Lekcija 5 — Mrežna arhitektura i sigurnosni uređaji

1. Pregled mrežne arhitekture

Mrežna arhitektura je odabir i raspored medija, uređaja, protokola i podatkovnih resursa unutar nekog sustava. Sastoji se od tri razine:

Mrežna infrastruktura

Mediji, uređaji i protokoli koji osiguravaju osnovno povezivanje — kablovi, switchevi, routeri, IP adresiranje.

Mrežne aplikacije

Servisi koji se izvode na infrastrukturi i podržavaju poslovne procese — obrada narudžbi, e-pošta, web servis.

Podatkovni resursi

Informacije koje se kreiraju, pohranjuju i prenose kao rezultat poslovne aktivnosti — baze podataka, datoteke, poruke.

Primjer — analiza toka e-pošte otkriva sigurnosne zahtjeve na svakoj razini:

Komponenta	Sigurnosni zahtjev	Primarne CIA vrijednosti
Pristup (klijentski uređaj)	Autentifikacija korisnika i uređaja; blokada neovlaštenih	Dostupnost, Integritet
Poštanski server (mailbox)	Pristup samo ovlaštenim klijentima; visoka raspoloživost	Povjerljivost, Dostupnost
Mail transfer server	Spaja se s nepouzdanim Internetom — stroga kontrola	Integritet, Dostupnost

Ispit

Smještanje svih komponenti jednog poslovnog toka u isti segment ravna je mreža (flat network) — jedna kompromitacija daje napadaču slobodan pristup svemu. Ovo je najčešća pogreška u arhitekturi.

2. OSI model i slojevi

OSI (Open Systems Interconnection) model opisuje mrežne funkcije kroz 7 slojeva. Svaki sloj ima specifične uređaje i protokole.

OSI model: 7 slojeva s uređajima i sigurnosnim alatima koji djeluju na svakom sloju

Napomena

Na ispitu, slojevi 5, 6 i 7 se praktično tretiraju kao "aplikacijski sloj" (L7). Fokus je na L1/L2 (fizički pristup), L3 (routing/IP), L4 (TCP/UDP portovi) i L7 (aplikacijska inspekcija).

3. Infrastruktura na licu mjesta

3.1 Strukturirani kablovski sustav i topologije

On-premises mreža (LAN) je instalirana na jednoj lokaciji i kojom upravlja jedna organizacija. Kablovski sustav je standardiziran kao structured cabling:

Zidna utičnica (wall port) — spojena patch kabelom na mrežni adapter PC-a
Kabel prolazi kroz zidove/stropove do ormara s patch pločom
Patch kabel spaja patch ploču s portom switcha

Ova topologija naziva se zvjezdasta (star) — switch u centru, klijenti na krajevima. Svi hostovi unutar jednog switcha dijele isti broadcast domain (L2 segment).

3.2 Hijerarhijski dizajn i IP adresiranje

Hijerarhijska mrežna topologija: core router/firewall segmentira pristupne blokove (VLAN-ovi) u odvojene IP podmreže

IP adresiranje: svaka podmreža (subnet) ima mrežni prefiks. Npr. 10.1.10.0/24 — prvih 24 bita je mrežni ID (10.1.10.x), ostatak identificira host. IPv4 koristi ARP za mapiranje IP → MAC, a IPv6 koristi Neighbor Discovery (ND).

3.3 VLANs — virtualne lokalne mreže

VLAN ID (2–4094) dodjeljuje se portu switcha bez obzira na fizičku lokaciju. Svaki VLAN je odvojen L2 domain — promet između VLANova mora proći kroz router (L3 uređaj). Ovo omogućuje primjenu access control pravila između segmenata.

Ispit — ključni pojam

Layer 3 switch kombinira routing i switching funkcije — čest u core sloju. VLAN-ovi mapiraju L2 segmente na L3 IP podmreže, što omogućuje zone-based security bez zasebnih fizičkih routera.

4. Sigurnosne zone i segmentacija

Zone-based security model dijeli privatnu mrežu na segmente s različitim razinama povjerenja. Vanjski Internet = nepouzdana zona. Interni segmenti imaju različite zahtjeve:

Tip sustava	Prioritet CIA	Sigurnosna zona
Baze podataka / datotečni serveri	Povjerljivost + Integritet	Visoko zaštićena interna zona
Klijentski uređaji	Integritet + Dostupnost	Korisnička zona
Javni serveri (web, mail, remote access)	Integritet + Dostupnost	DMZ (screened subnet)
Infrastrukturni serveri (AD, DNS, SIEM)	Sve tri — kritično	Upravljačka zona (management)
Gosti / IoT uređaji	Minimalno povjerenje	Izolirana gostujuća zona

Defense in depth — višeslojna zaštita: svaka zona ima preventivne, detektivne i korektivne kontrole na svakom OSI sloju. Zona mora imati poznat ulaz i izlaz — ako unutar zone postavljaš wireless AP bez odobrenja, to je sigurnosna povreda.

Slabosti mrežne arhitekture

Tipične slabosti koje čine mrežu podložnom neotkrivenim uppadima ili katastrofalnim kvarovima:

Slabost	Opis i rizik
Single points of failure	Usko grlo koje se oslanja na jedan server, uređaj ili kanal — kvar ili napad na tu točku obaraju cijeli servis.
Complex dependencies	Servisi koji zahtijevaju mnogo različitih sustava da bi radili. Kvar jednog lanca mora rušiti cijelu uslugu — idealno svaki servis pada neovisno.
Dostupnost ispred povjerljivosti	Privremeni "prečaci" radi bržeg pokretanja servisa koji kompromitiraju sigurnost. Kratkoročno rješava problem, dugoročno stvara ranjivosti.
Nedostatak dokumentacije i change controla	Segmenti, uređaji i servisi dodaju se bez kontrole promjena — vidljivost u mrežu se gubi. Admini moraju razumjeti poslovne tokove i mrežne servise koji ih podupiru.
Prekomjerna ovisnost o perimetarskoj zaštiti	Ako je interna mreža "ravna" (flat) — bilo koji host može kontaktirati bilo koji drugi — probijanje perimetra daje napadaču potpunu slobodu kretanja.

