Bezpečnost internetu vrstvy

Proč mluvíme o bezpečnostních vrstvách internetu

Internet je složený systém vrstev, kde každá vrstva (od fyzické infrastruktury přes směrování až po aplikace) má specifické hrozby a odpovídající obranné mechanismy. Přístup „po vrstvách“ umožňuje obranu do hloubky (defense in depth): pokud jedna kontrola selže, další ji doplní. Tento článek mapuje klíčové bezpečnostní prvky v jednotlivých vrstvách, uvádí typické útoky a doporučení pro praxi v prostředí poskytovatelů konektivity, cloudů, podnikových sítí i provozovatelů služeb.

Model vrstvení: OSI, TCP/IP a „stack“ internetu

V praxi kombinujeme logiku OSI modelu (1–7) a TCP/IP (síťová, transportní, aplikační). Bezpečnostní architektury proto obvykle uvažují:

• Infrastrukturní vrstvy (fyzická, linková, přístupová): kabeláž, optika, radiové spoje, Ethernet, Wi-Fi, mobilní sítě.
• Směrování a jmenný prostor: IP, BGP, IGP, DNS.
• Transport: TCP, UDP, QUIC, řízení toku a odolnost vůči DDoS.
• Aplikační protokoly a služby: HTTP(S), e-mail, API, autentizační a autorizační toky.
• Řízení identity, klíčů a politik: PKI, TLS, OAuth/OIDC, Zero Trust.
• Monitorování, provozní bezpečnost a compliance: měření, logování, reakce na incidenty.

Vrstva 1: Fyzická bezpečnost přenosového prostředí

Hrozby: odposlech optiky (optical tapping), sabotáž trasy, výpadky napájení, rušení RF, krádež zařízení v POP/IXP.

• Ochrana tras a lokalit: fyzická ostraha, přístupové protokoly, CCTV, zámky racků, audit trail vstupů.
• Redundance: diverzita tras (geografická i dodavatelská), více nezávislých napájecích větví a UPS/GENSET.
• Signalizace narušení: OTDR testy optiky, environmentální senzory (teplota, vlhkost, kouř), tamper-evident plomby.
• RF a bezdrát: řízení výkonu, směrové antény, stínění, spektrální analýza proti rušení.

Vrstva 2: Linková bezpečnost (Ethernet, Wi-Fi, přístupové sítě)

Hrozby: MAC spoofing, ARP/NDP poisoning, VLAN hopping, rogue AP, útoky na STP, deauth ve Wi-Fi.

• Segmentace: 802.1Q VLAN, privátní VLAN, izolace hostů (PVLAN, port isolation).
• Autentizace na portu: 802.1X/EAP s RADIUS, dynamické VLAN, MAB pro ne-802.1X zařízení.
• Ochrany L2 tabulek: DHCP snooping, IP source guard, dynamic ARP inspection, RA guard (IPv6).
• Bezpečná Wi-Fi: WPA3-Enterprise, PMF (Protected Management Frames), oddělení IoT SSID, řízení výkonu a kanálů.
• Kontrola smyček a L2 protokolů: BPDU Guard, Root Guard, storm control, port-security (limity MAC).

Vrstva 3: IP vrstvy, směrování a BGP bezpečnost

Hrozby: IP spoofing, hijacking prefiksů, route leaks, útoky na IGP (OSPF/IS-IS), chybné nebo škodlivé inzerce BGP.

• Antispoofing: uRPF (strict/loose), ACL na hraně, BCP 38 (filtrace odchozího spoofovaného provozu).
• BGP hygiena: filtrace sousedů (AS-PATH, prefix-listy, max-prefix), zodpovědná politika exportu/importu.
• RPKI a validace rout: ověřování ROA; zamítání „invalid“, preferování „valid“; zavádění BGPsec tam, kde je to možné.
• Oddělení řídících rovin: management VRF, OOB management s ACL a VPN; autentizace IGP (HMAC).
• IPsec pro L3 tunely: šifrování mezi PoP, datovými centry a pobočkami; PFS, moderní šifry, IKEv2.

DNS bezpečnost: integrita jmenného prostoru

Hrozby: cache poisoning, spoofing odpovědí, MITM na rezolveru, zneužití jako zesilovač DDoS, cenzura/manipulace.

