Kluczowe Wnioski:
- Zero Trust to model bezpieczeństwa zakładający stałą weryfikację.
- Wymusza izolację każdego podłączonego urządzenia (mikrosegmentacja).
- Może zmniejszyć promień rażenia ataku o 85%.
Kiedy dwa lata temu testowaliśmy stary router od lokalnego dostawcy, udało nam się przeskoczyć z zainfekowanego odkurzacza prosto na dysk sieciowy z firmowymi danymi w niecałe 5 minut. Wtedy zrozumieliśmy, że “Zero Trust” (Zero Zaufania), królujące w korporacyjnym świecie bezpieczeństwa, musi wreszcie trafić pod strzechy. Zdecydowaliśmy, że GADNET musi to zmienić, wprowadzając twardą izolację.
Hotelowa analogia
Spróbuj wyobrazić sobie swoją sieć WiFi jak wielki hotel.
W starym, klasycznym modelu (jak na typowych routerach), urządzenie po wpisaniu hasła do WiFi przechodzi przez główne drzwi. Szkopuł w tym, że od razu dostaje do ręki “Master Key”. Może otworzyć nim dowolne drzwi w całym budynku.
W architekturze Zero Trust, na której oparliśmy GADNET, działa to zupełnie inaczej. Każde urządzenie na wejściu dostaje kartę magnetyczną. Problem w tym dla hakerów, że ta karta otwiera tylko i wyłącznie pokój przypisany do tego jednego, konkretnego gościa. Nawet jeśli ktoś z zewnątrz złamie zabezpieczenia w Twojej inteligentnej lodówce, nie przejdzie z niej do sypialni, w której pracujesz na firmowym laptopie. Najnowsze raporty (jak chociażby badanie IBM z 2025 roku) wprost wskazują, że Zero Trust potrafi zmniejszyć promień rażenia o 85%, jeśli już faktycznie dojdzie do włamania.
Jak zbudowaliśmy izolację w GADNET
Za izolację odpowiada u nas mechanizm mikrosegmentacji. Użyliśmy dynamicznych łańcuchów iptables i tagowania VLAN. Żeby tego nie komplikować użytkownikowi, podzieliliśmy całość na 6 gotowych stref:
- Strefa Izolacji (192.168.10.0/24): Tu z marszu ląduje każdy nowy sprzęt. Blokujemy mu całkowicie ruch w sieci, dopóki ręcznie go nie klepniesz w panelu. Taka cyfrowa poczekalnia.
- Strefa Zaufana (192.168.20.0/24): Prywatne miejsce na Twojego smartfona, czy laptopa, z którego pracujesz. Masz neta, ale nie ma szans na bezkarne szperanie u innych.
- Strefa IoT (192.168.30.0/24): To nasz obszar najwyższego ryzyka. Urządzeniom w tej strefie po prostu fizycznie ucinamy możliwość odzywania się do maszyn w LAN-ie.
- Strefa Gości: Pewnie to znasz z innych routerów, ale my wydzielamy ją i monitorujemy bardzo brutalnie.
- Strefa Admin: Z tej strefy można dostać się do panelu routera. Wymagamy certyfikatu ze sprzętowego klucza YubiKey.
- Strefa Własna: Masz Home Lab? Zrobisz z nią co zechcesz.
Szybkie wykrywanie intruzów
Samo postawienie wysokich murów to czasami za mało, dlatego GADNET to nie tylko firewall. Dołożyliśmy do tego moduł wykrywania anomalii, który za pomocą uczenia maszynowego (Machine Learning) wyłapuje dziwne zachowania urządzeń.
Przykładowo: jeśli Twoja drukarka sieciowa w Strefie IoT nagle odpali skanowanie portów w stronę komputerów w Strefie Zaufanej, system podniesie jej licznik “Threat Score”. Jak tylko licznik przebije próg, wywalamy drukarkę z powrotem do Strefy Izolacji, a na Twój telefon leci powiadomienie.
Podsumowując, w GADNET każda linijka kodu opiera się na jednej zasadzie: “Nigdy nie ufaj, zawsze sprawdzaj”.