Napadna površina mreže (Network Attack Surface)

Napadna površina su sve točke na kojima napadač može dobiti pristup hostovima i servisima. Analizira se po OSI slojevima:

Sloj	Prijetnja	Primjer kontrole
L1/L2 — fizički/podatkovni	Neovlašteni host spaja se na zidni port ili bežičnu mrežu i komunicira s hostovima u istom broadcast domenu.	Fizičko zaključavanje portova, 802.1X, MAC filtering
L3 — mrežni	Neovlašteni host pribavlja valjanu mrežnu adresu (spoofing) i komunicira s hostovima u drugim zonama.	ACL na routerima, dynamic ARP inspection, IP source guard
L4/L7 — transportni/aplikacijski	Neovlašteni host uspostavlja TCP/UDP konekciju na otvorene portove i komunicira s aplikacijskim protokolima i servisima.	Stateful firewall, IPS, WAF, proxy

Ispit

Napadna površina dijeli se i na vanjsku (external/public) — napadi s Interneta prema perimetru — i unutarnju (internal/private) — kompromatirani ili neovlašteni interni hostovi. Perimetarska zaštita adresira vanjsku površinu; zone-based segmentacija adresira unutarnju.

Zone-based sigurnosni model: Internet → Perimeter FW → DMZ → Internal FW → Interna mreža

Iz stvarnog svijeta

SolarWinds SUNBURST (2020): Napadači su kompromitirali software supply chain i ubacili backdoor u ažuriranje. Kad su žrtve instalirale update, zlonamjerni kod je komunicirao s C&C serverima. Flat mreže bez segmentacije su napadačima dale slobodan lateralni pomak između sustava. Organizacije s pravilnom segmentacijom i zone-based modelom su bile znatno teže kompromitirati.

5. Port security i mrežni pristup (802.1X)

Svaki fizički port switcha je potencijalni ulaz za napadača. Strategije zaštite:

5.1 MAC filtering i MAC limiting

Switch port dopušta samo određene MAC adrese ili ograničava njihov broj. Mana: MAC adrese se mogu spoofati (lažirati). Admini moraju upravljati listama MAC adresa — velika administrativna opterećenost.

5.2 IEEE 802.1X Port-based Network Access Control (PNAC)

Bolji pristup: uređaj/korisnik se mora autentificirati prije nego dobije puni mrežni pristup. Arhitektura ima tri elementa:

802.1X PNAC: supplicant → authenticator (switch) → RADIUS server. Switch otvara puni pristup tek nakon Access-Accept

EAP (Extensible Authentication Protocol) — okvir za višestruke metode autentifikacije (digitalni certifikati, smart card, PEAP). RADIUS prenosi EAP poruke između authenticatora i auth servera.

5.3 Air-gapped mreže

Host ili mreža koja nema nikakvu fizičku ni bežičnu vezu s vanjskim mrežama. Primjeri: root CA server, sustavi za analizu malwarea, industrijski upravljački sustavi (SCADA), vojni sustavi. Upravljanje je kompleksno — svaki update mora doći na USB/optičkim medijem koji se mora prethodno skenirati.

Upozorenje

Stuxnet (2010): Malware dizajniran da uništi iranske centrifuge za obogaćivanje urana prodro je u air-gapped mrežu Natanza putem zaraženih USB pogona. Dokaz da fizička izolacija nije apsolutna zaštita — napadač može iskoristiti čovjeka kao vektor (insider, nesvjesni radnik s USB-om).

6. Vatrozidi (Firewalls)

6.1 Packet filtering i stateful inspection

Packet filtering firewall koristi Access Control List (ACL) — skup pravila koja određuju akciju za svaki paket:

Kriterij filtriranja	Opis
IP adresa (source/dest)	Blokira ili dopušta promet s/prema određenim IP-ovima; može i po MAC
Protocol ID	TCP, UDP, ICMP, ili drugi IP protokol
TCP/UDP port	Port 80 = HTTP, 443 = HTTPS, 22 = SSH, 25 = SMTP…

Akcije: permit (propusti), deny/drop (tiho baci), reject (baci + pošalji ICMP poruku pošiljatelju).

Stateless firewall — analizira svaki paket neovisno, bez pamćenja sesije. Brz, ali ranjiv na napade raspoređene kroz više paketa.

Stateful inspection — prati stanje TCP sesija u state tablici. Provjerava TCP handshake (SYN → SYN/ACK → ACK) i sekvencijske brojeve. Anomalije (SYN flood, session hijacking) su detektirane i blokirane. Može pratiti i UDP i ICMP promet.

Layer 7 firewall (deep packet inspection) — provjerava i payload aplikacijskog sloja. Može verifikirati odgovara li protokol portu (npr. blokira raw TCP promet na portu 80 koji nije HTTP). WAF je specijalizirana verzija za web.

Placement vatrozida:

Mod	OSI sloj	Ima IP/MAC?	Primjena
Routed (L3)	L3	Da	Default gateway zone; vidljiv u topologiji
Bridged/Transparent (L2)	L2	MAC, ne IP	Ubaci FW između router-switch bez promjene IP topologije
Inline/Virtual wire (L1)	L1	Ne	Bump-in-the-wire; nevidljiv uređajima

6.2 Proxy vatrozidi i NGFW/UTM

Proxy vatrozid radi na store-and-forward principu — u potpunosti dekonstruira paket, analizira sadržaj, pa ga rekonstruira i prosljeđuje. Skuplje, ali dublje inspekcija.

