Zero Trust мережева архітектура для малого бізнесу: практичний посібник

Коли в офісі стоїть один роутер, до якого без розбору підключені робочі станції, сервери з бухгалтерією, особисті смартфони співробітників та ноутбуки гостей — це класична модель периметральної безпеки. Вона працює за принципом “всередині мережі всі свої, а ззовні — вороги”. Але якщо хтось принесе з дому заражений флешкою ноутбук або підхопить вірус на телефон через гостьовий Wi-Fi, вся локальна мережа опиниться під загрозою. Концепція Zero Trust (нульової довіри) пропонує інший підхід: нікому не довіряти за замовчуванням, навіть якщо пристрій фізично знаходиться в офісі та підключений кабелем.

Як приватний системний адміністратор, я часто бачу, як нехтування цими принципами призводить до втрати важливих даних. Малому бізнесу здається, що складні мережеві моделі — це доля великих корпорацій із величезними бюджетами. Насправді ж, базові принципи нульової довіри можна впровадити без значних фінансових витрат, використовуючи те обладнання, яке у вас вже є.

Коротко

Zero Trust (нульова довіра) — це підхід до безпеки, де жоден пристрій чи користувач не вважається безпечним за замовчуванням, навіть якщо вони знаходяться всередині офісної мережі. Замість створення умовного “захищеного периметра” ми перевіряємо кожне підключення, обмежуємо права доступу до мінімально необхідних та розділяємо мережу на ізольовати сегменти. Для малого бізнесу це означає налаштування MikroTik, розділення Wi-Fi, використання VPN з індивідуальною авторизацією та контроль доступу до Windows Server і Microsoft 365.

Кому актуально

Цей підхід актуальний для будь-якої компанії, яка переросла рівень “три ноутбуки та один принтер”. Особливо це стосується:

• Офісів на 5–30 робочих місць, де є локальний або хмарний сервер (наприклад, для роботи з 1С, BAS або файловим архівом).
• Бухгалтерій, які працюють з конфіденційними фінансовими даними, клієнт-банками та податковою звітністю.
• Компаній, де частина співробітників працює віддалено (з дому, коворкінгів чи інших міст) і потребує доступу до офісних ресурсів.
• Складів та роздрібних точок, які підключаються до центральної бази даних через інтернет.
• ФОП та ТОВ без штатного системного адміністратора, де власник або директор змушений самостійно дбати про безпеку бізнесу в Києві чи регіонах.

Типові симптоми

Як зрозуміти, що ваша поточна мережа побудована за застарілим принципом “абсолютної довіри” і потребує змін? Ось типові симптоми, які я часто бачу в малому бізнесі:

• Будь-який пристрій, підключений до офісного Wi-Fi (навіть телефон клієнта чи кур’єра), може “побачити” локальний сервер Windows Server або мережевий накопичувач NAS.
• Віддалені співробітники підключаються до сервера RDS (віддаленого робочого столу) напряму через відкритий назовні порт 3389, без використання VPN.
• Усі користувачі в офісі працюють під обліковими записами з правами локального адміністратора на своїх комп’ютерах.
• Пароль від офісного Wi-Fi не змінювався роками, його знають колишні співробітники, сусіди по офісному центру та випадкові гості.
• Немає двофакторної автентифікації (2FA) для корпоративної пошти Microsoft 365 або підключення до VPN.
• Співробітники використовують однакові або дуже прості паролі для входу в систему, пошту та бази даних.

Що перевірити

Перед змінами варто перевірити поточний стан вашої ІТ-інфраструктури. Це допоможе зрозуміти масштаби проблеми та скласти план дій. Рекомендую пройтися по наступних пунктах:

1. Мережева сегментація: Відкрийте налаштування роутера (найчастіше це MikroTik). Чи налаштовані у вас окремі VLAN для різних типів пристроїв? Чи гості та робочі ПК знаходяться в одному адресному просторі (наприклад, 192.168.88.X)?
2. Доступ до серверів: Перевірте, чи відкриті порти назовні. Особливо небезпечно, якщо відкриті порти RDP (3389), SMB (445) або SSH (22). Якщо ви бачити ці порти у списку NAT-правил роутера, вашу мережу можуть зламати в будь-який момент.
3. Права користувачів: Перевірте права доступу до мережевих папок. Чи може звичайний менеджер зайти в папку з зарплатними відомостями або бухгалтерськими базами? Чи мають користувачі права адміністратора на своїх локальних комп’ютерах?
4. Автентифікація: Перевірте, як організовано віддалений доступ. Чи використовується VPN? Якщо так, то чи у кожного співробітника свій логін/пароль, чи один загальний на всіх? Чи увімкнено двофакторну автентифікацію для хмарних сервісів?
5. Резервне копіювання: Перевірте, куди зберігаються бекапи. Якщо вони лежать на тому ж сервері або на мережевому диску, який доступний для запису з будь-якого комп’ютера в мережі, то у випадку атаки шифрувальника ви втратите і робочі дані, і резервні копії.

