Mikrosegmentasi dan Perimeter yang Ditentukan Perangkat Lunak

Dalam jaringan datar, setelah penyerang memperoleh akses ke satu titik akhir, mereka dapat berkomunikasi secara bebas dengan hampir semua sistem lainnya. Hal ini memungkinkan pergerakan lateral dengan cepat — teknik yang digunakan penyerang untuk berpindah dari stasiun kerja yang disusupi ke server sensitif, pengontrol domain, dan penyimpanan data. Segmentasi mikro secara langsung mengatasi masalah ini dengan membagi jaringan menjadi zona-zona kecil yang terisolasi.

Segmentasi mikro membagi jaringan menjadi segmen-segmen terperinci tempat beban kerja hanya berkomunikasi dengan rekan yang secara eksplisit diotorisasi. Berbeda dari VLAN tradisional yang melakukan segmentasi pada tingkat kasar, segmentasi mikro menerapkan kebijakan pada tingkat beban kerja atau aplikasi — sering kali hingga ke kontainer atau mesin virtual individual. Lalu lintas ditolak secara bawaan, dan hanya aliran yang diizinkan yang dapat lewat secara eksplisit.

Lalu lintas jaringan mengalir dalam dua arah. Lalu lintas utara-selatan mengalir antara pengguna/internet dan sumber daya internal (vertikal). Lalu lintas timur-barat mengalir antara beban kerja di dalam pusat data (horizontal). Firewall tradisional terutama memeriksa lalu lintas utara-selatan. Segmentasi mikro berfokus pada lalu lintas timur-barat — jalur yang digunakan penyerang untuk berpindah antarsistem internal setelah kompromi awal.

Software-Defined Networking (SDN) memisahkan bidang kendali (keputusan tentang tujuan lalu lintas) dari bidang data (penerusan paket yang sebenarnya). Pengontrol SDN terpusat memprogram perangkat jaringan dengan aturan penerusan, sehingga segmentasi mikro dapat diterapkan dalam perangkat lunak tanpa mengonfigurasi ulang switch fisik. Hal ini membuat perubahan kebijakan menjadi cepat, konsisten, dan dapat diaudit di lingkungan berskala besar.

Software-Defined Perimeter (SDP) membuat sumber daya jaringan tidak terlihat secara bawaan — sumber daya tersebut tidak merespons upaya koneksi yang belum diautentikasi. Pengguna terlebih dahulu melakukan autentikasi ke pengontrol SDP, yang memeriksa identitas dan postur perangkat, lalu membuat terowongan terenkripsi secara dinamis hanya ke sumber daya tertentu yang boleh diakses oleh pengguna tersebut. Hal ini menghilangkan pengintaian tingkat jaringan dan jalur pergerakan lateral.

Zero Trust Network Access (ZTNA) adalah kategori produk yang menerapkan konsep SDP. Berbeda dari VPN yang memberikan akses jaringan secara luas, ZTNA memberikan akses hanya ke aplikasi tertentu. Pengguna terhubung ke perantara ZTNA yang mengautentikasi identitas dan perangkat, lalu memproksikan koneksi ke aplikasi target. Implementasi populer mencakup Cloudflare Access, Zscaler Private Access, dan Palo Alto Prisma Access.

Platform cloud menyediakan alat segmentasi mikro native. AWS Security Groups memungkinkan aturan masuk dan keluar yang terperinci untuk setiap instans EC2. Azure NSGs (Network Security Groups) diterapkan pada tingkat subnet atau NIC. Google VPC Firewall Rules dapat dibatasi berdasarkan tag. Semuanya beroperasi menggunakan model penolakan implisit — hanya lalu lintas yang diizinkan secara eksplisit yang dapat mengalir, sehingga alat-alat tersebut menjadi komponen dasar alami untuk segmentasi mikro di lingkungan cloud.

Di lingkungan berbasis kontainer, service mesh seperti Istio dan Linkerd menerapkan segmentasi mikro melalui TLS mutual (mTLS) di antara pod. Setiap panggilan antarlayanan diautentikasi dan dienkripsi, dan kebijakan otorisasi secara eksplisit menentukan layanan mana yang boleh berkomunikasi. Hal ini memperluas kendali Zero Trust timur-barat hingga ke setiap layanan mikro dalam klaster Kubernetes.

Segmentasi jaringan tradisional menggunakan VLAN, DMZ, dan subnet untuk membuat zona keamanan yang luas. Segmentasi mikro jauh lebih terperinci — kebijakan diterapkan pada tingkat beban kerja atau proses, bukan tingkat subnet. Sebuah VLAN mungkin berisi 50 server yang semuanya dipercaya untuk berkomunikasi; segmentasi mikro memastikan bahwa hanya server tertentu dalam VLAN tersebut yang dapat menjangkau port tertentu pada rekan tertentu, sehingga jalur pergerakan lateral menyusut secara drastis.

Segmentasi mikro yang efektif memerlukan visibilitas menyeluruh terhadap aliran jaringan yang ada sebelum kebijakan diterapkan. Alat penemuan memetakan pola komunikasi aktual antarbeban kerja. Pendekatan umum adalah menerapkan mode pemantauan terlebih dahulu — mengamati semua lalu lintas dan membuat kebijakan yang diusulkan — lalu beralih ke mode penegakan untuk menolak aliran yang tidak diotorisasi. Hal ini mencegah terblokirnya lalu lintas yang sah secara tidak sengaja selama penerapan.

Manfaat keamanan utama segmentasi mikro adalah mengurangi radius dampak. Jika penyerang menyusupi stasiun kerja dalam VLAN penjualan, kebijakan segmentasi mikro mencegah stasiun kerja tersebut berkomunikasi dengan basis data keuangan, sistem HR, atau pengontrol domain. Penyerang tetap terisolasi di segmen tempat mereka masuk, sehingga insiden lebih mudah dikendalikan dan dipulihkan sebelum kerusakan meluas.

Uji pemahaman Anda tentang konsep CompTIA Security+ (SY0-701) dari pelajaran ini.

Dalam pelajaran ini, Anda telah mempelajari bahwa micro-segmentation membagi Networks pada tingkat Workloads untuk membatasi pergerakan lateral, perimeter yang ditentukan oleh perangkat lunak membuat sumber daya tidak terlihat sampai Identity diverifikasi, dan ZTNA menggantikan VPN dengan memberikan akses pada tingkat aplikasi, bukan pada tingkat Networks. Selanjutnya, kita akan membahas bagaimana Identity menjadi perimeter baru melalui kebijakan akses bersyarat.