Síťová bezpečnost
Síťová bezpečnost představuje soubor principů, procesů a technických opatření zaměřených na ochranu dostupnosti, integrity a důvěrnosti (CIA triáda) dat a služeb v komunikujících systémech. Zahrnuje preventivní i detekční mechanismy, řízení rizik, reakci na incidenty a kontinuální zlepšování. V moderních hybridních infrastrukturách (on-premises, cloud, edge, mobilní a IoT) je síťová bezpečnost neoddělitelně spojena se správou identit, kryptografií a provozní disciplínou (governance).
Model hrozeb a řízení rizik
- Identifikace aktiv: katalogizace kritických systémů, datových toků a závislostí napříč síťovými segmenty.
- Hrozby a zranitelnosti: protivníci (externí/insider), vektory útoku (phishing, malware, zneužití zranitelností, DDoS), chybné konfigurace.
- Odhad dopadů a pravděpodobnosti: kvantitativní/ kvalitativní metody, modely FAIR, scénáře „co kdyby“.
- Zpracování rizik: akceptace, zmírnění, transfer (pojištění), eliminace; mapování na kontrolní rámce (ISO/IEC 27001/2, NIST CSF, CIS Controls).
Zásady „security by design“ a „defense in depth“
Vícevrstvá obrana kombinuje preventivní, detekční a reaktivní prvky na síťové, aplikační i identitní vrstvě. Bezpečnostní vlastnosti jsou navrhovány od počátku (princip KISS, minimalizace útokové plochy) a vynucovány automatizovaně (policy as code). Žádná jednotlivá kontrola není všemocná – vrstvení snižuje pravděpodobnost průniku a omezuje dopady incidentu.
Zero Trust: nikdy nevěř, vždy ověřuj
- Ověření identity a kontextu: silná autentizace (MFA), atestace zařízení, signály rizika (reputace IP, geolokace, chování uživatele).
- Princip nejmenších oprávnění (least privilege): dynamické řízení přístupu (ABAC/RBAC), just-in-time a just-enough privileges.
- Mikrosegmentace a izolace: granularita až na úroveň workloadů (L3–L7 politiky), zásada default-deny a explicitní povolení.
- Kontinuální monitoring: telemetrie, detekce anomálií a enforced v reálném čase.
Autentizace, autorizace a správa identit (IAM)
- Autentizace: hesla s řízením životního cyklu, bezheslové metody (FIDO2/WebAuthn), OTP, certifikáty, Kerberos/NTLM v doménových prostředích.
- Federace a SSO: protokoly SAML, OpenID Connect, OAuth 2.0; správa důvěryhodných vztahů mezi doménami.
- Autorizace: RBAC, ABAC, PBAC; centralizované politiky (OPA, XACML) a jejich auditovatelnost.
- Privilegované přístupy (PAM): správci tajemství (trezory), session brokeři, zaznamenávání relací, schvalovací workflow.
Kryptografie a klíčová infrastruktura
- Šifrování v klidu i během přenosu: AES-GCM pro data, TLS 1.2/1.3 pro transport; volba silných kryptografických sad (PFS – ECDHE).
- PKI: certifikační autority, životní cyklus certifikátů (CSR, vydání, rotace, revokace), automatizace (ACME).
- Hashování a integrita: SHA-256+, HMAC; digitální podpisy (RSA/ECDSA/EdDSA).
- Správa klíčů a tajemství: HSM/KMS, segmentace klíčů, envelope encryption, tajemství mimo kód (vaulty).
- Kryptografie odolná kvantovým útokům (PQC): plán migrace, hybridní výměna klíčů, inventarizace používaných algoritmů.
Segmentace sítě a architektonické vzory
- Makro- a mikrosegmentace: VLAN, VRF, SD-WAN; mikrosegmentace pomocí agentů/overlays (L7 politiky).
- Oddělení zón: uživatelská, serverová, správcovská, OT/IoT, DMZ; řízené prostupy a jump servery.
- Boundary security: reverzní proxy, WAF, API gateway, brokerované přístupy (ZTNA) namísto VPN s plným tunelem.
Perimetr a kontroly L3/L4/L7
- Firewally: stavové filtry (L3/L4), NGFW s DPI a aplikačními politikami; zásada „deny-all, allow-explicit“.
- IDS/IPS a NDR: signaturní i behaviorální detekce, sandboxing, TLS dekódování s ohledem na soukromí.
- DDoS ochrana: scrubbing, rate limiting, BGP blackholing/flow-spec, anycast.
- DNS bezpečnost: DNSSEC validace, filtrování domén, izolace resolverů a kontrola odchozích přístupů.
- Poštovní brány: SPF, DKIM, DMARC, anti-phishing, sandboxing příloh.
Bezpečné protokoly a síťové služby
- Správa zařízení: SSH/HTTPS místo Telnet/HTTP, TACACS+/RADIUS pro AAA, oddělené management VLAN.
- VPN a vzdálený přístup: IPsec/IKEv2, TLS VPN; split-tunneling dle úrovně rizika; posture check klienta.
- Synchronizace času: zabezpečený NTP/PTP (NTS), prevence spoofingu.
Ochrana koncových zařízení a EDR/XDR
- Hardening OS: minimalizace služeb, pravidelné aktualizace, politiky aplikací (AppLocker/SELinux), šifrování disků.
- Antimalware a EDR: behaviorální senzory, izolace procesů, rollback po ransomwaru.