Типові помилки

У своїй практиці я регулярно стикаюся з помилками, які зводять нанівець усі зусилля з безпеки. Ось основні з них:

• “Сліпа довіра до локалки”. Вважати, що якщо комп’ютер стоїть в офісі, він апріорі безпечний. Ризик у тому, що заражений ноутбук, який співробітник приніс з дому, може поширити вірус-шифрувальник по всій локальній мережі за лічені хвилини.
• Публікація RDP-порту назовні. Налаштування доступу до сервера через прокидання порту 3389 на роутері. Це гарантує постійні спроби підбору паролів (brute-force) ботами з усього світу, що рано чи пізно призводить до зламу.
• Один пароль на Wi-Fi для всіх. Коли робочі комп’ютери з базами даних та особисті телефони співробітників знаходяться в одному мережевому сегменті.
• Відсутність контролю за правами доступу. Ситуація, коли користувачі мають надлишкові права (наприклад, права адміністратора на локальних ПК або повний доступ до всіх папок на сервері).
• Ігнорування оновлень. Неоновлені роутери MikroTik або застарілі версії Windows Server, які мають відомі критичні вразливості.

Як краще зробити

Для малого бізнесу впровадження Zero Trust не вимагає покупки дорогих корпоративних рішень чи найму цілого штату інженерів. Більшість завдань можна вирішити за допомогою правильного налаштування вже наявного обладнання та софту.

Крок 1: Сегментація мережі на MikroTik

Це фундамент безпеки. Потрібно розділити локальну мережу на віртуальні підмережі (VLAN). Наприклад:

• VLAN 10 (Сервери): тут знаходяться локальні сервери Windows Server, бази 1С/BAS, файлові сховища NAS. Доступ сюди суворо обмежений.
• VLAN 20 (Робочі ПК): комп’ютери штатних співробітників офісу. Вони мають доступ до серверів лише за конкретними портами (наприклад, RDP або SQL), але не мають повного доступу до всієї мережі.
• VLAN 30 (Офісна техніка): IP-телефони, принтери, сканери. Їм взагалі не потрібен доступ до серверів чи інтернету (крім телефонії).
• VLAN 40 (Гостьовий Wi-Fi): для особистих телефонів співробітників та гостей. Цей сегмент повністю ізольований від робочої мережі. Пристрої тут мають доступ тільки в інтернет.

Налаштуйте правила Firewall на MikroTik так, щоб пристрої з гостьового Wi-Fi або мережі принтерів не мали жодного доступу до серверного сегмента. Навіть якщо гостьовий телефон заражений вірусом, він не зможе “побачити” ваш сервер.

Крок 2: Безпечний віддалений доступ через VPN

Забудьте про відкриті порти. Для віддаленої роботи налаштовується VPN-сервер на MikroTik. Замість застарілого та небезпечного PPTP краще використовувати сучасні протоколи:

• WireGuard: дуже швидкий, легкий у налаштуванні, чудово працює на мобільних пристроях та слабких роутерах.
• SSTP або OpenVPN: використовують TCP-порт 443 (стандартний HTTPS), що дозволяє обходити обмеження провайдерів у готелях чи коворкінгах.

Кожен користувач повинен мати свій унікальний обліковий запис VPN та індивідуальний сертифікат або ключ. Краще перевірити заздалегідь, щоб у налаштуваннях VPN не було простих паролів. Якщо співробітник звільняється, його обліковий запис VPN просто деактивується, і він втрачає доступ до офісу.

Крок 3: Принцип мінімальних привілеїв

На рівні Windows Server та файлового сервера права доступу мають бути чітко розмежовані. Бухгалтер бачить тільки бухгалтерію, директор — усе, менеджер — тільки свої робочі файли. Ніхто з користувачів не повинен працювати під обліковим записом адміністратора на локальному ПК. Це заважає вірусам автоматично встановлюватися в систему, якщо користувач випадково завантажив шкідливий файл з пошти.

