CompTIA SY0-701: Bezpieczeństwo i architektura sieci — Przewodnik do nauki

By Laurynas Brazys · 20 July 2026 · #comptia #sy0-701 #certification #exam-prep #study-guide

Część CompTIA Security+ SY0-701 — Przewodnik do nauki. Ćwicz ze zweryfikowanymi odpowiedziami w centrum egzaminów CompTIA, albo rozwiąż testy na czas na ExamRoll.io.

Architektura bezpieczeństwa sieci to dyscyplina zajmująca się organizacją urządzeń, mechanizmów kontroli i przepływów ruchu w taki sposób, aby złośliwa aktywność była ograniczana, monitorowana i blokowana, podczas gdy legalna komunikacja biznesowa odbywa się bez zakłóceń. Łączy ona polityki wyrażone w postaci reguł, granice strukturalne wyrażone jako segmentacja oraz zabezpieczenia kryptograficzne w postaci tuneli — wszystko to wzmocnione przez hardening na poziomie hosta i portu.

Reguły zapory sieciowej i listy kontroli dostępu

Reguła zapory sieciowej, niezależnie od tego, czy jest zdefiniowana na urządzeniu stanowym, czy jako lista ACL na routerze, ocenia ruch na podstawie pięciokrotki: adres źródłowy, adres docelowy, port źródłowy, port docelowy i protokół. Reguły są przetwarzane od góry do dołu, a pierwsze dopasowanie jest wiążące. Ta kolejność ma ogromne znaczenie. Reguła zezwalająca na ruch any any, umieszczona powyżej konkretnej reguły blokującej, sprawia, że ta druga staje się bezużyteczna. Podobnie, każdy dobrze zaprojektowany zestaw reguł kończy się niejawnym odrzuceniem (implicit deny) — niepisaną regułą ogólną, która odrzuca wszystko, co nie zostało jawnie dozwolone.

Rozważmy politykę ograniczającą wychodzący ruch DNS, tak aby tylko wyznaczony wewnętrzny serwer resolvera o adresie 10.50.10.25 mógł odpytywać zewnętrzne serwery na porcie UDP/53:

access-list OUTBOUND permit udp host 10.50.10.25 any eq 53
access-list OUTBOUND deny   udp any any eq 53
access-list OUTBOUND permit ip  any any

Kolejność jest kluczowa: konkretne zezwolenie poprzedza ogólne odrzucenie, dzięki czemu żaden inny host nie może uzyskać dostępu do zewnętrznego DNS. Aby zablokować znane złośliwe źródło przychodzące, takie jak 10.1.4.9, odpowiednia reguła przychodząca jest prosta:

access-list INBOUND deny ip host 10.1.4.9 any

Umieszczona na samej górze listy reguł przychodzących, zapewnia, że ruch z tego adresu zostanie odrzucony, zanim jakakolwiek reguła zezwalająca będzie mogła zostać dopasowana.

Zapory sieciowe można skonfigurować w trybie fail-open (zezwalaj na ruch w przypadku awarii urządzenia) lub fail-closed (blokuj cały ruch). Tryb fail-open zachowuje dostępność kosztem bezpieczeństwa; fail-closed działa odwrotnie. Wybór ten musi być świadomy i podyktowany priorytetami danego segmentu: czasem bezawaryjnej pracy (np. hala produkcyjna) czy poufnością (np. enklawa przetwarzania płatności).

Segmentacja, VLAN-y i kontrola geolokalizacyjna

Segmentacja dzieli płaską sieć na mniejsze domeny rozgłoszeniowe i domeny zaufania. VLAN-y wymuszają separację w warstwie 2 na współdzielonych przełącznikach, podczas gdy trasowane podsieci i zapory sieciowe wymuszają granice w warstwie 3. Typowe przedsiębiorstwo rozdziela stacje robocze użytkowników, serwery, telefony VoIP, gościnną sieć Wi-Fi, urządzenia IoT oraz interfejsy zarządzania na oddzielne VLAN-y, z których każdy jest kontrolowany przez listy ACL między VLAN-ami. Segmentacja ogranicza ruch boczny (lateral movement): jeśli ransomware zostanie uruchomiony w sieci VLAN użytkowników, nie może natychmiast przenieść się do sieci VLAN z bazami danych bez pokonania filtrowanych granic.

Geolokalizacja IP rozszerza segmentację w sposób logiczny. Jeśli firma działa tylko w Ameryce Północnej, reguły zapory sieciowej lub kanały geo-IP mogą odrzucać połączenia pochodzące z innych regionów, drastycznie zmniejszając powierzchnię ataku dla ruchu typu brute-force i rozpoznawczego. Geolokalizacja nie zastępuje uwierzytelniania — atakujący używają VPN-ów i serwerów proxy — ale jest skutecznym filtrem zgrubnym.

Urządzenia peryferyjne: NGFW, IDS/IPS i WAF

Zapora sieciowa nowej generacji (NGFW) rozszerza tradycyjną inspekcję stanową o świadomość aplikacji, integrację z tożsamością użytkownika, deszyfrowanie TLS i kanały z informacjami o zagrożeniach. Tam, gdzie tradycyjna zapora widzi „TCP/443 do 8.8.8.8”, NGFW widzi „użytkownik jsmith używa Dropbox do przesłania pliku sklasyfikowanego jako PII”.