- Správa zařízení: MDM/UEM pro inventarizaci, konfiguraci, dodržování pravidel a vzdálené vymazání.
Monitoring, logování a SIEM
- Telemetrie: síťové toky (NetFlow/IPFIX), syslog, auditní záznamy IAM, aplikační logy.
- Normalizace a korelace: SIEM/SOAR, alerty, kategorizace detekcí dle MITRE ATT&CK.
- Retence a integrita logů: WORM úložiště, časová razítka, řetězení hashů; ochrana před mazáním ze strany útočníka.
Vulnerability management a konfigurace
- Skener zranitelností: periodické autentizované skeny, hodnocení CVSS s ohledem na kontext byznysu.
- Patch management: plány údržby, canary deployment, rollback; prioritizace kritických aktualizací.
- Compliance a konfigurace: šablony (CIS Benchmarks), detekce odchylek, Infrastructure as Code (GitOps, code review, signování).
Incident response a forenzní připravenost
- Příprava: playbooky, komunikační plány, smluvní rámce s dodavateli (SLA), tabletop cvičení.
- Detekce a analýza: triage, tvorba hypotéz, sběr artefaktů se zachováním řádného řetězce důkazů.
- Obsahování, odstranění a obnova: izolace segmentů, rotace tajemství, reinstalace pomocí čistých obrazů, ověření integrity.
- Lessons learned: post-mortem analýza bez hledání viníka, aktualizace kontrol a politik.
Bezpečnost v cloudu a v kontejnerech
- Shared responsibility: jasné vymezení odpovědnosti mezi poskytovatelem a zákazníkem.
- Cloud-native kontroly: bezpečné VPC/VNet peeringy, SG/NSG, privátní endpoints, WAF, DLP.
- Kontejnery a Kubernetes: podpis a skenování obrazů, minimální base image, Pod Security Standards, síťové politiky (CNI), tajemství mimo kontejnery.
- Cloud IAM: princip nejmenších oprávnění, oddělené účty a projekty, break-glass účty s trezorem.
Ochrana dat a kontinuita provozu
- Klasifikace a označování: veřejné / interní / citlivé / důvěrné; mapování na řízení přístupů a šifrování.
- Zálohy a obnova: strategie 3-2-1, offline/immutable kopie, pravidelné testy obnovy dat.
- DLP a tokenizace: inspekce na odchozí komunikaci, maskování citlivých dat, pseudonymizace.
- BCP/DR: cíle RTO/RPO, geografická redundance, plán přesměrování provozu.
Lidský faktor a bezpečnostní kultura
- Školení a simulace: phishingové kampaně, bezpečné zacházení s daty, hlášení incidentů bez sankcí.
- Procesy a disciplína: change management, princip čtyř očí, segregace rolí, schvalování výjimek.
- Dodavatelský řetězec: due diligence, smluvní požadavky, penetrační testy třetích stran, SBOM.
Testování bezpečnosti a SDLC
- Penetrační testy a red teaming: pravidelné ověřování obrany, scénáře TTP, cvičení modrý vs. červený tým.
- Bezpečný vývoj (DevSecOps): SAST/DAST/IAST, skenování závislostí, modelování hrozeb (STRIDE), bezpečné CI/CD s podepisováním artefaktů.
- Chaos engineering pro bezpečnost: záměrné injektování selhání k ověření robustnosti a reakce.
Metriky, audit a governance
- Výkonnostní ukazatele: MTTD/MTTR, patch compliance, pokrytí logů, míra blokovaných hrozeb, úspěšnost obnovy.
- Audit a dohled: periodické ověřování kontrol, zajištění souladu s regulacemi (GDPR, NIS2, PCI DSS).
- Politiky a standardy: jasná dokumentace, schvalovací procesy, průběžná aktualizace.
Specifika OT/IoT bezpečnosti
- Inventarizace a pasivní monitoring: zjišťování zařízení bez narušení provozu (SPAN/TAP).
- Segmentace a whitelisting: deterministické datové toky, přísné L4/L7 politiky, protokolové brány.
- Správa životního cyklu: patching s ohledem na dostupnost, kompenzační kontroly, fyzické zabezpečení.
Doporučená minimální baseline
- MFA pro všechny privilegované a vzdálené přístupy.
- Šifrování dat za běhu (TLS 1.2/1.3) a v klidu (AES-GCM), řízená správa klíčů.
- Segmentace s default-deny politikou a řízeným příchozím/vycházejícím provozem.
- Centralizované logování, SIEM a základní SOAR playbooky.
- Pravidelné skeny zranitelností, patch management a hardening dle CIS standardů.
- Zálohy s pravidelnými testy obnovy a alespoň jednou neměnnou (immutable) kopií.
- Bezpečné IAM s principem nejmenších oprávnění a PAM.
- Ochrana e-mailu a DNS pomocí DMARC/DKIM/SPF a DNSSEC validace.
- Plán reakce na incidenty a tabletop cvičení alespoň dvakrát ročně.
Závěr
Základní principy síťové bezpečnosti nestojí na jediné technologii, ale na kombinaci správné architektury, disciplinovaného provozu a informovaných lidí. Zero Trust, defense in depth, silná kryptografie, řízení identit, segmentace a kontinuální monitoring tvoří páteř odolnosti. V dynamickém hrozebném prostředí je nezbytné kontinuální zlepšování – měřit, testovat, učit se a automatizovat.
