Płaska sieć i domyślne hasła. Dwa z dziesięciu grzechów administratora, które nadal prowadzą do włamań

Większość poważnych incydentów cyberbezpieczeństwa nie wymaga zerodniowych exploitów ani grup APT sponsorowanych przez państwa. Jak wskazują eksperci Sekuraka, 90% ataków zaczyna się od przełącznika z domyślnym hasłem, płaskiej sieci i zapory z regułą przepuszczającą cały ruch. To właśnie te podstawowe błędy konfiguracyjne, nazwane „dziesięcioma grzechami administratora sieci”, stanowią realne zagrożenie dla firm każdej wielkości. Dla polskich administratorów i zarządzających infrastrukturą kluczowe jest zrozumienie, które z tych błędów są najbardziej krytyczne i jak je wyeliminować.

Grzech pierwszy: domyślne hasła na urządzeniach sieciowych

„Wdrożenie pilne, zmienimy hasła potem” – to zdanie, jak cytują autorzy z Sekuraka, słyszy się od administratorów notorycznie. Potem jednak nigdy nie nadchodzi. Routery, przełączniki, punkty dostępowe, kontrolery WLAN, zapory ogniowe – wszystkie te urządzenia często trafiają do sieci produkcyjnej z kontem admin/admin, cisco/cisco lub hasłem wydrukowanym na naklejce. W przypadku małych firm i urządzeń dostarczanych przez dostawców internetu bywa jeszcze gorzej – hasło to 1234 lub puste pole.

Problem ma charakter systemowy. W wielu organizacjach brakuje procedury commissioning checklist, która wymuszałaby zmianę danych uwierzytelniających jeszcze przed podłączeniem urządzenia do sieci. Skutki są łatwe do przewidzenia: podczas testów penetracyjnych pierwszym krokiem jest skan z próbą logowania domyślnymi danymi. Narzędzia takie jak RouterSploit, Nmap czy Hydra potrafią sprawdzić kilkaset par login/hasło w ciągu kilku minut. Jeden przejęty przełącznik oznacza możliwość przechwytywania ruchu, modyfikacji tablic VLAN i przeskoku do innych segmentów sieci.

Co więc robić? Przede wszystkim wdrożyć procedurę, która nie pozwoli na uruchomienie urządzenia w sieci bez zmiany domyślnych haseł. Dla urządzeń Cisco można skonfigurować silne hasło dla trybu enable oraz wymusić logowanie lokalne na liniach VTY z użyciem algorytmu scrypt. Jak podkreślają autorzy, najskuteczniejszą metodą jest zasada czterech oczu – każda zmiana konfiguracji powinna być zatwierdzona przez drugą osobę.

Grzech drugi: płaska sieć bez segmentacji

„Po co nam VLAN-y, mamy 50 komputerów, nie korporację” – to kolejne typowe usprawiedliwienie. W efekcie w jednej domenie broadcastowej pracują stacje robocze, serwery produkcyjne, drukarki, kamery IP, Wi-Fi dla gości i systemy IoT. Wszystko w jednej podsieci, najczęściej 192.168.1.0/24. Taka płaska sieć to marzenie atakującego. Wystarczy skompromitować jedną stację (np. przez phishing), a z jej poziomu widać w tablicy ARP kontrolery domeny, serwery baz danych czy NAS-y z kopiami zapasowymi.

Eksperci z Sekuraka zalecają, aby minimalna segmentacja sieci obejmowała pięć stref: zarządzanie, serwery, użytkownicy, IoT/OT oraz goście. W środowiskach objętych dyrektywą NIS 2 powinna dojść jeszcze strefa DMZ i dedykowany VLAN dla monitoringu bezpieczeństwa. Każda strefa powinna być oddzielona za pomocą VLAN-ów, a ruch między nimi kontrolowany przez listy ACL (Access Control Lists).

Przykładowo: dla sieci użytkowników można zezwolić na dostęp do serwerów tylko na porty 80 i 443, blokując jednocześnie niepotrzebne połączenia zwrotne. Konfiguracja na przełącznikach Cisco polega na utworzeniu VLAN-ów z nazwami, przypisaniu portów do odpowiednich VLAN-ów oraz skonfigurowaniu trunków między przełącznikami. Inter-VLAN routing z listami ACL pozwala precyzyjnie kontrolować, kto i do kogo może się łączyć.

Grzech trzeci: brak bezpieczeństwa portów fizycznych

Nawet najlepsza segmentacja nie pomoże, jeśli fizyczne gniazdka RJ45 w salach konferencyjnych czy recepcji prowadzą do tego samego VLAN-u co stacje robocze. Osoba z zewnątrz, która wpinie laptop do takiego gniazdka, automatycznie uzyskuje adres z DHCP i znajduje się w sieci wewnętrznej. Może wtedy uruchomić narzędzie typu Responder do zbierania hashów NTLMv2, przeprowadzić atak ARP spoofing czy skanować infrastrukturę.

Rozwiązaniem jest prowadzenie dokładnej dokumentacji portów. Porty nieużywane powinny być wyłączone i oznaczone jako „UNUSED”. Na portach aktywnych warto włączyć mechanizm port-security, który ogranicza liczbę adresów MAC możliwych do podłączenia, a w razie naruszenia blokuje lub wyłącza port. W bardziej zaawansowanych środowiskach stosuje się standard 802.1X, który wymusza uwierzytelnienie urządzenia przed uzyskaniem dostępu do sieci.

Co dalej? Praktyczne kroki dla administratora

Lista dziesięciu grzechów opublikowana przez Sekuraka nie wyczerpuje tematu, ale wskazuje najpilniejsze obszary do poprawy. Dla polskich firm, które często działają w ograniczonych budżetach i bez dedykowanego zespołu bezpieczeństwa, kluczowe jest zacząć od rzeczy podstawowych. Nie trzeba od razu wdrażać zaawansowanych systemów detekcji – wystarczy zmienić domyślne hasła, podzielić sieć na strefy i zabezpieczyć fizyczne porty.

Jak podsumowują autorzy: jeśli chociaż trzy z tych grzechów dotyczą twojej infrastruktury – nie panikuj, ale zacznij działać. Warto też regularnie przeprowadzać audyty wewnętrzne, korzystać z darmowych narzędzi do skanowania sieci (np. Nmap) i dokumentować każdą zmianę. Bezpieczeństwo sieci to proces, a nie jednorazowa akcja.