Forward proxy

Posreduje odlazni promet klijenata prema Internetu (npr. web proxy za HTTP/HTTPS). Klijentu se mora konfigurirati proxy adresa i port (TCP/8080) ili koristiti PAC skript / WPAD za automatsku konfiguraciju. Transparent proxy ne zahtijeva konfiguraciju klijenta — presreće promet inline.

Reverse proxy

Posreduje dolazni promet s Interneta prema internim serverima. Smješten na mrežnom rubu — prima zahtjeve od javnih klijenata, filtrira ih, i prosljeđuje na server u zaštićenoj zoni. Skriva pravu IP adresu i topologiju servera.

NGFW (Next-Generation Firewall) — kombinira tradicionalni FW s IPS-om, L7 aplikacijskom inspekcijom (uključujući TLS), integracijom s direktorijima (per-user/per-role policy) i cloud networking podrškom.

UTM (Unified Threat Management) — sve u jednom aparatu: FW, anti-malware, IPS, spam filter, content filtering, DLP, VPN, endpoint zaštita. Prednost: jedna konzola. Mana: single point of failure, latencija pri visokom prometu. Čest u SMB okruženjima.

6.3 Atributi vatrozida i sigurnosnih kontrola

Atribut	Opcija A	Opcija B
Vrsta senzora	TAP (Test Access Point) — hardverski splitter na kablu; kopira svaki frame (uključujući oštećene), nije pod utjecajem load-a	SPAN/Mirror port — switch šalje kopije frameva; ne kopira oštećene frame-ove; može ispuštati pakete pod opterećenjem
Aktivnost	Pasivna kontrola — samo promatra, ne utječe na promet; nevidljiva napadaču	Aktivna kontrola — filtrira, blokira, zahtijeva konfiguraciju klijenta ili instalaciju agenta
Kvar (failure mode)	Fail-open — pri kvaru pristup je sačuvan; prioritet dostupnosti; rizik: napadač može namjerno izazvati kvar	Fail-closed — pri kvaru pristup je blokiran; prioritet povjerljivosti/integriteta; rizik: downtime

7. IDS, IPS i WAF

IDS (Intrusion Detection System) — pasivna detekcija. Senzor snima promet (TAP ili SPAN), šalje kopiju IDS engineu (Snort, Suricata, Zeek). IDS podiže alert ili upisuje log — ali ne blokira. Nevidljiv napadaču. Koristi signature-based detekciju i heuristic/behaviour analizu.

IPS (Intrusion Prevention System) — aktivan odgovor. Može:

Shunning — blokira izvornu IP adresu (privremeno ili trajno)
Resetira TCP vezu
Preusmjerava promet na honeypot za daljnju analizu
Putem API-ja rekonfigurira firewall ili router

WAF (Web Application Firewall) — specijaliziran za zaštitu web aplikacija i backend baza od:

SQL injection
Cross-Site Scripting (XSS)
DDoS na aplikacijskom sloju
OWASP Top 10 napada općenito

WAF koristi signature ruleset i pattern matching. Može biti appliance ispred web zone ili softverski plugin za web server.

Ispit

IDS detektira i logira — ne blokira. IPS detektira i blokira/odgovara aktivno. WAF štiti web aplikacije specifično. NGFW = FW + IPS + L7. UTM = sve + AV + spam + DLP. Ove razlike se često testiraju.

8. Load balanceri

Load balancer raspodjeljuje klijentske zahtjeve između više server nodova (farm/pool). Osigurava:

Skalabilnost — dodaj/ukloni servere bez downtime-a
Visoka dostupnost — kvar jednog servera ne prekida servis
Mitigacija DDoS-a — raspodjela opterećenja

L4 load balancer

Odluke donosi na temelju IP adrese i TCP/UDP porta. Brz, jednostavan. Zdravstvena provjera: osnovna TCP konekcija. Source IP affinity (sticky session) — klijent ostaje vezan za isti server.

L7 load balancer (content switch)

Odluke donosi na temelju HTTP URL-a, headera, tipa sadržaja (video/audio streaming). Može koristiti cookie-based persistence za sesije. Potreban za moderne web aplikacije s više servisa iza iste IP adrese.

Scheduling algoritmi: round-robin (red), least connections (najmanji broj sesija), best response time (najmanje kašnjenje). Sve metode mogu biti weighted (ponderirane) prema kapacitetu servera.

9. VPN protokoli

VPN (Virtual Private Network) stvara šifrirani tunel kroz nepouzdanu mrežu (Internet). Tri topologije:

Client-to-site ("telecommuter") — udaljeni korisnik → korporativna mreža
Site-to-site — spaja dvije poslovnice; gateway-i automatski uspostavljaju tunel
Host-to-host — šifrira promet između dva konkretna računala

9.1 TLS VPN

Klijent se spaja na VPN gateway s digitalnim certifikatom koji identificira gateway (opcijski i klijenta — mutual authentication). TLS uspostavlja šifrirani tunel za predaju vjerodajnica (procesira RADIUS server). Može raditi na TCP ili UDP (DTLS — Datagram TLS, bolje za voice/video).

Važno: koristiti TLS 1.2 minimum, preporučeno TLS 1.3. Starije verzije su deprecated.

9.2 IPsec

IPsec djeluje na L3 OSI modela — nema potrebe za posebnom podrškom aplikacija. Dva osnovna protokola:

AH — Authentication Header

Izračunava kriptografski hash cijelog paketa (uključujući IP header) + shared secret → ICV (Integrity Check Value). Dodaje u header. NE šifrira payload — ne pruža povjerljivost, samo integritet i autentičnost.

