Webbguide: Säker Kommunikation

Segmentering, att dela upp nätverket i olika delar, är en av de mest kraftfulla åtgärderna för att minska konsekvenserna av ett angrepp. Genom att dela upp nätverket i mindre delar – med olika säkerhetsnivåer och regler – förhindrar man att ett intrång i en del sprider sig till hela verksamheten. 

Segmentering är idag en grundläggande funktion som många pratar och är medvetna om, men som dessvärre ofta är lite eftersatt. Det blir tyvärr ofta en sak som ”vi har börjat med det, men inte kommit i mål med fullt ut ännu”. 

Vi menar att detta är otroligt viktigt för säkerheten och för att kraftigt kunna begränsa påverkan vid ett eventuellt angrepp.

Det fungerar ungefär som vattentäta skott på ett fartyg. Om ett skott fylls med vatten, sjunker inte hela skeppet – tack vare att övriga delar är avskilda.

Det finns olika nivåer av segmentering. En grundläggande nivå kan vara att dela nätverket i olika zoner – för gäster, medarbetare och servrar. Men man kan gå längre. Med mikrosegmentering skapar man mycket finmaskiga avgränsningar även mellan system, applikationer eller användargrupper. (Man kan sätta upp det så att varje enskild dator, server och/eller applikation/system i praktiken blir en egen ö där man kräver kontroll av all trafik till och från ön eller ”mikrosegmentet”.)

Mikrosegmentering är därför särskilt effektivt i miljöer där många applikationer kommunicerar med varandra – t.ex. i datacenter eller molnmiljöer. Det gör att man kan isolera attacker tidigt och minska spridning inom nätverket.

Segmentering i olika former utgör också grunden för tekniker som Zero Trust Network Access (ZTNA), där åtkomst alltid styrs utifrån kontext och verifiering.

ZTNA är ett sätt att styra åtkomst till applikationer och tjänster baserat på principen att aldrig automatiskt lita på någon (”Zero Trust”), oavsett om de befinner sig innanför eller utanför nätverket.

Istället måste varje begäran om åtkomst verifieras i realtid utifrån:

• Vem användaren är
• Vad de försöker komma åt
• Vilken enhet de använder
• Varifrån anslutningen sker

Förr gick all trafik via huvudkontoret – som att alltid behöva köra till centralstationen innan man får ta tåget vidare. Med SD-WAN och SASE bygger man istället smartare vägar som går direkt dit de ska, men med full övervakning och säkerhetskontroll.

I ett traditionellt WAN (Wide Area Network) köpte företag ofta en dedikerad linje mellan sina olika kontor, en så kallad MPLS-förbindelse. Det var en stabil och pålitlig lösning, men också dyr och svår att anpassa. All trafik gick via dessa fasta förbindelser, oavsett om den skulle till huvudkontoret, en molntjänst eller internet.

SD-WAN (Software-Defined WAN) ändrar spelplanen. Istället för att vara beroende av en enda, kostsam väg kan man kombinera flera olika typer av uppkopplingar – som fiber, 4G/5G och internet – och styra trafiken beroende på vad den innehåller och vart den ska.

Det innebär bland annat:

• Trafik till molntjänster kan gå direkt ut till rätt tjänst istället för omvägen via huvudkontoret
• Känslig data kan styras genom de säkraste och snabbaste vägarna
• Video- och rösttrafik kan prioriteras över t.ex. filnedladdningar
• Istället för för att köpa en dyr, dedikerad förbindelse mellan kontor kan man utnyttja vanliga internetanslutningar – så länge de har tillräcklig prestanda och tillförlitlighet

Brandväggarna har en mycket viktig roll när det gäller anslutningar mellan kontor, i ett SD-WAN. Det är brandväggarna på de olika kontoren som pratar ihop sig med varandra och bygger ett helt krypterat ”virtuellt” WAN mellan sig. Det är alltså brandväggarna tillsammans med alla typer av förbindelse man har tillgång till som utgör SD-WANet, som därmed definieras av mjukvara i brandväggarna (Software Defined) och inte av fysiska anslutningar mellan olika kontor.

