Yrityksen verkon suojaaminen kolmessa vaiheessa

1. Älä avaa mitään julkiseen IP-osoitteeseen

Internetyhteydellä on edelleen julkinen osoite, mutta mikään toimistossa ei saa vastata siihen.

• Poista kaikki porttiohjaukset. Älä koskaan julkaise RDP:tä, SSH:ta, NAS-laitetta, kameroita tai hallintasivuja internetiin.
• Poista reitittimestä UPnP ja etähallinta (WAN). Vaihda oletussalasana ja pidä laiteohjelmisto ajan tasalla.
• Käytä etätyöhön vain ulospäin yhdistävää tunnelia tai mesh-VPN:ää, kuten Tailscalea tai Cloudflare Tunnelia, ja monivaiheista tunnistautumista. Henkilöstö yhdistää ilman, että teillä on yhtään avointa porttia.
• Testaa: suorita porttitestimme toimiston verkosta. Sen ei pitäisi löytää avoimia portteja.

Vaihtoehto: pyydä operaattorilta yksityinen osoite (CGNAT). Operaattori sijoittaa liittymän oman NAT:nsa taakse, joten kukaan internetissä ei voi avata yhteyttä teille, vaikka porttiohjaus olisi vahingossa jäänyt auki. Huomioi rajoitukset:

• Se koskee vain IPv4:ää. Jos saatte myös IPv6-osoitteet, laitteenne ovat tavoitettavissa, joten reitittimen on silti estettävä kaikki saapuva IPv6-liikenne.
• Se ei estä tietojenkalastelua tai haittaohjelmia, jotka alkavat toimistosta ulospäin avatulla yhteydellä.
• Jaatte IP-osoitteen muiden asiakkaiden kanssa, joten heidän joutumisensa estolistalle voi vaikuttaa teihin, ja menetätte kiinteän IP-osoitteen, jonka toimittajat voisivat sallia.

Käytä sitä, jos operaattori tarjoaa sitä eikä mikään käyttämänne palvelu tarvitse saapuvia yhteyksiä, ja pidä reitittimen saapuvan liikenteen esto päällä joka tapauksessa.

2. Käytä vahvaa Wi-Fi-salausta

Käytä WPA3:a kaikkialla, missä laitteet sitä tukevat, äläkä koskaan WEP:iä, WPA:ta tai TKIP:tä.

• Paras: WPA3-Enterprise (802.1X) ja jokaiselle työntekijälle oma kirjautuminen, jolloin pääsy päättyy, kun joku lähtee.
• Riittää pienelle toimistolle: WPA3-Personal ja vähintään 20 merkin satunnainen salalause, joka vaihdetaan aina, kun joku henkilöstöstä lähtee.
• Poista WPS käytöstä ja pidä tukiasemien laiteohjelmisto ajan tasalla.
• Anna vieraiden käyttää omaa vierasverkkoa (katso vaihe 3). Älä koskaan anna heille henkilöstön Wi-Fi-verkon salasanaa.

3. Jaa lähiverkko segmentteihin

Sijoita jokainen laitetyyppi omaan VLANiinsa, jotta saastunut puhelin tai kamera ei pääse yrityksen tietokoneisiin.

• Anna jokaiselle Wi-Fiä käyttävälle segmentille oma verkkonimi (SSID).
• Määritä segmenttien välinen palomuuri estämään kaikki paitsi yllä olevan taulukon liikenne.
• Jos laitteet eivät tue VLANeja, sijoita ainakin vieraat ja IoT-laitteet eri verkkoon kuin yrityksen tietokoneet.