Как вести схему сети и потоков, чтобы она не устаревала
Сегментация без актуальной схемы — спор о VLAN, которых уже нет. Разделить зоны можно по порядку сегментации; этот материал про другое: как вести рисунок так, чтобы через полгода ему ещё верили. Назначьте владельца, договоритесь о слоях и встройте обновление схемы в то же изменение, которым двигаете кабель или правило firewall.
Статья опирается на логику направления «Архитектура кибербезопасности» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами.
Что рисовать, а чего не рисовать
| Слой | Что видно | Откуда брать правду |
|---|---|---|
| Узлы и подсети | Сети, шлюзы, firewall, выходы в интернет и в облако | Реестр активов, адресация |
| Зоны | Пользователи, серверы, управление, гости — как на схеме сегментации | Матрица потоков из статьи про сегментацию |
| Потоки | Кто с кем обязан разговаривать: пользователи к веб, бэкап к хранилищу | Правила firewall, описания сервисов |
| Доверие | Где интернет встречается с внутренним, где подрядчик входит по VPN | Договоры, удалённый доступ |
Не рисуйте каждый коммутатор доступа и каждую рабочую станцию: схема умрёт в тот же день. Рабочие станции — одним блоком зоны. Детали портов оставьте в инвентаризации: nmap в CSV. Не пишите на схеме пароли, ключи VPN и внутренние адреса управления, которые не должны утекать вместе с файлом в почту.
Формат любой, лишь бы файл можно было править вдвоём: отдельный файл в общем каталоге с датой в имени, не слайд в чужой презентации. Экспорт в PDF — копия для разбора инцидента, не рабочий оригинал.
Владелец и дата
- Назначьте одного владельца схемы (обычно ответственный за ИБ или сетевой администратор) и заместителя.
- В углу листа: дата последнего изменения, дата следующей сверки, ссылка на версию (номер или хэш файла).
- Плановая сверка — не реже одного раза в квартал, даже если «ничего не менялось». Сверьте блоки с реестром и с последним обходом nmap: узел в сети без блока на схеме — ошибка схемы или реестра.
Обновлять вместе с изменением
Правило: нет обновлённой схемы — изменение не закрыто. В карточке изменения добавьте пункт «схема сети / потоков обновлена, дата». Это касается нового VLAN, нового входящего VPN, вывода сервера, смены firewall, появления SaaS, через который едут данные клиентов.
Риск откладывать «нарисуем в пятницу»: в пятницу уже другой инцидент, а в понедельник схема врёт. Если изменение экстренное, схему обновите на следующий рабочий день и отметьте это в карточке; дольше — считайте карточку открытой.
Чек в карточке изменения
- [ ] Затронуты сеть, VPN, firewall или новый внешний сервис
- [ ] На схеме изменены блоки и потоки, дата в штампе совпадает с датой работ
- [ ] PDF-копия для разбора сохранена рядом с карточкойСверка за час
- Выгрузите из реестра список сетей и шлюзов.
- Сверьте с фактом: обход своей сети nmap или просмотр таблиц firewall — только свои диапазоны.
- Пометьте красным: есть в сети, нет на схеме; есть на схеме, нет в сети.
- Разберите расхождения в тот же день: либо дорисовать, либо вывести мёртвый блок, либо завести актив в реестре.
Новый сервис не должен появляться «сбоку» на схеме после запуска. Требования к нему лучше заложить в ТЗ: требования ИБ к новой системе.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Две схемы в двух отделах | Нет одного файла-оригинала. Оставьте один каталог, остальное пометьте копиями |
| Схема красивая и годовалой давности | Нет привязки к карточке изменения. Добавьте пункт в карточку и квартальную сверку |
| На схеме каждый принтер | Слишком мелкий масштаб. Принтеры и камеры — блок «устройства», детали в реестре |
| После nmap нашлись три узла «неизвестных» | Схема и реестр разошлись. Сначала заведите актив, потом дорисуйте поток |
Где это в модели зрелости
Материал относится к направлению «Архитектура кибербезопасности» (хаб: архитектура кибербезопасности, карта: карта зрелости). Базовый уровень — схема существует. Гигиена — она совпадает с сетью и меняется вместе с изменениями, а не висит как плакат. Сегментация без этой дисциплины описывает желаемое, а не фактическое.
Как проверить
- Есть один рабочий файл схемы с владельцем и датой не старше квартала.
- В карточке последнего сетевого изменения отмечено обновление схемы.
- Случайные три узла из последнего обхода nmap находятся на схеме или явно заведены как исключение.
- На схеме нет секретов; PDF-копия лежит рядом с карточкой, оригинал доступен тем, кому нужно проектировать изменения.
- Новый внешний поток (VPN, SaaS, партнёр) нельзя найти только в переписке — он есть на слое доверия.
Источники
- CIS Controls v8.1, контроль 12 (управление сетевой инфраструктурой). Это не закон РФ: cisecurity.org.
- NIST Cybersecurity Framework 2.0. Это не закон РФ: nist.gov/cyberframework.
- Методика оценки уровня зрелости кибербезопасности компании, Группа Сбер: sberbank.ru.