ESP — Encapsulating Security Payload

Šifrira payload (i opcionalno radi ICV). ESP isključuje originalni IP header iz ICV izračuna. Najčešće korišten jer pruža i povjerljivost i integritet. Header + trailer + ICV polja su dodana paketu.

IPsec transport mode (šifrira samo payload) vs tunnel mode (šifrira cijeli originalni paket); IKE faze za uspostavu SA

Ispit

AH = integritet (bez enkripcije). ESP = enkripcija + integritet. Tunnel mode = cijeli originalni paket je enkriptiran i enkapsuliran s novim IP headerom — koristi se za site-to-site VPN. Transport mode = samo payload. IKEv2 podržava EAP (npr. RADIUS autentifikaciju korisnika) i multihoming (MOBIKE za smartphoneove).

10. Siguran udaljeni pristup

10.1 RDP i alternatiве

RDP (Remote Desktop Protocol) — grafički udaljeni pristup Windows računalima. Šifriran po defaultu. Alternativno: TeamViewer, VNC (RealVNC i dr.), Apache Guacamole (HTML5/WebSocket clientless gateway — pristup samo browser-om bez instalacije klijenta).

10.2 SSH (Secure Shell)

Primarno sredstvo sigurnog pristupa CLI-ju. Identifikacija SSH servera: host key par (javni/privatni ključ). Klijent provjerava host key pri prvom spajanju (TOFU — Trust On First Use) i potom svaki put. Metode autentifikacije klijenta:

Metoda	Opis	Prednosti/Mane
Username/password	Lokalna baza ili RADIUS server	Jednostavno; ranjivo na brute-force
Public key auth	Klijentov javni ključ doda se u `~/.ssh/authorized_keys` na serveru	Jaka sigurnost; zahtijeva upravljanje ključevima
Kerberos/GSSAPI	Koristi Kerberos TGT iz domain login sesije	SSO iskustvo; zahtijeva domen infrastrukturu

Ključne SSH naredbe:

  ssh korisnik@10.1.0.10 — spoji se na server

  ssh-keygen -t rsa — generiraj RSA key par

  ssh-copy-id korisnik@10.1.0.10 — pošalji javni ključ na server

  scp korisnik@10.1.0.10:/logs/audit.log audit.log — kopiranje datoteka

  scp -r ... — rekurzivno (direktorij)

Sigurnosna napomena

Upravljanje SSH ključevima je kritičan zadatak. Ako je privatni ključ kompromitiran: (1) odmah ukloni javni ključ s auth_keys, (2) generiraj novi key par na saniranom uređaju, (3) uploadaj novi javni ključ. Nikad ne dijeli privatni ključ. Host key promijeni ako sumnjate na kompromitaciju servera.

10.3 Jump serveri i out-of-band (OOB) upravljanje

SAW — Secure Administrative Workstations

Upravljački klijenti koji se koriste za pristup administrativnim sučeljima moraju biti strogo zaključani (tightly locked down). SAW je radna stanica namijenjena isključivo administrativnim zadacima:

Instaliran samo softver neophodan za administrativni pristup — minimalni web preglednik, SSH klijent, RDP klijent.
Bez ili s ograničenim Internet pristupom — eventualno samo na manji broj odobrenih vendor stranica (zakrpe, driveri, podrška).
Stroga kontrola pristupa i auditiranje — svaka zlouporaba mora biti otkrivena što prije.

Jump server (bastion host) — jedini autorizirani ulaz za administraciju zaštićene zone (npr. DMZ serveri). Admini se sa SAW-a spajaju na jump server, pa odatle na ciljni server. Svaki server u zoni ima u ACL-u samo IP adresu jump servera. Prednosti: centralizirani audit, minimizirana attack surface.

In-band management — administrativni promet dijeli mrežnu infrastrukturu s produkcijskim prometom. Mora koristiti TLS/SSH/IPsec enkripciju.

Out-of-band (OOB) management — zasebna fizička mreža ili dedicirani management VLAN za upravljanje uređajima. Skuplji, ali pristup je sačuvan i kada produkcijska mreža pada. Primjer: serijska konzola ili IPMI/iDRAC port.

10.4 Kriteriji odabira arhitekture

Faktor	Opis
Trošak (Cost)	Kapitalnih ulaganja + tekuće održavanje. Vrijednost = smanjenje gubitaka od incidenata
Compute / responzivnost	CPU, RAM, disk, bandwidth dovoljni za workload uz prihvatljiv response time
Skalabilnost	Lakoća dodavanja/uklanjanja resursa bez prekomjernih troškova
Dostupnost (Availability)	Minimizacija downtime-a — planiranog i neplanirani
Otpornost i oporavak	Brzina oporavka; sustav koji se sam oporavlja > ručna intervencija
Napajanje (Power)	UPS, redundantni napajači, generatori; viši compute = veća potrošnja
Patch dostupnost	Vendor mora isporučivati sigurnosne zakrpe; EOL uređaji = neprihvatljiv rizik
Prijenos rizika	SLA s trećom stranom (cloud, MSP) s kaznama za neispunjavanje metrika

Flashcards — ponavljanje

Klikni karticu da vidiš odgovor.

Što je broadcast domain?

Skup hostova koji primaju broadcast frame-ove jedni od drugih unutar L2 segmenta (switcha). Routeri razdvajaju broadcast domene.

Što radi 802.1X authenticator?

Prosljeđuje EAP vjerodajnice supplicanta do RADIUS servera — NE vrednuje ih sam. Otvara puni port tek nakon Access-Accept.

Razlika: TAP vs SPAN port

TAP = hardverski splitter, kopira svaki frame (i oštećene), nije pod utjecajem load-a. SPAN = switch mirror port, ispušta pakete pod opterećenjem, ne kopira error frame-ove.

