Кто с кем может соединяться: булева матрица против внутренних угроз в локальной сети

В локальной сети организации самая неприятная угроза часто исходит не от внешнего хакера, а от своих же пользователей: сотрудник может попытаться получить доступ к соседним компьютерам, вызвать сбой или нарушить обмен данными. Чтобы снизить такой риск, авторы статьи предлагают заранее выстраивать схему разрешённых связей между компьютерами и разбивать сеть на виртуальные подсети так, чтобы все нужные каналы обмена сохранялись, а лишних сегментов было как можно меньше. Иными словами, сеть делят на управляемые группы, и чем меньше таких групп при выполнении всех требований, тем проще администратору контролировать доступ и тем устойчивее работает вся система.

Формально задача выглядит как таблица «кто с кем может обмениваться данными». В ней есть только два ответа — да или нет, поэтому матрицы называют булевыми. Компьютеры распределяются по рабочим группам, и итоговая таблица связей должна полностью совпасть с той, которая нужна организации. Одновременно ставится условие: число групп должно быть минимальным. Это не просто удобство, а способ сделать сеть более предсказуемой и безопасной. Авторы отмечают, что такая задача относится к классу сложных вычислительных задач, где точное решение искать долго, поэтому на практике приходится использовать эвристические методы, в том числе генетические алгоритмы.

В статье разобраны простые примеры с матрицами распределения компьютеров по подсетям, а затем более крупный пример: локальная сеть из 35 узлов и четырёх рабочих групп — IT-отдел на 5 компьютеров, конструкторское бюро на 12, служба технологов на 11 и администрация на 7. Для такой сети построили таблицы связей и граф рабочих групп. Расчёт показал, что при выбранном распределении все узлы оказываются оптимально связаны между собой, сеть можно использовать в широкополосном режиме, обеспечивается второй класс информационной безопасности по применявшейся методике, а коэффициент готовности достигает 0,99, то есть сеть доступна примерно 99% времени.

Практический смысл для обычного пользователя и организации такой: безопасность локальной сети повышается не только за счёт паролей и антивирусов, но и за счёт продуманной структуры — кто с кем вообще может соединяться. Если разбиение на виртуальные подсети выбрано удачно, уменьшается число лишних сегментов, упрощается администрирование, снижается риск внутренних атак и повышается надёжность. При этом речь идёт об исследовании и расчётном примере, а не о готовом «коробочном» продукте: метод требует исходных данных о требуемых связях и вычислительной оптимизации, но сама идея — управлять безопасностью через математически выверенную схему сети — выглядит полезной и вполне прикладной.

Исследование опубликовано в журнале «ИТ Арктика».

Изображение на обложке: разработано Magnific