Российский банк реализовал Zero Trust и защиту внутрисетевого трафика с помощью zVirt SDN

«Слепая зона» безопасности

Инфраструктура банка изначально была оснащена мощными пограничными межсетевыми экранами, которые эффективно фильтровали трафик. Однако возникла проблема «слепой зоны»: традиционные средства защиты работают между сегментами сети, но не видят того, что происходит внутри них.

В традиционной архитектуре виртуальные машины, находящиеся в одной сети (VLAN), взаимодействуют друг с другом напрямую. Это означает, что между ними невозможно разместить фильтр трафика. При этом попытка принудительно направить этот внутренний поток на внешний межсетевой экран для проверки чревата серьезными техническими проблемами. Внутренний трафик сегмента, в зависимости от развернутых систем, может быть внушительным, а дополнительная пересылка на внешний узел увеличила бы задержки в его проверке. Такое вмешательство могло бы отрицательно сказаться на работе протоколов, которые ориентированы на высокую скорость и отзывчивость, а выход из строя одного шлюза безопасности мог бы парализовать связь между критически важными сервисами, что недопустимо для банка.

Запрос на модель нулевого доверия

Необходимость в фильтрации внутрисетевого трафика была вызвана изменением ландшафта киберугроз: участились случаи атак, когда злоумышленник проникает внутрь инфраструктуры и пытается незаметно закрепиться в ней, чтобы расширить свой доступ и нанести как можно больше урона. В таких условиях для каждой виртуальной машины рассматривается возможность потенциальной компрометации.

Для реализации модели Zero Trust банку требовалось средство, которое позволило бы проверять каждое взаимодействие между виртуальными машинами. Полный отказ от централизованной проверки означал бы нарушение требований информационной безопасности и повышенный риск атаки. Ручная настройка фаерволов на каждой отдельной виртуальной машине потребовала бы слишком высоких затрат и повысила бы вероятность ошибок из-за человеческого фактора.

Выбор zVirt SDN и возможности микросегментации

В итоге банк выбрал zVirt SDN — компонент для реализации программно-определяемых сетей, встроенный в платформу виртуализации zVirt. Решающим фактором стали возможности микросегментации — технологии, которая позволяет разбить сеть на атомарные изолированные сегменты и организовать фильтрацию трафика для каждой виртуальной машины на уровне гипервизора.

Вместо того чтобы гнать трафик через центральный экран, zVirt SDN создает «персональный фильтр» перед каждой виртуальной машиной. Это позволяет прописывать строгие белые списки: какие машины, по каким портам, IP-адресам и протоколам могут взаимодействовать.

Отдельным аргументом для банка стало то, что такую проверку невозможно отменить: поскольку фильтрация трафика реализована на уровне сети, она выполняется независимо от действий администраторов виртуальных машин. Даже если один сегмент будет скомпрометирован, злоумышленник окажется заперт в нем, не сможет просканировать сеть или «перепрыгнуть» на соседний сервер. Для распространения атаки ему придется повторять весь свой объем действий для каждого следующего сегмента, что не пройдет мимо ИБ-службы.

Кроме того, поскольку проверка происходит непосредственно в точке выхода трафика, производительность сети не падает. Это отличает использование микросегментации от межсетевых экранов: поскольку объем трафика внутри сегмента может превышать объем межсетевого трафика в несколько раз, интеграция внешних пакетных фильтров в трафик каждой машины повлекла бы задержки в проверке и спад производительности.

Процесс внедрения

Проект удалось реализовать за 2 недели: zVirt SDN является встроенным компонентом zVirt, поэтому банку не пришлось тратить время на первоначальное развертывание и настройку. Операторы банка вышли на уровень самостоятельной работы после одного обучающего созвона с вендором.

Результаты проекта

Команда банка самостоятельно сконфигурировала базовую сеть и проверила ее совместимость с общекорпоративной инфраструктурой. В итоге была выстроена эшелонированная система безопасности, где «умные» межсетевые экраны защищают внешний периметр, а микросегментация обеспечивает защиту на «последнем метре» — непосредственно у каждой виртуальной машины.

Внедрение zVirt SDN позволило реализовать полноценный контроль трафика «Запад-Восток» и минимизировать возможность незаметного распространения атак внутри инфраструктуры.