Den stora fördelen är att man kan använda det som redan finns. Med andra ord: i stället för att bygga en privat väg mellan två kontor, använder man den befintliga motorvägen (oftast internet) – men med egna, krypterade körbanor som ingen annan kan köra på. Tack vare stark kryptering och smart trafikstyrning kan det vara lika säkert som att ha en helt egen förbindelse.

SD-WAN gör det alltså möjligt att bygga ett flexibelt, kostnadseffektivt och säkert nätverk – utan att kompromissa med tillförlitligheten. Det ger full kontroll över hur trafiken färdas genom nätet, vilket är särskilt värdefullt när kontor är spridda geografiskt eller när molntjänster används i stor utsträckning.

SASE (Secure Access Service Edge) är nästa steg i utvecklingen – ett helhetstänk där både säkerhet och uppkoppling levereras från molnet som en samlad tjänst. I praktiken innebär det att:

• Användare, oavsett plats, ansluter automatiskt till närmsta och bästa anslutningspunkt, eller ”Säkerhetsnod” i molnet
• Trafiken kontrolleras och filtreras redan där, med hjälp av brandväggsfunktioner (NGFW), DNS-skydd, Zero Trust (ZTNA) och andra säkerhetslager
• Det spelar ingen roll om användaren är på kontoret, hemma eller på ett café – säkerheten är densamma
• Systemet kontrollerar också användarens identitet och enhetens tillstånd innan åtkomst ges, inte bara vid inloggning utan vid varje åtkomstförsök

3. Visibilitet och nätverksanalys - att se för att förstå

För att kunna skydda sitt nätverk måste man först förstå det. Det gäller både IT- och OT-miljöer. Du behöver veta:

• Vilka enheter är anslutna?
• Vilken trafik flödar i nätverket – och mellan vilka punkter?
• Vilken kommunikation är normal, och vad sticker ut?

Detta kallas visibilitet – och utan det famlar man i mörker.

Ett av de mest effektiva verktygen för att skapa denna insyn är NDR (Network Detection and Response). Genom att analysera trafiken i realtid, både internt och externt, upptäcks misstänkt aktivitet innan den hinner orsaka skada.

NDR fungerar som en digital övervakningskamera – den ser vad som händer i nätverket och larmar direkt om något avviker från det normala.

När NDR kombineras med en SOC-funktion (Security Operations Center) skapas en kraftfull förmåga: inte bara att se vad som händer, utan att agera snabbt när något är fel.

NDR är inte bara för OT – det är ett värdefullt verktyg i alla nätverk där man vill upptäcka avvikande trafik, oönskade accesser och hot som annars skulle passera obemärkta.

Vad är problemet med VPN och fjärrskrivbord

VPN (Virtual Private Network) skapar en säker tunnel mellan användaren och nätverket. Men när användaren väl är inne i nätverket har de ofta tillgång till långt mer än vad som krävs. Det är svårt att kontrollera exakt vad de kan göra, och vad som händer om kontot blir kapat.

Fjärrskrivbordslösningar – som Remote Desktop Protocol (RDP) – har också använts i stor utsträckning. De fungerar ofta smidigt, men har flera säkerhetsrisker:

• De öppnar ofta portar direkt mot internet, vilket kan utnyttjas vid attacker
• De saknar ofta detaljerad åtkomstkontroll – användaren får tillgång till hela datorn (som dock kan styras via andra lösningar)
• Säkerheten är starkt beroende av lösenordsskydd och konfiguration
• RDP är ett vanligt mål vid t.ex. ransomwareattacker

Enligt Arctic Wolfs trendrapport saknar fortfarande en stor andel organisationer MFA (Multi-Factor Authentication) – vilket gör speciellt VPN- och fjärrskrivbordslösningar särskilt sårbara för intrång via stulet användarnamn och lösenord. 

Att ha MFA aktiverat är idag ett absolut grundkrav för att skydda fjärråtkomst.