Fail-open vs fail-closed

Fail-open: kvar → pristup sačuvan (prioritet dostupnosti). Fail-closed: kvar → pristup blokiran (prioritet sigurnosti). Inline uređaj bez napajanja prirodno fail-closed.

IPsec AH — što pruža?

Integritet i autentičnost — kriptografski hash cijelog paketa. NE šifrira payload. Nema povjerljivost.

IPsec ESP u tunnel modu

Šifrira cijeli originalni paket (header + payload) i enkapsulira ga s novim IP headerom. Napadač ne vidi originalnu IP adresu. Koristi se za site-to-site VPN.

IKE Faza 1 vs Faza 2

Faza 1: identitet peera + Diffie-Hellman razmjena ključeva → sigurni kanal. Faza 2: pregovor ciphera/ključeva za stvarnu IPsec sesiju (SA).

Što je jump server?

Jedini autorizirani pristupni point za administraciju zaštićene zone. Admini se spajaju na njega, pa odatle upravljaju serverima. Centralizira audit i minimizira attack surface.

Razlika: IDS vs IPS

IDS = pasivna detekcija; detektira i logira, NE blokira. IPS = aktivan odgovor; može blokirati (shunning), resetirati sesiju ili preusmjeriti na honeypot.

Što je WAF i što štiti?

Web Application Firewall — štiti web aplikacije od SQL injection, XSS, DDoS na L7. Koristi signature ruleset. Appliance ispred web zone ili plugin za web server.

Forward proxy vs Reverse proxy

Forward = posreduje odlazni promet klijenata prema Internetu. Reverse = posreduje dolazni promet s Interneta prema internim serverima; skriva topologiju.

Što znači "transparent proxy"?

Proxy koji presreće promet bez potrebe za konfiguracijom klijenta — implementiran inline ili kao router. Klijent ne zna da postoji proxy.

NGFW vs UTM

NGFW: enterprise; FW + IPS + L7 filtriranje + TLS inspekcija + per-user politike. UTM: SMB/turnkey; sve u jednom (FW+AV+spam+DLP+VPN), ali viša latencija i potencijalni single point of failure.

Što je air-gapped mreža?

Mreža bez ikakve fizičke ni bežične veze s vanjskim mrežama. Upravljanje zahtijeva fizički pristup; updateovi dolaze USB/optičkim medijem koji se mora skenirati.

Što je VLAN i zašto?

Virtualna lokalna mreža — L2 segment koji se konfigurira softverski (VLAN ID 2-4094) bez obzira na fizičku lokaciju switcha. Razdvaja broadcast domene i mapira na IP podmreže za zone-based security.

SSH public key autentifikacija

Klijentov javni ključ pohranjen u authorized_keys na serveru. Privatni ključ ostaje samo na klijentu. Jača od lozinke; zahtijeva upravljanje ključevima (brisanje pri odlasku korisnika).

Stateful vs stateless firewall

Stateless: analizira svaki paket neovisno, bez pamćenja sesije — brz, ali ranjiv. Stateful: prati TCP handshake i sekvencije u state tablici; detektira SYN flood, session hijacking.

IKEv2 prednosti nad IKEv1

Podržava EAP (RADIUS auth korisnika), manji bandwidth overhead, NAT traversal, MOBIKE (multihoming za smartphoneove — prebacuje između WiFi i mobilnih podataka).

Scheduling u load balanceru

Algoritmi: round-robin (red), least connections (najmanje aktivnih sesija), best response time. Sve mogu biti weighted (ponderirane). Health check provjerava raspoloživost servera.

Out-of-band (OOB) management

Upravljanje mrežnim uređajima putem zasebne fizičke infrastrukture ili dedikiranog management VLAN-a. Pristup sačuvan i kad produkcijska mreža pada. Sigurniji od in-band upravljanja.

Defense in depth — što znači?

Višestruki sigurnosni slojevi: preventivne + detektivne + korektivne kontrole na svakom OSI sloju i u svakoj zoni. Kompromitacija jednog sloja ne znači kompromitaciju cjeline.

Shunning (IPS)

IPS akcija blokiranja izvorne IP adrese napadača — privremeno ili trajno. Oprez: napadač može lažirati (spoof) legitimne IP adrese kako bi blokirao nevine hostove.

Kviz — 40 pitanja

0 / 40

Odgovori na sva pitanja da vidiš rezultat.

1 Na kojem OSI sloju switch donosi odluke o prosljeđivanju? Single

L1 — Fizički L2 — Podatkovni (Ethernet/MAC) L3 — Mrežni (IP) L4 — Transportni (TCP/UDP)

Switch koristi MAC adrese za L2 prosljeđivanje unutar broadcast domene. Router radi na L3.

2 Tvrtka ima radne stanice i VoIP telefone na istom switchu. Koji mehanizam ih razdvaja u zasebne broadcast domene bez fizičke zamjene opreme? Single

Zasebni IP adresni prostor MAC filtering VLANs (virtualne lokalne mreže) Port security s MAC limitom

VLAN-ovi dijele switch portove u odvojene L2 segmente softverski. Promet između VLAN-ova mora ići kroz router (L3).

3 U 802.1X arhitekturi, koji element vrednuje (validira) vjerodajnice supplicanta? Single

Supplicant sam sebe verificira Authenticator (switch) Authentication server (RADIUS) EAP protokol neovisno

Authenticator (switch/AP) samo prosljeđuje EAP pakete — ne čita ih. RADIUS server pristupa direktoriju i šalje Access-Accept ili Access-Reject.

4 IDS senzor mora primati kopije svih frame-ova, uključujući oštećene, neovisno o opterećenju mreže. Koji metod odabrati? Single

TAP (Test Access Point) SPAN/Mirror port Inline deployment Sniffer na switch portu

TAP je hardverski splitter koji fizički kopira signal — prima svaki frame bez iznimke. SPAN/mirror port ne kopira error frame-ove i ispušta pakete pod opterećenjem.

