Verkon segmentointi ja vyöhykkeet

VLANit (Virtual Local Area Networks) ovat yleisin segmentointityökalu. Yksi kytkin voi sisältää useita VLANeja, joista jokainen muodostaa oman broadcast-toimialueensa. Näin esimerkiksi henkilöstö, vieraat ja palvelimet voidaan erottaa toisistaan, vaikka ne käyttävät samaa laitteistoa.

Eri VLANeissa olevat laitteet eivät voi keskustella suoraan keskenään, vaan liikenteen on kuljettava reitittimen tai palomuurin kautta. Juuri siellä segmenttien väliset tietoturvasäännöt otetaan käyttöön.

Jokaiselle segmentille määritetään yleensä oma IP-aliverkko. Aliverkkojen välillä siirryttäessä liikenteen on kuljettava reitittimen tai 3. kerroksen kytkimen kautta. Se on luonteva pullonkaula, jossa käytännöt voidaan panna täytäntöön.

Kohdistamalla VLANit aliverkkoihin ja hallitsemalla niiden välistä reititystä päätätte tarkasti, mitkä segmentit voivat keskustella keskenään ja millä porteilla. Näin muodostuvat valvottavat rajat.

Verkot järjestetään usein eri luottamustasoja edustaviin vyöhykkeisiin:

• Luotettu/sisäinen: suojattu yrityksen LAN.
• Luottamaton/ulkoinen: internet.
• DMZ (Demilitarized Zone): julkisten palvelinten puoliksi luotettu puskurialue.

Palomuurit sijaitsevat vyöhykkeiden välissä ja varmistavat, että liikenne kulkee vain hyväksyttyihin suuntiin ja hyväksytyissä porteissa.

DMZ sisältää palvelimet, joihin on voitava muodostaa yhteys internetistä, kuten web- ja sähköpostipalvelimet, erillään sisäverkosta. Jos julkinen palvelin vaarantuu, hyökkääjä jää DMZ-alueelle eikä pääse luotettuun LAN-verkkoon.

Palomuurisäännöt sallivat internetistä yhteydet DMZ-alueelle tietyissä porteissa, mutta rajoittavat tiukasti DMZ-alueelta sisäverkkoon aloitettavia yhteyksiä.

Mikrosegmentointi vie ajatuksen äärimmilleen: muutaman suuren vyöhykkeen sijaan eristetään yksittäisiä työkuormia tai jopa yksittäisiä laitteita ja hallitaan niiden välistä liikennettä.

Datakeskuksissa ja nollaluottamusarkkitehtuureissa yleinen malli tarkoittaa, että jopa kahden samalla alueella olevan palvelimen viestintä on erikseen sallittava. Tämä rajoittaa sivuttaisliikettä merkittävästi, koska mikään laite ei oletusarvoisesti luota naapureihinsa.

Segmentointi tuo kaksi käytännön hyötyä: sijoittakaa vieras-Wi-Fi omaan segmenttiinsä, jotta vieraat pääsevät internetiin mutta eivät koskaan sisäjärjestelmiinne, ja eristäkää IoT-laitteet (Internet of Things), kuten kamerat ja älykkäät anturit, jotka ovat usein tietoturvaltaan heikkoja.

Kun nämä luottamattomat laitteet pidetään erillään pääverkosta, murretusta kamerasta ei voi tulla kulkuväylää arkaluonteisiin järjestelmiinne.

Säädökset edellyttävät usein segmentointia. Esimerkiksi PCI DSS (Payment Card Industry Data Security Standard) vaatii, että maksukorttitietoja käsittelevät järjestelmät eristetään muusta verkosta.

Vaatimusten piiriin kuuluvien järjestelmien segmentointi parantaa tietoturvaa ja pienentää aluetta, joka auditoijien on tutkittava. Näin vaatimustenmukaisuudesta tulee yksinkertaisempaa ja edullisempaa, samalla kun arkaluonteisimmat tiedot pysyvät suojattuina.

Pelkkä segmentointi ei hyödytä mitään ilman valvontaa. Rajapinnoissa olevat palomuurit ja ACL:t (Access Control Lists) päättävät, mikä liikenne saa ylittää rajan. Oletuksena kaiken liikenteen tulee olla estettyä: estäkää kaikki ja sallikaa vain nimenomaisesti tarvittava liikenne.

Kun tämä oletusarvoisesti estävä toimintatapa otetaan käyttöön jokaisella segmenttirajalla, verkon jaot muuttuvat kaavion viivoista todellisiksi tietoturvaesteiksi.

Segmentointi jakaa verkon VLANeihin, aliverkkoihin ja luottamusvyöhykkeisiin, jotta ongelmat pysyvät rajattuina. DMZ suojaa julkisia palvelimia, mikrosegmentointi eristää yksittäiset työkuormat, ja vieras- sekä IoT-verkot pitävät luottamattomat laitteet erillään. Palomuurit ja ACL:t, joiden käytäntönä on oletusarvoinen esto, valvovat näitä rajoja ja rajoittavat hyökkäyksen leviämistä.

Segmentointi jakaa verkon eristetyiksi osiksi (VLANien ja aliverkkojen avulla), jotta hyökkäykset voidaan rajata ja niiden vaikutusaluetta pienentää. Tietoturvavyöhykkeet, kuten luotetut, luottamattomat ja DMZ, erottavat eri luottamustasot, kun taas mikrosegmentointi eristää yksittäiset työkuormat. Palomuurit ja ACL:t valvovat rajoja oletusarvoisesti estävällä käytännöllä ja tukevat vaatimustenmukaisuutta.