Крок 4: Захист хмари (Microsoft 365)

Якщо ви використовуєте хмарні сервіси, увімкніть обов’язкову багатофакторну автентифікацію (MFA/2FA) для всіх користувачів. Налаштуйте політики умовного доступу (Conditional Access), наприклад, дозволяйте вхід у корпоративну пошту тільки з території України або тільки з перевірених пристроїв. Це захистить ваші дані, навіть якщо зловмисники дізнаються пароль від пошти.

Крок 5: Резервне копіювання поза мережею

Навіть найкращий Zero Trust може дати збій, якщо користувач сам запустить шкідливий файл. Тому резервні копії (бекапи) мають зберігатися в ізольованому місці за правилом 3-2-1 (3 копії, 2 різних типи носіїв, 1 копія поза офісом). Важливо, щоб сервер бекапів сам “забирав” дані (pull-модель), а робочі ПК не мали прав на запис чи видалення у сховищі бекапів. Тоді шифрувальник не зможе знищити ваші резервні копії, навіть якщо отримає повний доступ до однієї з робочих станцій.

Коли звертатись до адміністратора

Налаштування концепції нульової довіри — це процес, який вимагає глибокого розуміння мережевих протоколів та системного адміністрування. Якщо ви спробуєте зробити це навмання, є великий ризик заблокувати роботу всього офісу. Ось ситуації, коли варто залучити мене як спеціаліста:

• Вам потрібно налаштувати VLAN на MikroTik, але інтерфейс RouterOS здається занадто складним, а інструкції з інтернету лише заплутують.
• Необхідно організувати безпечний віддалений доступ для співробітників через WireGuard або SSTP VPN, але ви не знаєте, як згенерувати сертифікати та розподілити права.
• Ви хочете провести повний аудит безпеки поточної інфраструктури, знайти “дірки” у захисті Windows Server та закрити зайві порти.
• Потрібно налаштувати надійну схему резервного копіювання за pull-моделлю, щоб захистити бази даних 1С/BAS від вірусів-вимагачів.
• Ви плануєте переїзд офісу або оновлення мережевого обладнання і хочете відразу побудувати правильну архітектуру без застарілих “костилів”.

Я допоможу вам реалізувати ці завдання без зупинки робочих процесів. Ви можете ознайомитися з моїми послугами на сторінці налаштування MikroTik або безпосередньо зв’язатися зі мною для обговорення вашого проекту.

FAQ

У власників бізнесу часто виникають питання щодо практичного впровадження Zero Trust. Я зібрав найпопулярніші з них:

Чи уповільнить Zero Trust роботу моїх співробітників?

Ні, якщо все налаштовано правильно. Для кінцевого користувача процес роботи майже не зміниться. Наприклад, підключення до VPN на базі WireGuard відбувається миттєво і непомітно для користувача. Розділення мережі на VLAN також ніяк не впливає на швидкість передачі даних всередині офісу.

Чи потрібно купувати нове дороге обладнання для цього?

У більшості випадків — ні. Якщо у вашому офісі вже встановлено роутер MikroTik (навіть бюджетної серії hEX або hAP), його функціоналу цілком достатньо для створення VLAN, налаштування Firewall та запуску VPN-сервера. Головне — правильно його сконфігурувати.

Що робити, якщо у нас немає локального сервера, а все в хмарі?

Принцип Zero Trust так само застосовний і до хмарних середовищ. У цьому випадку акцент зміщується на захист облікових записів (двофакторна автентифікація), контроль пристроїв, з яких дозволено вхід, та шифрування каналів зв’язку при роботі з хмарними сховищами.

Як часто потрібно перевіряти налаштування безпеки?

Рекомендується проводити базовий аудит мережі хоча б раз на півроку, а також обов’язково при звільненні ключових співробітників (системних адміністраторів, керівників відділів, бухгалтерів), щоб вчасно відкликати сертифікати доступу та змінити загальні паролі.

Якщо потрібна допомога з сервером, RDS або M.E.Doc, дивіться послугу налаштування Windows Server, RDS та M.E.Doc.

Для серверів із бухгалтерськими базами також варто окремо перевірити резервні копії та базову безпеку.