> Сегментация не предотвращает первоначальное заражение, но резко сокращает радиус поражения. Захват одной рабочей станции не должен открывать путь к контроллерам домена, гипервизорам, резервным копиям, средствам защиты, production-системам или OT. Главный критерий — не число VLAN на схеме, а маршруты, которые действительно закрыты и регулярно проверяются. Почему плоская сеть помогает вымогателю После первоначального доступа атакующий исследует окружение, похищает учётные данные и перемещается между узлами через обычные средства администрирования: RDP, SMB, PowerShell, SSH и системы удалённого управления. Чем больше ресурсов доступны напрямую, тем быстрее локальный инцидент превращается в массовое шифрование. VLAN сам по себе не является защитной границей. Если межсегментная маршрутизация разрешена широкими правилами, вредоносная активность продолжит распространяться. Какие зоны разделять первыми Приоритет получают системы, компрометация которых позволяет отключить защиту или одновременно поразить множество узлов: • пользовательские устройства и серверные workloads; • контроллеры домена и другие identity-системы; • гипервизоры и management plane; • резервное копирование; • EDR, SIEM и централизованное управление; • административные станции и jump hosts; • DMZ, VPN, подрядчики, облачные среды и OT. Прямой административный доступ из пользовательских, гостевых и подрядных сегментов к этим зонам закрывают. Как внедрять без остановки бизнеса Сначала инвентаризируют активы, владельцев, направления соединений и реальные зависимости приложений. Наблюдение должно охватывать не только обычный рабочий день, но и обновления, резервное копирование, закрытие периода и аварийные операции. Правила вводят небольшими группами: сначала регистрируют трафик, затем ограничивают его и проверяют результат. До переключения нужны аварийный доступ, план отката, синхронизированные журналы и сохранённая конфигурация сетевых устройств. Резервные копии тоже требуют изоляции Backup-инфраструктуру размещают в отдельной зоне и администрируют через отдельные identities. Production-системы не должны иметь возможности удалять или изменять существующие копии. Сетевую изоляцию дополняют offline- или immutable-копиями: доступ к management plane хранилища иногда позволяет изменить политику хранения, связанные ключи или сами реплики. Успешное создание backup-файла ещё не доказывает восстановимость. Как проверить, что границы работают Проверка должна давать воспроизводимый результат: • обычная рабочая станция не администрирует DC, backup, гипервизоры, защитные средства, production и OT; • рабочие станции не управляют друг другом без утверждённого сценария; • VPN-пользователи и подрядчики видят только назначенные ресурсы; • администраторы входят в критичные зоны через утверждённые точки, а действия журналируются; • запрещённое соединение блокируется и создаёт полезное событие, а необходимый сервис продолжает работать; • команда умеет быстро изолировать узел, workload, VPN-сессию или подсеть и безопасно вернуть их в работу. Что почитать и попробовать • NIST IR 8374 Rev. 1 Практический профиль управления риском ransomware: помогает связать профилактику, ограничение ущерба, реагирование и восстановление. • CISA StopRansomware Guide Прикладное руководство по снижению риска ransomware, защите критичных систем, реагированию и восстановлению после атаки. Я в соцсетях TG TikTok Сетка MAX