W typowym 30-osobowym MŚP, do którego przychodzimy po incydencie, sieć wygląda prawie zawsze tak samo: jedno wspólne 192.168.1.0/24, w którym komputer recepcji widzi serwer produkcyjny, kasa fiskalna widzi serwer księgowy, a drukarka w korytarzu — całą resztę. Jeśli ransomware wejdzie przez jednego z tych elementów, w cztery godziny obejmuje wszystko, co ma adres IP.
Segmentacja sieci nie jest tematem na konferencję CISO. To jeden z najtańszych i najbardziej niedocenianych mechanizmów obronnych w MŚP — i jednocześnie ten, którego najczęściej brakuje. Większość firm, które obsługujemy, ma porządne kopie zapasowe, włączone MFA i nawet jakieś szkolenia. A potem ma płaską sieć, w której wszyscy widzą wszystkich, i pierwszy poważny atak kosztuje tygodnie pracy.
Ten tekst jest o tym, czym naprawdę jest segmentacja w realiach 30-osobowej firmy, czego nie jest (choć tak się reklamuje) i co warto wydzielić w pierwszej kolejności.
Płaska sieć = darmowa autostrada dla ransomware
„Płaska sieć" oznacza, że wszystkie urządzenia w firmie — komputery pracowników, serwer plików, ERP, drukarki, kamery, telefony VoIP, telewizor w salce, czyjś prywatny laptop podłączony „na chwilę" — są w jednej podsieci. Każde z nich może otworzyć połączenie do każdego innego. Brak izolacji, brak ograniczeń, brak rejestrów.
Z perspektywy atakującego to wymarzona infrastruktura. Wystarczy zdobyć jeden punkt wejścia — najczęściej komputer pracownika, który kliknął w zainfekowany załącznik — i można:
- Skanować całą sieć w poszukiwaniu otwartych udziałów (SMB, RDP, bazy SQL).
- Logować się na konta usługowe, które „muszą wszędzie wchodzić".
- Szyfrować pliki na serwerze plików, do którego komputer ma zmapowane dyski.
- Przejmować kolejne maszyny przez znane luki w systemie albo słabe hasła.
Cały ten ruch dzieje się wewnątrz sieci, pod radarem firewalla brzegowego — bo firewall pilnuje granicy ze światem, nie ruchu między recepcją a serwerownią. To dlatego nowoczesny ransomware nie potrzebuje wielu godzin: wystarcza mu, żeby sieć była jednym wielkim otwartym pokojem.
Segmentacja zamienia ten pokój w mieszkanie z drzwiami. Po wejściu intruz wciąż jest w środku, ale nie wszędzie naraz.
27-osobowa stolarnia i jeden mail w piątek
U jednego z naszych klientów — 27-osobowej stolarni produkującej meble na zamówienie — księgowa kliknęła w piątek po południu w mail wyglądający na fakturę od stałego dostawcy płyt. ZIP z makrem. Antywirus zareagował na komputerze pojedynczo, ale za późno — proces zdążył uruchomić skrypt, który zaczął skanować sieć.
Firma miała typową dla branży konfigurację: jedno LAN 192.168.0.0/24, w którym siedziały komputery biurowe, serwer plików z projektami CAD, serwer Comarch Optima, sterownik CNC w hali (Windows XP, bo nikt nigdy nie aktualizował — „działa, więc nie ruszać") oraz kilka udziałów sieciowych z hasłami typu „firma2018". W cztery godziny ransomware zaszyfrował serwer plików, bazę danych Optimy i — co najbardziej zabolało — pliki konfiguracyjne CNC. Hala stanęła.
Odbudowa zajęła 5 dni roboczych: backup serwera plików był z poprzedniej nocy (kopia tygodniowa), Optima z kopii dziennej, ale konfiguracje CNC trzeba było odtwarzać z pamięci operatorów i papierowych notatek. Straty produkcyjne — według szacunków właściciela — przekroczyły 60 tysięcy złotych, nie licząc opłaconej naszej pracy nad odbudową.
Po incydencie zrobiliśmy z nimi prostą segmentację: cztery VLAN-y (biuro, serwery, hala/OT, gości), reguły na firewallu wewnętrznym ograniczające ruch między nimi do tego, co naprawdę potrzebne, izolacja sterownika CNC od ruchu biurowego, oddzielne konto administratora dla serwerów (niedostępne z komputerów biurowych). Koszt sprzętu — jeden nowy router/firewall klasy MikroTik/Fortinet entry — około 4 500 zł. Praca konfiguracyjna — dwa dni.