• DNSSEC: podepisování zón (ZSK/KSK, rollover), validující rezolver, správná propagace DS záznamů.
• Šifrování dotazů: DoT (DNS over TLS), DoH (DNS over HTTPS) pro ochranu soukromí a integritu cesty.
• Anycast a odolnost: více uzlů, geodiverzita, rate-limit odpovědí (RRL), minimální velikost UDP odpovědí.
• Politiky a filtrace: oddělené rezolvery pro interní/externí domény, ECS řízení, minimalizace úniku dat (QNAME minimization).

Vrstva 4: Transport a odolnost proti DDoS

Hrozby: SYN flood, UDP amplifikace, fragmentační útoky, vyčerpání stavů middlewaru, útoky na QUIC handshaky.

• Hardening TCP/UDP: SYN cookies, omezení backlogu a half-open, ICMP rate-limit, správná PMTU discovery.
• DDoS mitigace: blackholing/RTBH, BGP FlowSpec, scrubbing centra, detekce anomálií (NetFlow/IPFIX), anycastní rozptyl.
• QUIC/TLS 1.3: 0-RTT s ochranou proti replay, limity na nové spojení, tokeny pro adresní ověření klienta.

Vrstva 5–7: Aplikační protokoly, TLS a webová bezpečnost

Hrozby: MITM, downgrade TLS, injekce, XSS/CSRF, SSRF, zneužití API, útoky na autentizaci, credential stuffing.

• TLS 1.2/1.3 best-practice: priorita TLS 1.3, vypnout zastaralé šifry (RC4, 3DES), PFS (ECDHE), OCSP stapling, HSTS, CT logy.
• HTTP bezpečnostní hlavičky: Content-Security-Policy (CSP), X-Frame-Options, Referrer-Policy, Permissions-Policy.
• Ochrana API: API gateway, mTLS pro stroj-stroj, rate limiting, throttling, WAF, schema validation, podpisy požadavků.
• E-mailový ekosystém: SPF, DKIM, DMARC, MTA-STS, TLSRPT, DANE pro SMTP.
• Autentizace a autorizace: moderní toky OAuth 2.1/OIDC (PKCE), WebAuthn/FIDO2, správná správa relací a rotace tokenů.

Zero Trust, segmentace a přístupové politiky

Internetové služby dnes často fungují bez pevného „perimetru“. Zero Trust předpokládá potenciálně nepřátelskou síť a vyžaduje průběžné ověřování identity, stavu zařízení a kontextu.

• Mikrosegmentace: oddělení služeb na úrovni L3/L7, zásady „default deny“ a minimálních oprávnění.
• Kontextové řízení přístupu: rizikové skóre sezení, kontrola zařízení (posture), dynamické politiky.
• Privátní konektivita: mTLS/SSH bastiony, identity-aware proxy, kapacitní a časově omezené přístupy.

Dodavatelský řetězec, firmware a „hardware trust“

Hrozby: backdoory ve firmwaru, supply-chain kompromitace knihoven, podvržené komponenty, zranitelnosti v BMC/UEFI.

• Secure Boot a měření: TPM/TPD, měřený boot, ověření podpisů firmware, pravidelné aktualizace (SBOM koordinace).
• Správa závislostí: podepisované artefakty, reprodukovatelné buildy, SLSA úrovně, izolace build prostředí.
• Inventarizace: životní cyklus zařízení a verzí, EoL/EoS plány, rychlé odstavování zranitelných kusů.

Soukromí a kryptografie v internetové infrastruktuře

Bezpečnost není jen o dostupnosti a integritě, ale i o soukromí. Šifrování „in transit“ je nutné, ale důležitý je i dohled a řízení klíčů.

• PKI správa: rotace klíčů, automatizace ACME, oddělení rolí (HSM), zásady pro wildcard a multi-SAN certifikáty.
• Forward secrecy a post-quantum: preferovat klíčové výměny s PFS; pilotní nasazení hybridních PQ KEM dle aktuálních doporučení.
• Minimalizace metadat: šifrované DNS, ESNI/Encrypted ClientHello, dohled nad úniky přes SNI a TLS fingerprinting.