5 Koji tip vatrozida prati TCP handshake i sekvencijske brojeve te može detektirati SYN flood napad? Single

Stateless packet filter Stateful inspection firewall Proxy firewall ACL na routeru

Stateful firewall pamti stanje sesija u state tablici i može prepoznati anomalije poput SYN bez ACK-a ili neobičnih sekvencijskih brojeva.

6 Sigurnosni tim želi da sustav automatski blokira IP adresu koja generira port scan. IDS to ne može. Što trebaju implementirati? Single

NGFW umjesto stateful FW-a IPS (Intrusion Prevention System) WAF ispred DMZ-a Dodati SPAN port na switchu

IPS može aktivno odgovoriti — blokirati izvor (shunning), resetirati konekciju ili preusmjeriti na honeypot. IDS samo logira i podiže alert.

7 Tvrtka želi site-to-site VPN koji šifrira cijeli originalni paket uključujući IP header kako napadač ne bi vidio interne IP adrese. Koji IPsec mod koristiti? Single

AH u transport modu ESP u transport modu AH u tunnel modu ESP u tunnel modu

ESP tunnel mode enkriptira cijeli originalni paket (header + payload) i enkapsulira ga s novim IP headerom VPN gateway-a. Koristi se za site-to-site VPN.

8 Što IPsec AH protokol ne pruža? Single

Integritet paketa Autentičnost izvora Povjerljivost (enkripcija payloada) Zaštitu IP headera u transport modu

AH računa hash ali NE šifrira podatke. Za enkripciju (povjerljivost) koristi se ESP. AH je rijedak u praksi jer ne pruža confidentiality.

9 Koji tip proxy servera prihvaća zahtjeve klijenata s Interneta i prosljeđuje ih internim serverima, skrivajući topologiju mreže? Single

Forward proxy Reverse proxy Transparent proxy Non-transparent proxy

Reverse proxy se smješta na rubu mreže i prima dolazni promet s Interneta. Forward proxy posreduje odlazni promet klijenata prema Internetu.

10 Administrator želi kopirati direktorij s udaljenog SSH servera na lokalni stroj. Koja naredba je ispravna? Single

ssh-copy-id admin@10.0.0.1:/logs/ ./logs/ scp -r admin@10.0.0.1:/logs/ ./logs/ ssh admin@10.0.0.1 copy /logs/ ./logs/ sftp -r admin@10.0.0.1:/logs/ ./logs/

scp (secure copy) s opcijom -r kopira direktorij rekurzivno. ssh-copy-id služi za upload javnog ključa, ne kopiranje datoteka.

11 Load balancer šalje zahtjeve naizmjence na server 1, 2, 3, 1, 2, 3... Koji scheduling algoritam koristi? Single

Round-robin Least connections Weighted response time Source IP affinity

Round-robin odabire sljedeći server po redu. Least connections odabire onaj s najmanje aktivnih sesija. Source IP affinity vezuje klijenta za isti server.

12 Organizacija ima 20 servera u DMZ-u. Žele centralizirati admin pristup i svesti broj ACL unosa na minimum. Što implementirati? Single

OOB management VLAN za svaki server Jump server (bastion host) u DMZ-u VPN s direktnim pristupom svakom serveru HTML5 VPN gateway za sve

Jump server centralizira pristup — svaki DMZ server u ACL-u ima samo IP jump servera. Admini se spajaju na jump server, pa odatle upravljaju serverima.

13 Koji elementi čine 802.1X AAA arhitekturu? (odaberi SVE točne) Multi

Supplicant (uređaj koji traži pristup) Authenticator (switch/AP) Authentication server (RADIUS) EAP protokol kao zasebni element arhitekture

AAA arhitektura ima tri uloge: supplicant, authenticator, authentication server. EAP je protokol koji se koristi između supplicanta i auth servera — nije zasebni arhitekturni element.

14 Koje akcije IPS može poduzeti kao aktivan odgovor? (odaberi SVE točne) Multi

Blokirati izvornu IP adresu (shunning) Resetirati TCP konekciju Preusmjeriti promet na honeypot Modificirati šifriranu HTTPS sesiju u realnom vremenu

IPS: shunning, reset konekcije, honeypot redirekcija, rekonfiguracija FW-a/routera putem API-ja. Modificiranje šifrirane sesije bez ključa nije izvedivo.

15 IPsec koristi koje dvoje od navedenih kao osnovna protokola? (odaberi 2) Multi

AH (Authentication Header) ESP (Encapsulating Security Payload) IKE (Internet Key Exchange) TLS (Transport Layer Security)

AH i ESP su osnovna IPsec protokola za zaštitu podataka. IKE je protokol za uspostavu ključeva/SA — potporna infrastruktura, ne "core protocol" za prijenos podataka. TLS je zasebni protokol.

16 Koji načini postavljanja vatrozida su oblici transparentnog moda (klijenti/routeri ne trebaju mijenjati konfiguraciju)? Multi

Routed (L3) mod Bridged (L2) mod Inline / virtual wire (L1) mod NGFW u zone-based policy modu

Bridged i inline su transparentni modovi — firewall je nevidljiv u IP topologiji; ne treba mijenjati IP adrese niti default gateway. Routed mod zahtijeva da hostovi koriste FW kao gateway.

17 UDP je connection-oriented protokol koji uspostavlja sesiju prije prijenosa podataka. T/F

Točno Netočno

UDP je connectionless — šalje datagrame bez prethodne uspostave sesije, bez potvrde primitka. TCP je connection-oriented (three-way handshake). UDP je brži ali manje pouzdan.