Systemy Wykrywania Włamań (IDS) oraz Systemy Zapobiegania Włamaniom (IPS) analizują ruch, porównując go z sygnaturami i wzorcami behawioralnymi. Kluczowa różnica: IDS działa w trybie out-of-band i jest pasywny — zazwyczaj zasilany danymi z portu SPAN lub network tap — i może jedynie generować alerty. IPS działa w trybie inline, znajdując się na ścieżce ruchu, i może w czasie rzeczywistym odrzucać, resetować lub poddawać kwarantannie złośliwe przepływy. Wdrożenie IDS tam, gdzie wymagana jest prewencja, sprawia, że ataki są widoczne, ale nie są powstrzymywane; wdrożenie IPS bez starannego dostrojenia grozi blokowaniem legalnego ruchu. Wybór zależy od zadania: monitorowanie i analityka śledcza (forensics) wymagają IDS, aktywne egzekwowanie polityk wymaga IPS.

Zapora aplikacji webowych (WAF) działa w warstwie 7 i rozumie specyfikę semantyki HTTP/HTTPS. Analizuje żądania w celu wykrycia ataków SQL injection, cross-site scripting oraz nadużyć logiki aplikacji. WAF nie jest uniwersalnym systemem IPS: chroni konkretnie aplikacje webowe i jest umieszczany bezpośrednio przed serwerami WWW lub osadzany w reverse proxy lub CDN. Z kolei IPS obejmuje szerszy zakres protokołów, ale brakuje mu głębokiego kontekstu aplikacyjnego potrzebnego do wychwycenia spreparowanego ładunku UNION SELECT ukrytego w ciele żądania POST.

Load Balancery i filtrowanie treści

Load balancery dystrybuują połączenia klientów pomiędzy pulę serwerów backendowych, używając algorytmów takich jak round-robin, najmniejszej liczby połączeń (least-connections) czy ważonego haszowania. Oprócz wydajności, zapewniają one elastyczną dostępność: dodanie lub wymiana serwera backendowego wymaga jedynie aktualizacji puli, bez zakłóceń widocznych dla klienta. To sprawia, że load balancery są rozwiązaniem pierwszego wyboru, gdy wymagany jest minimalny wysiłek operacyjny w celu dodania lub wymiany zasobów. Nowoczesne load balancery również terminują połączenia TLS, wykonują sprawdzanie stanu (health checks) oraz integrują się z WAF i usługami oczyszczania ruchu DDoS (DDoS scrubbing).

Filtry treści i bezpieczne bramki internetowe (secure web gateways) inspekcjonują wychodzący ruch użytkowników, blokując dostęp do kategorii takich jak złośliwe oprogramowanie, phishing czy treści naruszające politykę, a często wymuszają filtrowanie na poziomie DNS jako dodatkową linię obrony.

VPN i szyfrowane tunele

Wirtualne sieci prywatne (VPN) zapewniają poufność i integralność ruchu przechodzącego przez niezaufane sieci. IPsec działa na warstwie 3 i może chronić dowolny ruch IP; wykorzystuje IKE (Internet Key Exchange) do negocjacji oraz AH (Authentication Header, tylko integralność) lub ESP (Encapsulating Security Payload, integralność i poufność). SSL/TLS VPN działają na warstwach 4–7, zazwyczaj za pośrednictwem przeglądarki internetowej lub lekkiego klienta, i są łatwiejsze do wdrożenia przez NAT i zapory sieciowe niż IPsec. WireGuard to nowoczesny protokół VPN o minimalnej bazie kodu, wykorzystujący Curve25519 do wymiany kluczy i ChaCha20-Poly1305 do szyfrowania, oferujący znacznie lepszą wydajność niż OpenVPN czy IPsec w wielu scenariuszach.

Split tunneling (tunelowanie dzielone) kieruje przez VPN tylko ruch przeznaczony do sieci korporacyjnej, podczas gdy ruch internetowy wychodzi lokalnie. Zmniejsza to obciążenie pasma VPN, ale oznacza, że zagrożenia pochodzące z internetu omijają korporacyjne mechanizmy bezpieczeństwa. Full-tunnel VPN (tunelowanie pełne) kieruje cały ruch przez bramę korporacyjną, umożliwiając filtrowanie treści i inspekcję DLP kosztem większych opóźnień i zużycia pasma.

Scenariusz praktyczny: Ruch boczny w płaskiej sieci

Firma świadcząca usługi profesjonalne utrzymywała wszystkie stacje robocze, serwery i drukarki w jednej podsieci /16 bez wewnętrznej segmentacji. Gdy atakujący uzyskał wstępny dostęp za pomocą wiadomości phishingowej na stacji roboczej młodszego analityka, użył polecenia nmap do odkrycia 847 osiągalnych hostów, zidentyfikował niezałatanego serwera plików Windows Server 2012 R2, wykorzystał lukę MS17-010 (EternalBlue) do uzyskania dostępu na poziomie SYSTEM, a następnie użył tego punktu zaczepienia, aby dotrzeć do kontrolera domeny. Cała faza ruchu bocznego (lateral movement) zajęła mniej niż cztery godziny. Gdyby sieć była posegmentowana — stacje robocze w oddzielnym VLAN-ie od serwerów, z regułami zapory sieciowej między VLAN-ami zezwalającymi tylko na niezbędne protokoły — stacja robocza analityka nie byłaby w stanie dotrzeć do serwera plików na porcie SMB/445, a łańcuch ataku zostałby przerwany przy pierwszym punkcie zwrotnym (pivot).

← Zagrożenia · Wszystkie domeny · Operacje bezpieczeństwa →

Przećwicz te pytania → · Testy na czas na ExamRoll.io →