Newsgroup: it.comp.sicurezza.varie
Titolo: Segmentare la lan in due diversi casi

Salve,
 
ho due casi di studio di due aziende diverse (ora lavoro per una delle 
due ma la mia curiosità è comunque quella di capire in entrambi i casi 
come agireste!).
 
La prima azienda è di informatica, utilizza s.o. Windows, Linux, Mac ed 
ha al suo interno amministrazione, programmazione, marketing, 
progettazione, etc.
 
La seconda azienda è di produzione, industria 4.0, amministrazione, 
marketing e macchinari quali barcode reader, pc collegati alle macchine 
di produzione, etc.
 
Nel primo caso le persone si spostano quindi oggi il programmatore "x" 
può lavorare nella postazione (punto rete) "y" e domani nella postazione 
(punto rete) "h" usata magari in precedenza dall'amministrazione, tutto, 
tranne i server e gli switch managed vanno in dhcp.
 
Nel secondo caso vi è più "staticità" ovvero non ci sono spostamenti se 
non una volta all'anno e vi sono solo indirizzi ip statici.
 
Entrambe le aziende vogliono segmentare la rete ovvero l'amministrazione 
non può vedere i pc della programmazione, nel primo caso, mentre nel 
secondo i pc legati ai macchinari ed i barcode reader devono stare "nel 
loro" senza che possano vedere l'amministrazione e viceversa.
 
Soluzioni, router Cisco piuttosto che switch managed per entrambi i 
casi? Filtro in base ai mac address per il discorso degli spostamenti 
per veicolare il dispositivo verso la "rete giusta"?
 
Saluti.
^Bart

 Buona ma laboriosa di contro potrebbe creare dei problemi nei casi disperati.
 
Sì, decisamente più laboriosa però di sicuro risolverebbe in maniera 
completa la problematica e leggendo in rete sarebbe anche una soluzione 
più performante quella del router piuttosto che quella dello switch managed.
 
In sostanza per dirla in maniera rude a livello hardware non credo si 
debba inserire un router in prossimità di ogni switch ma in un'ottica di 
client isolation tutti i dati finirebbero ad un router centrale che 
dovrebbe filtrare i MAC Address o si può fare diversamente?
 
Anche perché a rigor di logica se ogni porta dello switch è "isolata" e 
non permette il dialogo con gli altri client poi sarà il router 
centralizzato a gestire le connessioni in base ai mac address...
 
Saluti.
^Bart
 

 per veicolare il dispositivo verso la "rete giusta"?
 
Lìtutti switch Cisco, ma alcuni sono vecchi. Quindi il VTP è limitato
alla versione 2: massimo un migliaio di Vlan a propagazione automatica. 
Il resto andrebbe gestito a mano. Gli ho detto che se proprio vogliono
fare una CAZZATA MEGAGALATTICA di questo tipo, devono cambiare un tot
di switch quest'anno invece del prossimo, con "tot" che a occhio è sulla
trentina di apparati.
E Cisco in questo momento fornisce a 6 mesi.
 
Bye, G.

 Entrambe le aziende vogliono segmentare la rete
 
Ok. Aggiungi un paio di dettagli, di non secondaria importanza, secondo me.
 
1. La numerosità dei peer (presente e futura, ma soprattutto futura) dei 
vari segmenti di rete.
 
2. L'eventuale presenza di consulenti/manutentori connessi in modo 
sporadico alle varie sotto reti. 
 
Non leggo di cellulari connessi in WiFi. Non ci sono access point wifi? 
Meglio, eh? Ma anche loro vanno, in qualche modo, gestiti, se ci sono. E, 
data l'estrema mobilità, subentra anche un problema di topologia "fisica", 
oltre che di wiring e di logica.
 
PS: non ho capito se vuoi condurre una discussione, diciamo così, 
"accademica", oppure se hai un problema concreto e se si, con quale delle 
due aziende.
 
 
 
-- 
Ciao! Stefano

 due aziende.
 
Visto che entrambe le situazioni sono reali può essere utile, 
interessante, vedi te che altro aggettivo utilizzare condividere le 
proprie esperienze per dare una propria chiave di lettura; "per fortuna 
da poco" mi trovo in piante stabile nel secondo caso e quindi questo è 
il problema concreto! :)
 
Saluti.
^Bart

 Bye, G.
 
Saluti.
^Bart

 Azzzoooo ma ti costa tanto tenere meno hop possibile? Essù...
 
Hai colto nel segno, finché tutto funziona ok poi quando iniziano i 
problemi un conto è avere una catena corta un'altro è averne una lunga! :)
 
Di mio non voglio darmi la zappa sui piedi ma è ovvio che una 
segmentazione vada fatta e da qualche parte bisogna andare a sbattere la 
testa!
 
Saluti.
^Bart

 
 
Mi concentrerei sul caso concreto, quindi: ne abbiamo già da vendere!
Occorre poi fare un piccolo inventario, sia lato applicativi, che lato 
hardware. Cioè di che cosa già si dispone. Perché le cose cambiano 
parecchio, a seconda, ad esempio, se si ha a che fare con software 
gestionali di vecchia generazione con il concetto client-server, oppure di 
moderni sistemi basati su cloud, in cui i dati e le procedure di 
salvataggio e controllo accessi sono esternalizzati.
 