18 Fail-closed sigurnosna kontrola pri kvaru prioritizira dostupnost nad povjerljivošću. T/F

Točno Netočno

Fail-closed znači da pri kvaru pristup bude blokiran — to prioritizira POVJERLJIVOST i INTEGRITET nad dostupnošću. Fail-OPEN prioritizira dostupnost (pristup sačuvan pri kvaru).

19 NGFW može inspekcijom razotkriti sadržaj TLS-šifriranog HTTPS prometa. T/F

Točno Netočno

NGFW s TLS inspection (SSL decryption) terminira TLS sesiju, inspektira plaintext sadržaj, pa uspostavlja novu TLS sesiju prema serveru. Klijenti moraju vjerovati NGFW certifikatu (instaliranom u trust store).

20 Popuni: Router donosi odluke o prosljeđivanju na OSI sloju broj ___. Fill

Router radi na L3 — mrežnom sloju. Koristi IP adrese za donošenje odluka o prosljeđivanju između podmreža.

21 Protokol koji 802.1X koristi za komunikaciju između authenticatora i authentication servera: ___. Fill

RADIUS (Remote Authentication Dial-In User Service) prenosi EAP pakete između switcha (authenticatora) i RADIUS servera. Authenticator je RADIUS klijent.

22 SSH naredba za generiranje RSA ključnog para: ssh-_______ Fill

ssh-keygen generira ključni par. Opcija -t rsa specificira algoritam. Privatni ključ ostaje lokalno; javni ključ (*.pub) šalje se na server naredbom ssh-copy-id.

23 Poveži uređaj/protokol s OSI slojem na kojemu primarno djeluje. Match

Switch (Ethernet)

Router / IP protokol

WAF / proxy (HTTP inspekcija)

TAP / fizički kabel

L1=fizički (TAP, kabel), L2=podatkovni (switch/MAC), L3=mrežni (router/IP), L7=aplikacijski (WAF, proxy, IDS koji inspektira HTTP).

24 Poveži IPsec pojam s opisom. Match

AH (Authentication Header)

ESP (Encapsulating Security Payload)

IKE (Internet Key Exchange)

ESP tunnel mode

AH=hash bez enkripcije. ESP=šifrira+hash. IKE=uspostava ključeva i SA između peera. ESP tunnel=cijeli originalni paket enkriptiran, koristi se za site-to-site VPN.

25 Poredaj IKE faze i rezultat u ispravni redoslijed. Redoslijed

Faza 1: peeri razmjenjuju identitete i izvode Diffie-Hellman → sigurni kanal
Faza 2: pregovaranje ciphera i ključeva za AH/ESP sesiju kroz sigurni kanal
Security Association (SA) uspostavljena — IPsec sesija aktivna

IKE Faza 1 → Faza 2 → SA. Faza 1 stvara zaštićen kanal, Faza 2 pregovara kroz njega o samom IPsec šifriranju.

26 Poredaj korake 802.1X autentifikacije u ispravni redoslijed. Redoslijed

Host spaja kabel na switch port — switch otvara port samo za EAPoL promet
Supplicant šalje EAP identitet switchU
Switch enkapsulira EAP u RADIUS i šalje auth serveru
Auth server provjerava vjerodajnice u direktoriju, šalje Access-Accept
Switch prima Access-Accept i otvara puni mrežni pristup

Redoslijed: spajanje → EAPoL identitet → RADIUS prosljeđivanje → validacija u direktoriju → Access-Accept → puni port.

Studija slučaja — Jadranski IT d.o.o.

Konzultantska tvrtka Jadranski IT d.o.o. (50 zaposlenika, 3 lokacije) provodi reviziju sigurnosti mreže. Trenutno stanje: svi uređaji su u jednom VLAN-u, klijenti i serveri na istom segmentu. Web aplikacija za upravljanje projektima je javno dostupna. 15 zaposlenika radi remote iz kuće. IT tim primjećuje anomalije u prometu — neobične ARP odgovore i sumnjive zahtjeve prema web aplikaciji koji izgledaju kao pokušaji SQL injectiona.

27 Koji sigurnosni uređaj najefikasnije blokira SQL injection napade prema web aplikaciji? Studija slučaja

Perimeter stateful firewall IDS senzor na mirror portu WAF (Web Application Firewall) Layer 4 load balancer

WAF je specijaliziran za zaštitu web aplikacija — prepoznaje OWASP Top 10 napade uključujući SQL injection putem signature rulesets i pattern matchinga. Stateful FW ne razumije HTTP payload.

28 Za remote radnike, IT odabire VPN. Žele modernu implementaciju koja podržava autentifikaciju kroz RADIUS i ostaje funkcionalna kad radnik prebacuje između WiFi-a i mobilnih podataka. Koji protokol? Studija slučaja

IPsec IKEv1 s PSK PPTP (Point-to-Point Tunneling Protocol) IPsec IKEv2 s EAP autentifikacijom L2TP bez IPsec enkapsulacije

IKEv2 podržava EAP (RADIUS auth), MOBIKE (multihoming — ostaje aktivan pri promjeni interfacea) i NAT traversal. PPTP je deprecated. IKEv1 ne podržava EAP direktno ni MOBIKE.

29 Log pokazuje da host 10.0.0.50 šalje ARP Reply poruke za IP adrese koje mu ne pripadaju, uključujući default gateway (10.0.0.1). Koji napad se odvija? Studija slučaja

VLAN hopping ARP spoofing / ARP poisoning MAC flooding IP spoofing na L3

ARP poisoning: napadač šalje lažne ARP odgovore kojima asocira svoju MAC s legitimnim IP adresama (npr. gateway). Promet tada prolazi kroz napadača — on-path (man-in-the-middle) pozicija. Mitigacija: Dynamic ARP Inspection (DAI) na switchu.

