Мережева безпека

🛡️ Основні компоненти

Firewall (Мережевий екран)

Контроль вхідного/вихідного трафіку на основі правил (ACL). Типи: packet-filtering, stateful, application-layer, next-generation (NGFW). Розміщення на межі мережі.

IDS/IPS (Intrusion Detection/Prevention Systems)

IDS виявляє підозрілу активність; IPS також блокує. Сигнатури, аномалії, гібридні підходи. Розміщення: network-based (NIDS/NIPS), host-based (HIDS/HIPS).

VPN (Virtual Private Networks)

Шифрований тунель через публічну мережу. Типи: site-to-site, remote access, SSL VPN, IPsec VPN. Забезпечує конфіденційність та цілісність.

Сегментація мережі

Поділ мережі на зони безпеки (VLAN, subnets, micro-segmentation). Обмеження комунікації між сегментами, контроль доступу на основі ролей.

Моніторинг та аналіз трафіку

SIEM системи, netflow/sFlow аналіз, packet capture, поведінковий аналіз. Виявлення аномалій, загроз у реальному часі, форензика.

🔐 Протоколи безпеки

TLS/SSL

Transport Layer Security для захисту HTTP, SMTP, FTP трафіку. Шифрування, аутентифікація, цілісність. Версії: TLS 1.3 найновіша. HTTPS = HTTP + TLS.

IPsec

Набір протоколів для безпеки на IP рівні. Режими: transport (end-to-end), tunnel (gateway-to-gateway). AH (аутентифікація), ESP (шифрування).

WPA3

Wi-Fi Protected Access 3 — найновіший стандарт безпеки бездротових мереж. Покращене шифрування, захист від brute-force, forward secrecy.

DNSSEC

DNS Security Extensions — підписання DNS записів для захисту від підробки. Перевірка цілісності DNS відповідей, запобігання DNS spoofing.

BGP Security

Захист протоколу маршрутизації BGP від hijacking, prefix hijacking. RPKI (Resource Public Key Infrastructure) для валідації маршрутів.

⚠️ Типи загроз

DDoS атаки

Distributed Denial of Service — перевантаження ресурсів великим обсягом трафіку. Типи: volume-based (UDP flood), protocol-based (SYN flood), application-based. Захист: rate limiting, DDoS mitigation services.

Man-in-the-Middle (MITM)

Перехоплення комунікації між двома сторонами. ARP spoofing, DNS spoofing, SSL stripping. Захист: TLS, сертифікати, certificate pinning.

Packet Sniffing

Перехоплення та аналіз мережевих пакетів. Захист: шифрування трафіку, сегментація, використання switched мереж (замість hub).

VLAN Hopping

Атака на віртуальні LAN для доступу до інших сегментів. Switch spoofing, double tagging. Захист: правильна конфігурація портів, вимкнення trunk на ненадійних портах.

Routing Attacks

Підробка маршрутизації (BGP hijacking, route poisoning). Перенаправлення трафіку через зловмисні вузли. Захист: RPKI, фільтрація маршрутів.

🔒 Стратегії захисту

Defense-in-Depth

Багатошаровий захист: firewall, IDS/IPS, шифрування, сегментація, моніторинг. Якщо один шар провалиться, інші продовжать захищати.

Zero Trust

Нульова довіра: перевірка всіх спроб доступу, незалежно від розташування. "Never trust, always verify". Мікросегментація, identity-based доступ.

Мікросегментація

Дрібна сегментація мережі на основі workload, identity, application. Гранулярний контроль доступу, обмеження lateral movement.

Безперервний моніторинг

Реальний час аналіз трафіку, поведінки, загроз. SIEM, SOAR для автоматизації реагування. Швидке виявлення та утримання інцидентів.

Network Access Control (NAC)

Контроль доступу пристроїв до мережі. Перевірка compliance, ізоляція невідповідних пристроїв. 802.1X, certificate-based аутентифікація.

Спробуйте наживо

Усе, що вище, працює прямо у вашому браузері — відкрийте Network Packet Routing і змінюйте параметри під час роботи. Нічого не встановлюється, нічого не завантажується на сервер, уся модель живе в одній вкладці.