Men, det räcker inte med MFA. För att en VPN och fjärrskrivbord skall vara säker krävs flera extra säkerhetslager:

• Begränsad åtkomst till det som är nödvändigt
• Övervakning och loggning av användaraktivitet
• Helst integration med ZTNA för att styra åtkomst per användare, enhet och session

Men, ju fler separata säkerhetslager man lägger till, desto mer ökar den tekniska komplexiteten – vilket i sig kan bli en säkerhetsrisk på sikt. 

Istället för att bygga vidare på en redan skör lösning – med olika tillägg som i längden skapar mer risk än nytta, så ersätter idag många de traditionella lösningarna för fjärranslutningar med SASE (Secure Access Service Edge). Det är en helt ny modell för säker anslutning – där uppkoppling och säkerhet är integrerade från start.

Trots att SASE är en mer modern och heltäckande lösning, finns det fortfarande situationer där VPN kan vara ett rimligt val – till exempel:

• När verksamheten har äldre system som ännu inte kan integreras med ZTNA eller molnbaserade lösningar
• När tillfällig åtkomst till ett begränsat antal interna resurser krävs
• Vid övergångsperioder där delar av infrastrukturen fortfarande är beroende av traditionell åtkomst

Men då krävs också att VPN-lösningen är rätt konfigurerad och avgränsad. Den bör:

• Skyddas med MFA – vilket är ett grundkrav enligt dagens säkerhetsstandarder
• Begränsas strikt till specifika resurser som användaren verkligen behöver
• Övervakas med loggning och aktivitetskontroll

VPN bör idag betraktas som en begränsad teknisk komponent, inte som en komplett lösning för fjärranslutning. För de flesta organisationer är det enklare, säkrare och mer hållbart att gå direkt på en centralt hanterad SASE-lösning – där säkerheten är inbyggd från början och anpassad för en modern, uppkopplad vardag.

Molnet förenklar - men ansvaret kvarstår

Många OT-enheter kan inte skyddas med traditionella verktyg som antivirus eller EDR-klienter. De har ofta föråldrade operativsystem, låg prestanda och oföränderliga konfigurationer – eller så går de helt enkelt inte att hantera med samma verktyg som resten av nätverket.

Därför måste man angripa problemet från ett annat håll – via nätverket.

Visibilitet och NDR - nyckeln till säkerhet

Eftersom det inte går att installera klientskydd direkt på enheterna blir visibilitet över nätverkstrafiken helt avgörande. Det handlar om att förstå:

• Vilka enheter som finns
• Vad de kommunicerar med
• Hur kommunikationen ser ut

Fördjupning finns i kapitlet Visibilitet och nätverksanalys – att se för att förstå.

Ett kraftfullt verktyg för detta är NDR (Network Detection and Response), som övervakar trafiken till, från och mellan OT-enheter. Det möjliggör snabb upptäckt av avvikelser – utan att påverka systemen.De utgör kontrollplanet i hela IT-miljön – oavsett om de hanteras i Microsoft Entra ID, i ett lokalt Active Directory eller i en hybridlösning där båda samverkar. 

DNS (Domain Name System) är en grundläggande del av internet – det är systemet som översätter namn som "cuebid.se" till rätt IP-adress. DNS uppfattas sällan som kommunikation – men det är precis vad det är. Och utan DNS stannar all digital trafik.

DNS-säkerhet – för att undvika att bli utnyttjad

DNS-funktionen används inte bara för att styra trafik, utan kan också missbrukas. En dåligt säkrad DNS-tjänst kan användas för att leda interna användare till falska adresser (DNS spoofing), eller för att slå ut verksamhetens egna namnuppslagningstjänster (DNS DoS). Dessutom är DNS nära kopplat till IP-hantering – därför är säker hantering av DDI (DNS, DHCP och IPAM) en avgörande del av en fungerande nätverksmiljö.

En vanlig utmaning med DNS är att det ofta inte är helt tydligt vem som ansvarar för säkerheten kring DNS då det kan ses som både en kommunikations- och server-funktion (ofta två olika team). 