30 IT direktor pita koji su koraci potrebni za ispravnu segmentaciju mreže. Koje od navedenih mjera su ispravne? (odaberi SVE točne) Studija slučaja · Multi

Kreirati zasebne VLAN-ove za korisnike, servere, DMZ i upravljanje Implementirati firewall pravila između VLAN-ova (princip least privilege) Premjestiti web server u DMZ zonu odvojenu od interne mreže Staviti sve servere i klijente natrag u jedan segment za lakše upravljanje

Ispravna segmentacija: zasebni VLAN-ovi po namjeni, FW pravila između segmenata (least privilege), javno dostupni serveri u DMZ. Jedinstveni segment = flat network = katastrofalan rizik pri kompromitaciji.

31SSL VPN prednost naspram IPsec VPN-a u remote access scenarijima je?jedan odgovor

SSL VPN je brži SSL VPN radi kroz web browser — ne zahtijeva instalaciju posebnog klijenta SSL VPN pruža bolju enkripciju od IPseca SSL VPN radi samo u LAN mrežama

SSL/TLS VPN (npr. OpenVPN, Cisco AnyConnect web mode) radi kroz standardni port 443 i browser. Ne treba poseban klijent → lakše za remote korisnike. IPsec zahtijeva klijentski softver ali bolje skalira za site-to-site.

32802.1X standard koristi se za?jedan odgovor

Kriptiranje Wi-Fi prometa Port-based Network Access Control — autentifikacija uređaja/korisnika prije mrežnog pristupa Automatsku dodjelu IP adresa VLAN trunking između switcheva

802.1X = port-based NAC. Uređaj se mora autentificirati (EAP + RADIUS) PRIJE nego dobije pristup mreži. Supplicant (klijent) ↔ Authenticator (switch/AP) ↔ Authentication Server (RADIUS).

33IPS za razliku od IDS-a?jedan odgovor

Samo detektira napade, ne blokira Može aktivno blokirati / odbaciti zlonamjerni promet u realnom vremenu Analizira samo web promet Radi isključivo na krajnjim uređajima

IDS (Intrusion Detection System) detektira i alarmira. IPS (Intrusion Prevention System) je "inline" i može aktivno blokirati promet. IPS je skuplji i može uzrokovati false-positive blokadu legitimnog prometa.

34WAF (Web Application Firewall) specificno štiti od?jedan odgovor

DDoS napada na OSI L3/L4 Malwarea na krajnjim uređajima Napada na web aplikacije — XSS, SQLi, CSRF Fizičkih napada na mrežnu infrastrukturu

WAF inspicira HTTP/HTTPS promet i filtrira zahtjeve koji sadrže poznate web napadačke obrasce (OWASP Top 10). Standardni firewall ne razumije aplikacijski kontekst HTTP-a.

35Next-Generation Firewall (NGFW) u odnosu na tradicionalni stateful firewall?jedan odgovor

Radi samo na L3/L4 razini Isključivo koristi statičke ACL-ove Uključuje DPI, user identity awareness, aplikacijsku kontrolu i IPS Brži ali bez IPS mogućnosti

NGFW dodaje Deep Packet Inspection (DPI), identifikaciju aplikacije (čak i na nestandardnim portovima), user identity i integrirani IPS. Primjeri: Palo Alto PA serija, Cisco Firepower.

36Koji je primarni sigurnosni razlog postavljanja web servera u DMZ?jedan odgovor

Ubrzavanje web pristupa korisnicima Smanjivanje troška vatrozida Izolacija javno dostupnih servera od interne mreže — kompromitacija web servera ne ugrozava internu mrežu Povećanje bandwidth-a za web promet

DMZ = demilitarizirana zona između vanjskog i unutarnjeg vatrozida. Javno dostupni serveri (web, email, DNS) stavljaju se u DMZ — čak i ako napadač kompromitira web server, ne može direktno dosegnuti internu mrežu.

37VLAN (Virtual LAN) primarno pruža?jedan odgovor

Kriptiranje prometa između switcheva Logičku segmentaciju mreže neovisno o fizičkoj topologiji Automatsku dodjelu IP adresa Mrežnu redundanciju

VLAN dijeli fizički switch na više logičkih broadcast domena. Promet između VLAN-ova mora proći kroz router/L3 switch gdje se mogu primijeniti sigurnosna pravila.

38Load balancer u kontekstu sigurnosti pruža?jedan odgovor

Jedino povećanje performansi bez sigurnosnih benefita Enkripciju prometa između klijenata i servera High availability i otpornost na DDoS distribucijom prometa na više servera Centraliziranu autentifikaciju korisnika

Load balancer = availability kontrola. Distribuira promet na više backend servera → ako jedan padne, drugi preuzimaju. Otežava DDoS jer je veće "ciljno područje". Može i terminirati SSL (SSL offloading).

39Koji protokol se koristi za siguran udaljeni pristup CLI sučelju mrežnih uređaja?jedan odgovor

Telnet RDP SSH (Secure Shell) FTP

SSH enkriptira svu komunikaciju uključujući autentifikacijske podatke. Telnet šalje sve u plaintextu — zastario i nesiguran. SSH port 22, Telnet port 23.

40Organizacija uvodi Network Access Control (NAC) sustav koji provjerava uređaje pri spajanju na mrežu. Što se mjeri?studija slučaja

Samo korisnička vjerodajnica Samo MAC adresa uređaja Posture (stanje) uređaja — verzija OS-a, antivirusne definicije, patch razina, enkripcija diska Samo IP adresa uređaja

NAC posture assessment verificira zdravlje uređaja (patch razina, AV, disk enkripcija, firewall status). Uređaji koji ne zadovoljavaju uvjete dobivaju ograničen pristup (remediation VLAN).