Síťová bezpečnost
Síťová bezpečnost představuje soubor principů, procesů a technických opatření zaměřených na ochranu dostupnosti, integrity a důvěrnosti (CIA triáda) dat a služeb v komunikujících systémech. Zahrnuje prevenční i detekční mechanismy, řízení rizik, reakce na incidenty a kontinuální zlepšování. V moderních hybridních infrastrukturách (on-premises, cloud, edge, mobilní a IoT) je síťová bezpečnost neoddělitelná od správy identit, kryptografie a provozní disciplíny (governance).
Model hrozeb a řízení rizik
- Identifikace aktiv: katalogizace kritických systémů, toků dat a závislostí napříč síťovými segmenty.
- Hrozby a zranitelnosti: protivníci (externí/internal), vektory útoku (phishing, malware, zneužití zranitelností, DDoS), misconfigurace.
- Odhad dopadů a pravděpodobnosti: kvantitativní/kwalitativní metody, modely FAIR, scénáře „co kdyby“.
- Ošetření rizik: akceptace, mitigace, transfer (pojištění), eliminace; mapování na kontrolní rámce (ISO/IEC 27001/2, NIST CSF, CIS Controls).
Zásady „security by design“ a „defense in depth“
Vícevrstvá obrana kombinuje preventivní, detekční a reaktivní prvky na síťové, aplikační i identitní vrstvě. Bezpečnostní vlastnosti jsou navrhovány již od počátku (princip KISS, minimalizace útokové plochy) a automatizovaně vynucovány (policy as code). Žádná jednotlivá kontrola není všemocná – vrstvení snižuje pravděpodobnost průlomu a omezuje následky incidentu.
Zero Trust: nikdy nevěř, vždy ověř
- Ověření identit a kontextu: silná autentizace (MFA), atestace zařízení, rizikové signály (IP reputace, geolokace, chování).
- Nejmenší oprávnění (least privilege): dynamické řízení přístupu (ABAC/RBAC), just-in-time a just-enough privileges.
- Mikrosegmentace a izolace: granularita až na úroveň workloadu (L3–L7 politiky), default-deny a explicitní povolení.
- Kontinuální monitoring: telemetrie, detekce anomálií a enforcement v reálném čase.
Autentizace, autorizace a správa identit (IAM)
- Autentizace: hesla s řízeným životním cyklem, bezheslové metody (FIDO2/WebAuthn), OTP, certifikáty, Kerberos/NTLM v doménách.
- Federace a SSO: protokoly SAML, OpenID Connect, OAuth 2.0; správa vztahů důvěry mezi doménami.
- Autorizace: RBAC, ABAC, PBAC; centralizované politiky (OPA, XACML) a jejich auditovatelnost.
- Privilegované přístupy (PAM): trezory tajemství, session brokery, záznam relací, schvalovací workflow.
Kryptografie a klíčová infrastruktura
- Šifrování v klidu a za běhu: AES-GCM pro data, TLS 1.2/1.3 pro přenos; volba silných sad (PFS – ECDHE).
- PKI: certifikační autority, životní cyklus certifikátů (CSR, vydávání, rotace, revokace), automatizace (ACME).
- Hashování a integrita: SHA-256+, HMAC; digitální podpisy (RSA/ECDSA/EdDSA).
- Správa klíčů a tajemství: HSM/KMS, segmentace klíčů, envelope encryption, tajemství mimo kód (vaulty).
- Kryptografie odolná vůči kvantům (PQC): plán migrace, hybridní výměna klíčů, inventarizace algoritmů.
Segmentace sítě a architektonické vzory
- Makro- a mikrosegmentace: VLAN, VRF, SD-WAN; mikrosegmentace pomocí agentů/overlays (L7 politiky).
- Oddělení zón: uživatelská, serverová, management, OT/IoT, DMZ; řízené průchody a jump servery (jump hosts).
- Boundary security: reverzní proxy, WAF, API gateway, brokerované přístupy (ZTNA) namísto VPN s plným tunelem.
Perimetr a L3/L4/L7 kontroly
- Firewally: stavové filtry (L3/L4), NGFW s DPI a aplikačními politikami; zásada „deny-all, allow-explicit“.
- IDS/IPS a NDR: signaturní i behaviorální detekce, sandboxing, TLS dešifrování s ohledem na soukromí.
- DDoS ochrana: scrubbing, rate limiting, BGP blackholing/flow-spec, anycast.
- DNS bezpečnost: DNSSEC validace, filtrování domén, izolace resolverů a egress kontrola.
- Poštovní brány: SPF, DKIM, DMARC, anti-phishing, sandboxing příloh.
Bezpečné protokoly a síťové služby
- Správa zařízení: SSH/HTTPS místo Telnet/HTTP, TACACS+/RADIUS pro AAA, oddělené management VLAN.
- VPN a vzdálený přístup: IPsec/IKEv2, TLS VPN; split-tunneling dle rizika; posture check klienta.
- Synchronizace času: zabezpečený NTP/PTP (NTS), prevence spoofingu.
Ochrana koncových bodů a EDR/XDR
- Hardening OS: minimalizace služeb, aktualizace, aplikační politiky (AppLocker/SELinux), šifrování disků.
- Antimalware a EDR: behaviorální senzory, izolace procesů, rollback po ransomwaru.
