrecy означает, что кража долговременного ключа позже не расшифрует записанный трафик.

Сегментируйте по степени доступности извне. Компоненты, смотрящие в интернет (вход web/mobile, обратный прокси), помещают в DMZ. Бэкенд с бизнес-логикой — во внутренний сегмент приложений, доступный только из DMZ. БД — в изолированный сегмент без прямого пути из интернета: к ней ходит только бэкенд, поэтому взломанный хост DMZ не достанет БД напрямую.

TCP ориентирован на соединение: рукопожатие устанавливает связь, затем гарантируется упорядоченная надёжная доставка с повтором и контролем потока — ценой задержки. UDP без соединения: шлёт датаграммы без гарантий порядка и доставки, поэтому быстрее и применяется в DNS, стриминге и играх, где скорость важнее надёжности.

Обычный TLS аутентифицирует только сервер, поэтому вызываемая сторона опознаёт вызывающего по предъявительскому токену. Взаимный TLS заставляет клиента предъявить свой сертификат, привязывая личность к соединению; выдаёт их внутренний удостоверяющий центр.

VPN аутентифицирует один раз и выпускает пользователя в сеть, поэтому украденный ноутбук достаёт всё маршрутизируемое: доверие следует за расположением. Zero-trust авторизует каждое приложение по личности и состоянию устройства, и взлом даёт один ресурс.

Объёмный поток забивает канал, поэтому его гасят выше по потоку — у провайдера очистки или транзитного оператора; на своём сервере это уже не помогает. Прикладной поток выглядит как валидные запросы, поэтому нужны лимиты частоты, кэширование и квоты.

ICMP — управляющий протокол сетевого уровня для сообщений об ошибках и диагностике: Echo (ping), Destination Unreachable, Time Exceeded (его использует traceroute). Подвох: у ICMP нет портов — это не TCP и не UDP, закрыть порт нельзя. Блокируют его правилом экрана по протоколу (номер IP-протокола 1).

Система обнаружения IDS смотрит копию трафика и лишь поднимает оповещения; система предотвращения IPS стоит в разрыве и может отбросить соединение. Блокировка в разрыве превращает каждое ложное срабатывание в отказ и добавляет риск по доступности.

Семь уровней снизу вверх: физический (биты в среде), канальный (кадры, MAC, контроль ошибок), сетевой (маршрутизация, IP-адреса), транспортный (TCP/UDP, сквозная доставка), сеансовый (соединения), представления (кодирование, шифрование) и прикладной (HTTP, DNS). Каждый уровень обслуживает верхний над ним.

Они аутентифицируют клиента на точке доступа и шифруют радиоканал, поэтому слушатель рядом не прочитает кадры. Общий пароль аутентифицирует сеть, а не пользователя, поэтому нужны персональные учётные данные и отдельный сегмент для гостей.

Закрепление сужает доверие со всех публичных корней до одного ключа или издателя, поэтому сертификат, ошибочно выданный другим центром, отвергается. Цена эксплуатационная — смена ключа ломает все выпущенные клиенты до обновления, поэтому закрепляют долгий ключ.

Замените открытый маршрут на default-deny — к хранилищу ходите через приватную точку доступа, реестр разрешите через прокси со списком, остальное отбрасывайте. Журналируйте запреты и запросы DNS на резолвере: при узком выходе сама попытка выхода и есть сигнал.

Скан портов выявляет слушающие сервисы. SYN (полуоткрытый) читает SYN-ACK как открытый, RST как закрытый, не завершая рукопожатие, — нет записи в журнале, нужен детект по потокам/IDS. TCP connect завершает его — надёжно, но логируется. UDP неоднозначен: молчание — открыт/фильтруется, ICMP unreachable — закрыт.

Завершение TLS на границе значит, что балансировщик расшифровывает, поэтому каждый переход за ним несёт открытый текст той же чувствительности. Это допустимо, только если внутренний сегмент изолирован и под мониторингом; иначе шифруйте заново до бэкенда.

Traceroute показывает путь пакетов до получателя. Он шлёт пробы с IP TTL, начиная с 1 и увеличивая каждый раунд; маршрутизатор, уменьшивший TTL до нуля, отбрасывает пакет и возвращает ICMP Time Exceeded, раскрывая адрес этого хопа и время отклика. Останавливается, когда отвечает сам получатель.

Три правила смотрят в весь интернет, хотя не должны: управляющие порты 22 и 3389, а также база на 5432. Ограничьте административный доступ подсетью бастиона, к базе пустите только группу безопасности приложения, оставьте публичными 80 и 443, а открытый выход замените на default-deny.