Pół roku później kolejny pracownik kliknął w kolejny zły mail. Ransomware zaszyfrował jeden komputer. Reszta sieci nie zauważyła. Odbudowa: trzy godziny, w tym kawa.
To nie jest historia o czarach. To historia o tym, że ten sam atak w niesegmentowanej sieci kosztuje 60 tysięcy plus tydzień postoju, a w segmentowanej — odtworzenie jednego laptopa z obrazu.
Co to jest segmentacja w realiach 30-osobowej firmy
W korporacji segmentacja oznacza zwykle mikrosegmentację, zero-trust, SASE i pięcioletni projekt z konsultantami. W MŚP wystarcza coś znacznie prostszego: podzielenie sieci na kilka stref, między którymi ruch jest świadomie ograniczony.
Technicznie robi się to przez VLAN-y na switchu zarządzalnym (większość switchy do 2 000 zł już to umie) i reguły na firewallu wewnętrznym — najczęściej tym samym routerze brzegowym, który już masz. Nie potrzebujesz nowej szafy serwerowej. Potrzebujesz świadomości, co naprawdę musi się ze sobą komunikować, i decyzji, że reszta — nie.
Trzy proste pytania, które warto sobie zadać dla każdej pary urządzeń w firmie:
- Czy komputer X naprawdę musi mieć dostęp do serwera Y? Jeśli tak — przez jaki port i protokół?
- Czy ten dostęp jest stały, czy tylko czasami?
- Co się stanie, jeśli komputer X zostanie zainfekowany — jak daleko intruz dojdzie?
Większość odpowiedzi brzmi „właściwie to nie musi". Tablet w salce konferencyjnej nie ma żadnego powodu, żeby widzieć serwer plików. Komputer recepcji nie potrzebuje dostępu do bazy ERP. Drukarka nie ma po co rozmawiać z bazą danych. Te „nie musi" są właśnie listą reguł blokujących, które warto wpisać.
5 stref, które ma sens wydzielić w MŚP
To nie jest jedyny słuszny podział — ale działa dla typowego 10–50-osobowego MŚP i można go wdrożyć w dwa dni.
- Strefa biurowa (komputery pracowników). Wszystkie laptopy i stacjonarki działu administracji, sprzedaży, księgowości. Mają dostęp do internetu i do wybranych serwerów aplikacji (ERP, CRM, plików), ale nie do sieci produkcyjnej i nie do urządzeń IoT/drukarek z innych stref.
- Strefa serwerów. ERP, baza danych, serwer plików, serwer poczty (jeśli on-prem), kontroler domeny. Z zewnątrz tej strefy dostęp wyłącznie przez konkretne porty aplikacyjne. Administracja (RDP, SSH, panel) — tylko z dedykowanego komputera/jump hosta, nie z każdego biurka.
- Strefa produkcyjna / OT. Sterowniki maszyn, panele HMI, kasy, czytniki kodów, terminale magazynowe. Często stare systemy, których nie można aktualizować. Reguła: brak dostępu do internetu (poza koniecznymi serwerami producenta), brak dostępu z biurka, brak dostępu z gości.
- Strefa gości i Wi-Fi prywatnego. Goście, prywatne telefony pracowników, smart TV, ekspres do kawy z Wi-Fi. Tylko internet, zero dostępu do czegokolwiek wewnątrz. Osobne SSID na innym VLAN-ie — to dziesięć minut konfiguracji na typowym access poincie.
- Strefa IoT/druk. Drukarki, kamery, alarm, IoT. Te urządzenia notorycznie mają luki, których nikt nigdy nie załata. Trzymaj je osobno i pozwalaj im rozmawiać tylko z konkretnymi serwerami zarządzającymi.
Te pięć stref pokrywa 90% potrzeb segmentacyjnych typowego MŚP. Można je dalej dzielić (np. księgowość osobno od reszty biura), ale to są niuanse — zysk z samego oddzielenia tych pięciu jest największy.
