Сетевая безопасность: практика и уровни зрелости

Периметр, сегментация, удалённый доступ и защита сетевых сервисов.

Что нужно на первом и втором уровне

Уровень	Что должно быть
1. Базовый	На границе стоит межсетевой экран, наружу открыты только нужные порты.
2. Гигиенический	Сеть сегментирована, правила firewall пересматриваются, удалённый доступ идёт через VPN с MFA, журналы ведутся.

Критерии описаны своими словами по мотивам методики Группы Сбер; это ориентир, а не оценка соответствия. Для небольшой команды многие пункты закрываются процессом и открытыми средствами, а не дорогими продуктами.

Материалы по теме

CrowdSec: защита SSH и nginx от подбора паролей и сканеров
Установка CrowdSec, подключение журналов SSH и nginx, firewall bouncer, whitelist своих адресов и проверка работы. Сравнение с fail2ban.
Fail2ban: свой фильтр для сканеров nginx и проверка fail2ban-regex
Практика собственного фильтра Fail2ban для сканеров уязвимостей по журналу доступа nginx: регулярное выражение, проверка на примерах командой fail2ban-regex, ловушка с вырезанным временем, проверка настроек jail без перезапуска и…
Firewall в Linux: настройка nftables и firewalld
Практика настройки nftables и firewalld: политика по умолчанию, открытие портов и проверка правил.
MFA для SSH и WireGuard без вендорского PAM
Двухфакторный вход по SSH через TOTP и аппаратные ключи, а также способы добавить второй фактор к доступу через WireGuard.
nftables: проверка правил firewall в изолированном netns без риска потерять доступ
Практика безопасной проверки правил nftables: изолированное сетевое пространство имён (netns), набор правил с политикой drop, ограничением частоты SSH и ping и блокировкой по набору адресов, скрипт проверки с…
nginx: заголовки безопасности, скрытие версии и настройки TLS
Практическая безопасная конфигурация nginx: общий файл настроек, отдельный файл заголовков и почему они пропадают из-за наследования add_header, TLS 1.2 и 1.3, HSTS, перенаправление HTTP на HTTPS, закрытие скрытых…
Ollama на своём сервере: что нельзя открывать наружу
Безопасная эксплуатация Ollama: слушать только localhost, закрыть порт 11434, ставить авторизацию перед API и проверять сервер снаружи.
SPF, DKIM и DMARC: защита почты домена от подделки
Пошаговая настройка SPF, DKIM и DMARC для корпоративного домена: примеры записей, поэтапное ужесточение политики, отчёты, проверка командой dig и разбор типовых проблем с доставляемостью.
Traefik: заголовки безопасности, ограничение запросов и доступ через middleware
Практическая защита сервисов за Traefik: конфигурация маршрутов и middleware в файловом провайдере, заголовки безопасности и удаление Server и X-Powered-By, ограничение частоты запросов, разрешённые адреса и basicAuth для административных…
WAF и защита от DDoS для сайта: что нужно небольшой компании
Практика защиты публичного сайта: чем WAF отличается от защиты от DDoS, когда нужна внешняя услуга, как настроить ограничения запросов в nginx, ModSecurity с OWASP CRS в режиме наблюдения…
WireGuard: настройка VPN-сервера на Linux
Пошаговая настройка WireGuard: ключи, сервер, клиент, NAT, firewall и проверка туннеля.
Настройка SSL в Nginx
HTTPS на nginx: сертификат (certbot или свой УЦ), TLSv1.2/1.3, nginx -t, редирект и когда не спешить с HSTS.
Проверка TLS своего сайта: openssl s_client и curl вместо онлайн-сканеров
Практика проверки TLS своего сайта командами: срок и состав сертификата, цепочка, поддерживаемые версии протокола, шифры, перенаправление с HTTP и HSTS. Что смотреть в выводе openssl s_client и curl,…
Сайт и персональные данные: политика, формы, cookie и сторонние скрипты
Практический чек-лист для сайта, который собирает персональные данные: политика на страницах со сбором, отдельное согласие, формы, cookie и аналитика, поиск сторонних сервисов скриптом, локализация и проверка.
Сегментация сети для небольшой компании: зоны и правила
Практическая сегментация сети для небольшой компании: выбор зон, матрица разрешённых потоков, пример правил межсетевого экрана на nftables, поэтапный переход без простоев и проверка.