Anche valutare lo stato di aggiornamento e protezione dei singoli peer, in 
una logica di sicurezza informatica ha senso, entro limiti ragionevoli.
 
Dopodiché, la domanda delle domande: quali scopi ti poni, con la 
"segmentazione"? Perché é comunque, anche se realizzata benissimo, anche 
se leggera, una complicazione. Una cosa da gestire. Io, ad esempio, lato 
configurazioni, sono piuttosto "nazista": agli utenti, diritti da utenti. 
Nessuna possibilità di installare nulla, né di cambiare configurazione. Ed 
allora una logica di net masking, dati i numeri limitati di peer, potrebbe 
bastare. Boh? Qual è lo scopo ultimo? Ed il livello degli utenti? Perché 
se devi compartimentare utOnti, si fa in un modo, hacker si fa in un 
altro, pasticcioni... eh, è un bel mal di testa!
Ma: ci son le reti wifi e le connessioni guest. Lì è un ventre molle, se 
non viene molto ben compartimentato. Insomma: bisognerebbe mettersi lì a 
ragionarci per qualche giorno di lavoro, partendo dalle sommarie 
considerazioni che ho sinteticamente proposto.
 
 
 
 
 
-- 
Ciao! Stefano

 ^Bart
 
E con queste dimensioni si fanno problemi a prendere un "tot" di 
apparati, visto che è evidente ci sia stato un qualche problema di 
sicurezza?! Inoltre l'organico precedente non prevede almeno un 
sistemista di rete, anche esterno a contratto, grave lacuna.
Alternativa formare qualcuno dell'area IT per poter gestire bene le cose 
e non su un NG(!).

 considerazioni che ho sinteticamente proposto.
 
Hai perfettamente ragione, per complicare la situazione posso dirti che 
il wifi ufficiale è usato sia da alcuni dispositivi industria 4.0 che 
per i laptop dell'ufficio quindi anche qui bisognerebbe segmentare di 
nuovo, in teoria "due segmenti" e comunque bisogna ragionarci bene!
 
Saluti.
^Bart

 utente con le credenziali di Administrator.
 
E cio' e male.  :)
 
M.


Direi che tutta la situazione è male: è il metodo migliore per finire 
prigionieri di una ransomware. La soluzione, con la segmentazione, ha poco 
a che fare. Imho.
Andrebbe integralmente ripensata la politica di gestione dell'informatica. 
Andando avanti così si finisce come uno degli enti pubblici oggetto di 
attacchi (regione Lazio, ad esempio).
La gestione della parte "industria 4.0" è semplicemente folle. Idem i 
permessi estesi ad utOnti e pasticcioni. Wifi aperto, brr... Insomma: un 
casino!
Almeno lato backup, siete sufficientemente corazzati?
 
 
 
-- 
Ciao! Stefano

 Almeno lato backup, siete sufficientemente corazzati?
 
Per i backup siamo ok, se hai altri dubbi o consigli scrivi pure! :)
 
Saluti.
^Bart
 

 
 
:) avevo capito l'esatto contrario. Direi che, se mi rileggi, si capisce.
Ciò detto, come vengono gestiti i server e da chi (peso specifico 
dell'amministratore, in termini di esperienza)? Apposto? Già quelli 
segmentano, se siamo in un'ottica client-server, purché validi e gestiti 
bene. Un buon sistema server consente ad esempio una password policy e di 
accessi piuttosto flessibile. Lì puoi segmentare tutto quello che vuoi, 
come ti pare, una volta raggiunta la ragionevole certezza di essere in 
presenza dei soli device che sono autorizzati.
 
Per il resto mi taccio, dato che è inficiato dal mio presupposto sbagliato.
Mi par comunque di capire che i device IoT (o industria 4.0) siano la 
porta aperta verso l'universo mondo. Si infettano anche loro e sono una 
vera comodità, per un hacker: converrà capire meglio di cosa si tratta e 
se si può migliorare una situazione un po' così così (e come). Ma è un 
mondo a sé, davvero vario, per poter dare indicazioni di qualsiasi tipo.
 
 
 
 
-- 
Ciao! Stefano

 e non su un NG(!).
 
Proporrò a breve una Security Road Map in cui indicherò cosa è 
necessario fare, indicherò un budget, etc. poi se avrò tempo potrò 
anch'io metter mano sul routing/firewalling (sto facendo il porting 
mentale tra iptables e nftables ma ho già mille cose da fare e 
quest'aspetto per ora è in stanbby! Lol!).
 
Di sicuro non pretendo che qualcuno del N.G. risolva i miei problemi ci 
mancherebbe altro però scrivere le proprie idee ed opinioni magari 
indicando gli apparati e le tecnologie credo possa tornare utile a tanti!
 
Saluti.
^Bart

 mondo a sé, davvero vario, per poter dare indicazioni di qualsiasi tipo.
 
Tramite PFSense disattiverò internet sui dispositivi IoT e lascerò 
l'accesso solo ai server di ISL Online poi grazie al Wsus distribuirò 
gli aggiornamenti.
 
Poi cercherò di mettere una macchina controller con una distro linux per 
prevenire i port scan, arp poisoning, arp spoofing, etc. insomma... ne 
avrò da fare nei prossimi mesi! :)
 
Saluti.
^Bart