Co nie jest segmentacją, choć tak się reklamuje
Branża sprzedaje pod hasłem „segmentacja" sporo rzeczy, które brzmią dobrze, ale problemu nie rozwiązują. Najczęstsze pomyłki:
- Drugie Wi-Fi z innym hasłem. Jeśli oba SSID lądują w tej samej sieci LAN, to jest po prostu dwie nazwy do tej samej autostrady. Segmentacja wymaga, żeby ten drugi SSID był w osobnym VLAN-ie z osobnymi regułami.
- „Mamy firewall, jesteśmy bezpieczni". Firewall brzegowy pilnuje granicy z internetem. Nie widzi ruchu wewnątrz sieci. Ransomware, który już jest w środku, przepycha się między komputerami pod jego radarem.
- VLAN-y bez reguł na firewallu. Sam VLAN tylko separuje warstwę 2 (broadcast). Jeśli router między VLAN-ami przepuszcza wszystko, to znowu masz płaską sieć, tylko z dodatkową konfiguracją.
- „Antywirus na każdym komputerze". Antywirus ratuje pojedynczą maszynę, której się akurat „uda". Nie ratuje sieci, w której zaufanie jest globalne. Antywirus i segmentacja to nie alternatywa — to dwie różne warstwy.
- Drogi „NGFW" z UTM, IPS, sandboxem. Wszystkie te funkcje są wartościowe, ale jeśli za nim leży płaska sieć, to wydałeś 25 tysięcy złotych na bramkę, której ransomware nie musi nawet mijać — żyje sobie spokojnie w środku.
Każda z tych rzeczy ma sens jako część układanki. Żadna nie zastępuje świadomego podziału ruchu na strefy.
Od czego zacząć w tym tygodniu
Jeśli prowadzisz 10–50-osobowe MŚP i z tej listy wyłania ci się obraz „my mamy płaską sieć", to dobra wiadomość: pierwsze realne ograniczenie ryzyka można zrobić w dwa wieczory. W tej kolejności:
- Narysuj sieć na kartce. Co masz: ile switchy, ile access pointów, gdzie serwery, gdzie sterowniki, gdzie drukarki. Bez tego nie da się zaplanować podziału.
- Wydziel Wi-Fi gości. To najprostszy krok i daje natychmiastowy zysk. Osobny SSID, osobny VLAN, tylko internet. Robi się w godzinę na typowym access poincie klasy Ubiquiti/MikroTik/Aruba Instant.
- Oddziel sieć produkcyjną/OT. Jeśli masz cokolwiek przemysłowego (CNC, kasy, terminale, urządzenia laboratoryjne), trzymaj to w osobnym VLAN-ie bez dostępu do internetu i z dostępem z biura tylko przez konkretne porty. To ratuje produkcję, kiedy biuro pada.
- Wyłącz SMBv1 i otwarte udziały bez haseł. Klasyk lat 2017–2024 — większość masowych infekcji nadal idzie tymi drogami. Dziesięć minut na komputer.
- Zrób przegląd kont administratorów. Komputer codzienny nie powinien logować się na konto administratora domeny. Oddziel konta dzienne od kont admin i wpuść admin tylko z jednego, kontrolowanego miejsca.
- Zaplanuj wdrożenie pełnej segmentacji. Po tych pierwszych krokach masz już ~50% korzyści. Resztę warto rozłożyć na 2–3 weekendy z przygotowaniem (kupno switcha zarządzalnego, jeśli go nie masz, projekt VLAN-ów, reguły firewall).
Segmentacja nie zatrzymuje ransomware. Ransomware kiedyś się przedostanie — przez phishing, przez aktualizację, przez podszytego dostawcę. Ale segmentacja decyduje o tym, czy stracisz jeden komputer i trzy godziny, czy całą firmę i tydzień. To jest ta różnica, której nie kupisz po incydencie — kupujesz ją teraz, kiedy nic się nie dzieje.
Jeśli chcesz to ułożyć w swojej firmie, ale nie wiesz, czy zacząć od switcha, firewalla, czy od mapy sieci — pomagamy MŚP rozkładać takie rzeczy na czynniki pierwsze regularnie. Pierwsza rozmowa jest bezpłatna i trwa pół godziny.
Ransomware nie szyfruje całej firmy dlatego, że jest sprytny. Szyfruje, bo cała firma jest w jednym pokoju.