DNS-skydd – när DNS blir en säkerhetsfunktion

Men, DNS kan också användas aktivt för att skydda mot hot, som ett effektivt skyddslager. Genom att inspektera, logga och filtrera DNS-förfrågningar kan man upptäcka och blockera farliga domäner innan skadlig trafik når användarna – eller innan skadlig kod får kontakt med angriparens servrar.

Det är inte ovanligt att hotaktörer använder DNS för att smuggla in och ut data till/från ett nätverk genom att använda den som en hemlig tunnel som är svår att övervaka (DNS Tunneling). På samma sätt kan hotaktörer även styra och kommunicera med skadlig kod som man lyckats få in i nätverket på olika sätt. Detta sker via så kallade Command & Control servrar som den skadliga koden kopplar upp sig mot. Genom att identifiera dessa Command & Control servrar och aktivt blockera all trafik mot dem (vilket man kan göra med hjälp av just DNS), kan man effektivt stoppa den typen av skadlig kommunikation och trafik.

Att övervaka DNS-trafiken är därför inte bara en teknisk detalj – det är en aktiv säkerhetsåtgärd som stärker hela nätverkets motståndskraft och ger tidiga varningssignaler om att något är fel.

För dig som vill fördjupa dig mer i ämnet rekommenderar vi att läsa Cuebids guide till DNS-säkerhet

NIS2 (Network and Information Security Directive) är EU:s skärpta regelverk för att stärka den digitala säkerheten inom samhällsviktiga och digitalt beroende verksamheter. För många svenska företag innebär det helt nya krav – och ett ökat ansvar.

Målet är tydligt: att alla verksamheter med en kritisk funktion i samhället ska ha förmåga att förebygga, upptäcka och hantera cyberhot.

Vad innebär NIS2 i praktiken?

NIS2 innebär att man som verksamhet måste:

• Ha en robust nätverks- och säkerhetsarkitektur på plats
• Kunna upptäcka, rapportera och hantera incidenter – snabbt
• Genomföra och dokumentera riskbedömningar
• Säkerställa spårbarhet i kommunikation och åtkomst
• Säkerställa kontinuerlig visibilitet över nätverk och trafik
• Utbilda och höja medvetenheten hos personal

I praktiken betyder det att säker kommunikation inte längre är valfritt – det är en skyldighet.

Hur påverkar det nätverkskommunikationen?

För att möta kraven behöver man:

• Segmentera nätverk och begränsa åtkomst
• Säkerställa att brandväggar och trafikloggar är korrekt konfigurerade
• Använda lösningar som ZTNA och MFA för att skydda fjärråtkomst
• Använda verktyg som NDR och DNS-skydd för att övervaka och analysera trafik
• Ha centraliserad hantering och möjlighet att snabbt samla in loggar vid incidenter

Tänk på NIS2 som ett körkort för digital infrastruktur – du behöver kunna visa att du kör säkert, har bilen i skick, och att du vet vad du ska göra om något går fel.

Kontakta Cuebid – så hjälper vi er att kartlägga nuläge och ta första steget mot en säker kommunikationsarkitektur.

Med över 15 års erfarenhet inom cybersäkerhet och nätverkskommunikation, samt ett stort antal högt certifierade experter och högsta partnerstatus hos ledande leverantörer, har vi byggt en stark leveransförmåga som skapar verkligt värde för våra kunder.

Vi vet vad som krävs för att skydda, upptäcka och hantera dagens hot – och vi vet hur man designar och implementerar en modern, trygg och skalbar kommunikationsarkitektur – från grunden.

Säker kommunikation handlar inte om en produkt – det handlar om att tänka rätt från början - och bygga för framtiden. Vi hjälper dig att hitta den bästa lösningen för din verksamhets behov och förutsättningar. Vi kallar det Secure Design by Cuebid.

Kontakta oss så kartlägger vi nuläget, identifierar luckor och skapar en plan för att bygga ett robust nätverk – tillsammans.