Monitorování, měření a provozní bezpečnost

Co nelze vidět, nelze chránit. Provozní bezpečnost kombinuje telemetrii z různých vrstev a automatizované reakce.

• Datová telemetrie: NetFlow/IPFIX, sFlow, SNMPv3, syslog s podpisy, aplikační metriky (RED/USE), RUM pro web.
• Detekce a korelace: NDR/IDS/IPS, WAF události, SIEM s pravidly a UEBA, alerting s SLO/SLI a runbooky.
• Automatizace: SOAR playbooky, BGP FlowSpec/RTBH při DDoS, automatická rotace tajemství a klíčů.

Reakce na incidenty a kontinuita provozu

Incidenty se stávají i v dobře navržených infrastrukturách. Důležité je být připraven: mít cvičené postupy a měřitelné cíle obnovy.

• Plány IR/BCP/DR: přidělené role (CSIRT), kontaktní matice, komunikační kanály mimo primární síť.
• Table-top cvičení: simulace BGP hijacku, masivního DDoS, kompromitace DNS; včetně mediální komunikace.
• RTO/RPO a testy: pravidelné failovery anycastu, obnovení z podpisovaných záloh, testy obnovy klíčové PKI.

Compliance, standardy a „best practices“

Bezpečnostní vrstvy internetu se opírají o doporučení komunitních i regulačních rámců. I když se liší dle odvětví, společným jmenovatelem je řízení rizik a ověřitelnost.

• Komunitní BCP a RFC: BCP 38/84 (antispoofing), RPKI/ROA, DNSSEC nasazení, doporučení pro TLS.
• Rámce řízení: ISO/IEC 27001, NIST CSF, SOC 2 – pomáhají institucionalizovat procesy a ověřovat jejich účinnost.
• Odpovědné zveřejňování: bezpečnostní programy, VDP, bug bounty, koordinace s CERT/CSIRT.

Typické útokové scénáře a mapování obran

Provozní vzory nasazení v praxi

1. Okraj sítě (edge/peering/IXP): striktní BGP filtrace, RPKI, RTBH, scrubbing integrace, uRPF, oddělené management VRF.
2. Autoritativní DNS a CDN: Anycast, DNSSEC, RRL, automatizace podpisů, rychlý rollout klíčů a záznamů.
3. Podniková WAN/SD-WAN: IPsec mezi lokalitami, ZTNA pro vzdálený přístup, segmentace aplikací, centrální policy.
4. Cloud-native služby: mTLS mezi mikroslužbami (service mesh), OIDC pro identity, WAF a rate-limit na ingressu.

Metriky a průběžné zlepšování

• Dostupnost a latence: SLO per vrstva (DNS odpovědi, TLS handshake, HTTP p95), chybovost handshake.
• Bezpečnostní KPI: podíl „RPKI valid“, míra TLS 1.3, pokrytí DNSSEC, čas TTD/MTTD/MTTR incidentů.
• Hygiena konfigurací: drift-detekce, počet ručních změn, úspěšnost CI/CD testů bezpečnostních politik.

Doporučená „checklist“ shrnutí

• Implementujte BCP 38, uRPF a RPKI validaci na všech hraničních bodech.
• Nasazujte DNSSEC a provozujte validující rezolver s DoT/DoH.
• Preferujte TLS 1.3 s PFS, HSTS a správou certifikátů přes ACME.
• Segmentujte L2/L3, používejte 802.1X a ochrany proti ARP/RA/DHCP útokům.
• Chraňte API mTLS, rate-limitem, WAF a ověřením schémat.
• Zaveďte Zero Trust, mikrosegmentaci a identity-aware přístupové proxy.
• Měřte a reagujte: NetFlow/IPFIX, SIEM, SOAR, pravidelná table-top cvičení.

Závěr

Bezpečnost internetu je kolektivní disciplína. Úspěšná strategie kombinuje technické kontroly v každé vrstvě se silným provozním řízením, automatizací a průběžným měřením. Organizace, které budují obranu do hloubky, standardizují konfigurace a investují do telemetrie a cvičení, dosahují vyšší odolnosti vůči známým i novým hrozbám – a tím chrání nejen své služby, ale i důvěryhodnost celého ekosystému.