- Správa zařízení: MDM/UEM pro inventář, konfiguraci, compliance a vzdálené vymazání.
Monitoring, logování a SIEM
- Telemetrie: síťové toky (NetFlow/IPFIX), syslog, auditní záznamy IAM, aplikační logy.
- Normalizace a korelace: SIEM/SOAR, alerting, rámování detekcí dle MITRE ATT&CK.
- Retence a integrita logů: WORM úložiště, časová razítka, řetězení hashů; ochrana proti mazání útočníkem.
Vulnerability management a konfigurace
- Skener zranitelností: pravidelné skeny (autentizované), hodnocení CVSS s byznys kontextem.
- Patch management: okna údržby, canary deployment, rollback plány; prioritizace kritických aktualizací.
- Compliance a konfigurace: šablony (CIS Benchmarks), detekce driftu, Infrastructure as Code (GitOps, review, podepisování).
Incident response a forenzní připravenost
- Příprava: playbooky, komunikační plány, smluvní rámce s dodavateli (SLA), tabletop cvičení.
- Detekce a analýza: triage, tvorba hypotéz, sběr artefaktů s řádnou řetězec důkazů.
- Obsahování, eradikace, obnova: izolace segmentů, rotace tajemství, reinstalace čistými obrazy, verifikace integrity.
- Lessons learned: post-mortem bez hledání viníka, aktualizace kontrol a politik.
Bezpečnost v cloudu a v prostředí kontejnerů
- Shared responsibility: jasné vymezení odpovědností mezi poskytovatelem a zákazníkem.
- Cloud-native kontroly: bezpečné VPC/VNet peeringy, SG/NSG, privátní endpoints, WAF, DLP.
- Kontejnery a Kubernetes: podpis a sken obrazů, minimální base image, Pod Security Standards, síťové politiky (CNI), tajemství mimo kontejnery.
- Cloud IAM: princip nejmenších oprávnění, oddělené účty a projekty, break-glass účty s trezorem.
Ochrana dat a kontinuita provozu
- Klasifikace a označování: veřejné / interní / citlivé / tajné; mapování na řízení přístupu a šifrování.
- Zálohy a obnova: 3-2-1 strategie, offline/immutable kopie, pravidelné testy obnovy.
- DLP a tokenizace: inspekce na egressu, maskování citlivých polí, pseudonymizace.
- BCP/DR: RTO/RPO cíle, geografická redundance, plán přesměrování provozu.
Lidský faktor a bezpečnostní kultura
- Školení a simulace: phishingové kampaně, bezpečné nakládání s daty, hlášení incidentů bez postihu.
- Procesy a disciplína: change management, princip čtyř očí, segregace rolí, schvalování výjimek.
- Dodavatelský řetězec: due diligence, smluvní požadavky, penetrační testy třetích stran, SBOM.
Testování bezpečnosti a SDLC
- Penetrační testy a red teaming: pravidelné ověřování obrany, scénáře TTP, cvičení modrý vs. červený tým.
- Bezpečný vývoj (DevSecOps): SAST/DAST/IAST, sken závislostí, hrozbové modelování (STRIDE), bezpečné CI/CD s podepisováním artefaktů.
- Chaos engineering pro bezpečnost: záměrné injektování selhání pro ověření robustnosti a reakce.
Metriky, audit a governance
- Výkonnostní ukazatele: MTTD/MTTR, patch compliance, pokrytí logů, míra blokovaných hrozeb, úspěšnost obnovy.
- Audit a dohled: periodické ověřování kontrol, kontinuita souladu s regulacemi (GDPR, NIS2, PCI DSS).
- Politiky a standardy: jasná dokumentace, schvalovací procesy, průběžná aktualizace.
Specifika OT/IoT bezpečnosti
- Inventarizace a pasivní monitoring: zjišťování zařízení bez narušení provozu (SPAN/TAP).
- Segmentace a whitelisting: deterministické toky, přísné L4/L7 politiky, protokolové brány.
- Správa životního cyklu: patching s ohledem na dostupnost, kompenzační kontroly, fyzické zabezpečení.
Doporučená minimální baseline
- MFA pro všechny privilegované i vzdálené přístupy.
- Šifrování dat za běhu (TLS 1.2/1.3) a v klidu (AES-GCM), řízená správa klíčů.
- Segmentace s default-deny a řízeným egress/ingress.
- Centralizované logování, SIEM a základní SOAR playbooky.
- Pravidelné skeny zranitelností, patching a hardening dle CIS.
- Zálohy se zkouškami obnovy a alespoň jednou nezměnitelnou kopií.
- Bezpečné IAM s principem nejmenších oprávnění a PAM.
- Ochrana e-mailu a DNS s DMARC/DKIM/SPF a DNSSEC validací.
- Plán reakce na incidenty a tabletop cvičení alespoň 2× ročně.
Závěr
Základní principy síťové bezpečnosti nespočívají v jediné technologii, ale v kombinaci správné architektury, disciplinovaného provozu a informovaných lidí. Zero Trust, defense in depth, silná kryptografie, řízení identit, segmentace a kontinuální monitoring tvoří páteř odolnosti. V prostředí dynamických hrozeb je klíčové kontinuální zlepšování – měřit, testovat, učit se a automatizovat.
