www.techworld.se TechWorld Superuser1

exklusivt för

N är det gäller säkerhet fo-kuserar vi ofta mer på den trådlösa delen av nätverket

eftersom den inte har några fysiska hinder.

Sunt förnuft säger att du ska kryptera ditt trådlösa nätverk och skydda det på alla upptänkliga sätt, men har du tänkt över säkerheten för det trådbundna nätverket? En hackare kan trots allt sitta ute

på parkeringen, hitta nätverkets ssid och utföra en attack.

Prioritera säkerhetenMen i en värld av hot från insidan, riktade attacker från utsidan och hackare som använder sociala tek-

niker för att få fysisk tillgång till fö-retagsnätverk bör säkerheten för det fysiska nätverket också prioriteras.

Därför listar vi nu här ett antal grundläggande säkerhetsåtgärder du bör vidta för att den trådbundna de-len av nätverket, och detta oavsett du arbetar på ett litet eller stort företag.

1. Granska och kartlägg

Du bör granska och kartlägga nätverket om du inte har gjort det alldeles nyligen. Ha alltid en klar bild av hela nätverkets infra-struktur. Kontrollera till exempel tillverkare, modell, plats och grundläggande konfigure-ring för brandväggar, routrar, switchar, ka-blar, portar och trådlösa accesspunkter. Ta också reda på exakt vilka servrar, datorer, skrivare och andra enheter som är anslutna, var de är anslutna och vilken anslutningsväg de använder i nätverket.

Under din kartläggning kan det hända att du hittar specifika sårbarheter eller meto-der för att förbättra säkerheten, prestandan

och tillförlitlighet. Du stöter kanske också på en felaktigt konfigurerad brandvägg eller fysiska säkerhets-hot.

Om du arbetar med ett litet nät-verk med endast fåtal nätverkskom-ponenter och ett dussintal eller färre arbetsstationer, kan du kanske göra kartläggningen manuellt och skapa ett nätverksdiagram på ett papper. För större nätverk kan det vara bra att ta hjälp av ett program som skannar nätverket och skapar ett nätverksdiagram.

När du väl har utfört en grundläggande granskning och kartläggning bör du gå ett steg djupare. Kolla upp firm-ware- och mjukvaruuppdateringar för alla komponenter i nätverksinfrastrukturen. Logga in på komponenterna för att försäkra dig om att standardlösenorden har ändrats, granska osäkra konfigurationer och titta igenom andra sä-kerhetsfunktioner som du inte använder för närvarande.

Ta sedan en titt på alla datorer och enheter som är an-slutna till nätverket. Försäkra dig om att allt grundläggan-de är under kontroll såsom uppdatering av operativsystem och drivrutiner, att personliga brandväggar är aktiva, att virusskydd körs och är uppdaterade och att lösenord är satta.

2. Håll nätverket uppdaterat

Den här artikel

publiceras

exklusivt

för dig som är

TechWorld

Superuser

Skydda ditt trådbundna nätverk

3TechWorld Superuser www.techworld.se 2

exklusivt för

Det är lätt att glömma bort det, men den fysiska säkerheten för ett nätverk kan vara väl så viktig som internetbrandväggen. Precis som du måste skydda mot hackare, botar och virus måste du också skydda mot mer lokala hot.

Om du inte har en stark fysisk säkerhet för byggnaden och nätverket är risken att det utnyttjas av hackare eller till och med någon anställd. Någon kan till exempel plugga in en trådlös router i en öppen ethernet-port vilket ger vem som helst trådlös tillgång till nätverket. Men om den ethernet-porten inte är synlig eller åtminstone är avstängd kan så-dant inte hända.

Försäkra dig om att du har en god säkerhetsplan för byggnaden som förhindrar att någon utifrån tar sig in. Kontrollera sedan att alla ut-rymmen där komponenter för nätverksinfrastrukturen finns placerade är låsta och därmed inte tillgängliga för vare sig personal eller övriga. Verifiera att nätverskablarna inte är synliga – samma sak gäller för trådlösa accesspunkter. Stäng av ethernet-portar som inte används, antingen fysiskt eller via switch/router-konfigurationen. Detta gäller särskilt dem som finns i publika delar av byggnaden.

Ett stort säkerhetsproblem med den trådbund-na delen av nätverket är att det saknas någon snabb och enkel metod för autentisering eller kryptering. Vem som helst kan bara plugga in en kabel och använda nätverket. I den trådlösa delen har du åtminstone wpa2-psk som är lätt att rulla ut.

