В офисе открытая гостевая сеть, никакого пароля — клиенты могут всё видеть? Насколько рискован сетевой трафик?

открытый wifi = конено рискованно. все видят сеть и могут делать arp spoofing. хотя бы поставь пароль WPA2 в миллиард раз лучше. и разделение сети — настройка немного сложная но в msm можно сделать, на роутерах tp-link переменная скорость...

Если делать сегментацию сети: 1) Конфигурация VLAN на точке доступа (VLAN 1 = Guest, VLAN 2 = Corporate), 2) Правила меж-VLAN маршрутизации на роутере/коммутаторе, 3) Правила Access Control List (ACL): блокировка портов Guest → Corporate. 4) Управляемая точка доступа (meraki, ubiquiti и т.д.), на неуправляемых точках VLAN не поддерживается. 5) Аутентификация RADIUS с гостевым порталом (Captive Portal). Трафик DNS, NTP тоже должен быть отдельным или заблокированным. Для обнаружения сниффинга можно использовать IDS (Suricata, Snort), но для малого офиса это перебор.

не деллай открытый wifi братан, поставь хотя бы пароль. в общем разделение тоже техническое, но для новичка может быть запутанно — найми сетевого админа за 2 недели не закончит. но если до сих пор ничего не случилось, то быстрая установка пароля уже очень хорошо но потом когда админ выйдет на работу, настроишь сеть...

Лучшая практика сегментации гостевой сети: 1) Отдельный SSID (ssid-guest), 2) Надежный WPA2 Pre-shared Key, 3) Изоляция через VLAN (гости не имеют доступа к корпоративным ресурсам) 4) Веб-фильтрация контента + DNS over HTTPS 5) Ограничение скорости на каждого клиента 6) Портал с условиями использования 7) Тайм-аут сессии (8 часов) 8) Логирование подключений. Нужны управляемые точки доступа (UniFi, Meraki, Arista Instant On). Сначала настройка замороченная, но в долгосрочной перспективе безопасно.

Клиенты гоняют корпоративные данные по открытому wifi? Ну это уже их проблема. Но ты все равно можешь себя подстраховать: запароль гостевую сеть, включи VPN, как минимум переведи HTTP-трафик на HTTPS. Вы вообще проверяли, стоит ли у клиентов антивирус на компе? Они тоже риск...

Я в IT-сфере уже много лет, у открытого wifi вообще нет никакой безопасности. Атакующий в той же сети (MITM, ARP spoofing и т.п.) видит весь незашифрованный трафик. Стандарт индустрии: WPA2 enterprise + аутентификация 802.1X. Но для малого бизнеса хватит WPA2 personal + сегментация сети. Гостевая и корпоративная сети должны быть строго разделены.

Согласен, хочу даже особо подчеркнуть. в общем если делаете впервые начните с малого, масштабирование потом.

Надеюсь, это будет полезно.

Вы правы. Без измерений мы всегда приходим к одному и тому же.

Посмотрю с другой стороны, я на стороне поставщика. Забытые тестовые среды становятся входом в систему чаще, чем продакшн.

Безопасность не бывает абсолютной; цель — сделать атаку нецелесообразной.

Здесь описано ровно то, что пережили мы. Когда пытаешься изменить всё сразу ничего не приживается.

Я бы пошел этим путем.

Хочу предупредить. короче время обнаружения проблемы напрямую определяет ее стоимость.

Любой пункт, не зафиксированный письменно в будущем обе стороны будут помнить по-разному. в общем интересно, есть ли те кто делает иначе.

Мне тоже интересно.

Отличная работа. Чем сложнее отменить решение, тем медленнее его принимайте.

Удачи.

Прочитал этот ответ и выдохнул: значит, проблема не только у меня. Непроверенная резервная копия — не резервная копия.

Пишу это, чтобы вы не совершили ту же ошибку. Когда пытаешься изменить всё сразу ничего не приживается.

Именно так. Большинство инцидентов начинается не с уязвимости, а с украденного пароля.

Я бы пошел этим путем.

Вы правы.

Я долго занимался этим вопросом. Если ругать за ложные тревоги, никто больше не будет присылать уведомления.

Люди защищают не процесс, а привычку. Сопротивление идет оттуда. Конечно, если ваша ситуация отличается, всё меняется.