Palomuurit ja verkkoturva

Aloitamme aina nykytilan läpikäynnillä: mitä sääntöjä palomuurissa on, mitkä niistä ovat vielä tarpeellisia ja mitkä ovat jääneet käyttöön unohduksissa. Yleinen löydös on avoin hallintaportti internetiin päin tai sääntö, joka sallii liikenteen mistä tahansa mihin tahansa — kumpikin kasvattaa hyökkäyspintaa merkittävästi ilman todellista hyötyä.

Konfiguroimme säännöt periaatteella "salli vain se, mitä tarvitaan" ja dokumentoimme jokaisen säännön tarkoituksen, jotta myöhemmin on selvää miksi sääntö on olemassa ja voidaanko se poistaa.

Segmentointi tarkoittaa verkon jakamista loogisiin osiin — esimerkiksi työasemat, palvelimet, tulostimet ja vierailijat — joiden välinen liikenne kulkee palomuurin kautta ja on tarkasti rajattua. Tyypillinen pk-yrityksen segmentointi erottaa vähintään toimistoverkon, palvelinverkon ja vierailijaverkon toisistaan VLAN-tekniikalla.

Kriittisimmille järjestelmille, kuten talous- tai tuotantojärjestelmille, suosittelemme omaa erillistä segmenttiä, johon pääsy on rajattu vain niille käyttäjille ja laitteille, jotka sitä oikeasti tarvitsevat.

Ilman lokitusta häiriötilanteen jälkikäteinen selvittäminen on käytännössä mahdotonta — ei tiedetä milloin, mistä ja miten tunkeutuminen tapahtui. Otamme käyttöön keskitetyn lokituksen palomuurille ja keskeisille verkkolaitteille, ja määritämme hälytykset epätavallisesta liikenteestä, kuten toistuvista epäonnistuneista kirjautumisyrityksistä tai yhteyksistä tunnettuihin haitallisiin osoitteisiin.

Lokien säilytysaika ja tarkkuustaso mitoitetaan yrityksen riskiprofiilin ja mahdollisten sääntelyvaatimusten mukaan.

Verkon reunapisteet — etäyhteydet, pilvipalveluiden yhdyskäytävät ja toimipisteiden väliset yhteydet — ovat usein kriittisimpiä valvottavia kohtia. Varmistamme, että kaikki reunaliikenne kulkee tunnistettujen ja lokitettujen reittien kautta, eikä esimerkiksi yksittäinen työntekijä ole avannut omaa etäyhteysratkaisua ohi virallisen verkon.