Mac-adressfiltrering kan visserligen kringgås av en envis hackare, men den kan ändå fungera som en grundläggande säkerhet. Den stoppar inte en hackare helt och hållet, men den hjäl-per dig till exempel att förhindra att en anställd skapar ett potentiellt säkerhetshål genom att låta en gäst ansluta sig mot nätverket. Den ger dig också mer kontroll över vilka enheter som är på nätverket. Men låt den inte invagga dig i en falsk känsla av säkerhet, och se till att upp-datera mac-adresslistan.

Om du arbetar med ett mindre nätverk som ännu inte har delats upp i virtuella lan bör du tänka över den möjligheten. Du kan använda vlan för att gruppera ethernet-portar, trådlösa accesspunkter och användare över flera virtuella nätverk.

Eller varför inte använda vlan för att dela upp nätverkstrafiken efter typ (generell åtkomst, voip, san, dmz), av prestanda- eller designskäl eller efter användartyp (anställda, ledningen, gäster) för säkerhetsskäl.

Vlan är särskilt användbara när de konfigureras för dynamisk tilldel-ning. Du kan till exempel plugga in din dator var som helst på nätverket eller via wi-fi och per automatik placeras i det tilldelade vlan:et. Detta går att fixa med mac-adresstaggning eller 802.1x-autentisering som är ett säkrare alternativ.

Dina routrar eller switchar måste ha stöd för vlan för att du ska kunna använda det. Titta efter ieee 802.1q-stöd i specifikationen. När det gäller trådlösa accesspunkter vill du sannolikt ha sådana med stöd för både vlan-taggning och flera ssid:n.

Med flera ssid:n har du möjlighet att erbjuda flera virtuella wlan som kan knytas till ett särskilt vlan.

4. Fundera över mac-adressfiltrering

3. Säkra nätverket fysiskt

5. Implementera vlan för att dela upp trafiken

www.techworld.se TechWorld Superuser32

exklusivt för

Du kan också kryptera hela nätverket. Ipsec är ett alternativ. En Windows Server kan tjäna som ip-sec-server och klientfunk-tionen finns som standard i Windows. Krypterings-processen kan dock be-lasta nätverket ganska mycket, något som sänker prestandan. Det finns ock-så krypteringslösningar från andra leverantörer. Många av dem använder en lager 2-metod istäl-let för lager 3 som ipsec, något som minskar belast-ningen på nätverket.

Autentisering och kryptering för den trådbundna delen av nätverket ignoreras ofta. Detta eftersom det anses allt för komplicerat. It-avdelningen anser att det är sunt förnuft att kryptera trådlösa anslutningar, men glöm inte den trådbundna delen. En lokal hackare kan annars plugga in sig på nätverket och både hämta och skicka data utan att mötas av några hinder.

Även om användningen av 802.1x-autentisering inte krypterar ethernet-trafiken så stoppar den åtminstone folk från att sända på nätverket och komma åt resurser på nätverket om de inte loggar in. Du kan också använda autentiseringen på den trådlösa sidan, för att implementera företagsklassad wpa2-säkerhet med aes-krypte-ring som har många fördelar över wpa2-psk.

En annan stor fördel med 802.1x-autentisering är att den kan logga in användare dynamiskt till vlan.

För att rulla ut 802.1x- autentisering måste du först ha en radius-server, som i grund och botten fungerar som en användardatabas och är den komponent som avgör om en användare får tillgång eller inte till nätverket. Om du kör Windows Ser-ver har du redan en radius-server: Network Policy Server-rollen (NPS) eller Internet Authentication Server-rollen (IAS) i äldre versioner av Windows Server. Om du inte redan har en server kan du ta en titt på fristående radius-servrar.

Om du verkligen vill säkra nätverks-trafiken bör du kryptera den. Kom ihåg att även om du har vlan och 802.1x-autentisering kan någon av-lyssna nätverket för att fånga upp okrypterad trafik som kan inkludera lösenord, e-post och dokument.

Även om du krypterar all trafik bör du först analysera nätverket. Det kan vara smartare att enbart kryp-tera utvalda kommunikationer som du anser vara allra känsligast, såsom ssl/https-anslutningar. Du kan skicka den känsliga trafiken genom en stan-dard-vpn på klienten som kan nytt-jas just i samband med den känsliga kommunikationen eller tvingas att köras hela tiden.

7. Använd vpn för att kryptera enheter

6. Använd 802.1x-autentisering

8. Kryptera hela nätverket

Eric Geiertredaktion@techworld.se