Segmentasi Jaringan dan Zona

Segmentasi jaringan membagi satu jaringan besar menjadi bagian-bagian yang lebih kecil dan terisolasi. Alih-alih setiap perangkat dapat menjangkau perangkat lain dengan bebas, lalu lintas di antara segmen dikendalikan dan difilter.

Manfaat utamanya adalah keamanan (serangan di satu segmen tidak dapat menyebar dengan mudah), kinerja (lebih sedikit lalu lintas siaran per segmen), dan pengelolaan yang lebih mudah. Segmentasi membatasi masalah agar tidak menyebar ke seluruh jaringan.

Jaringan datar yang menghubungkan semuanya memang praktis, tetapi berbahaya: perangkat lunak berbahaya atau penyerang yang berhasil masuk dari mana saja dapat menjangkau semuanya. Segmentasi membatasi radius dampak, yaitu area yang dapat terpengaruh oleh suatu insiden.

Jika sebuah komputer kerja di segmen kantor terinfeksi, segmentasi mencegahnya menjangkau server, kamera, atau kontrol gedung secara langsung, sehingga tersedia waktu untuk mendeteksi dan menanggapi insiden.

VLAN (Jaringan Area Lokal Virtual) adalah alat segmentasi yang paling umum. Satu switch dapat menampung beberapa VLAN, masing-masing sebagai domain siaran tersendiri, sehingga staf, tamu, dan server dapat dipisahkan meskipun menggunakan perangkat keras yang sama.

Perangkat di VLAN yang berbeda tidak dapat berkomunikasi secara langsung; lalu lintasnya harus melewati router atau firewall. Di situlah aturan keamanan antarsegen diterapkan.

Setiap segmen biasanya mendapatkan subnet IP sendiri. Untuk berpindah antar-subnet, lalu lintas harus melewati router atau switch lapisan 3, yaitu titik penyempitan alami tempat kebijakan diterapkan.

Dengan menyelaraskan VLAN dengan subnet dan mengendalikan perutean di antaranya, Anda dapat menentukan dengan tepat segmen mana yang boleh berkomunikasi, dengan segmen mana, dan melalui port apa, sehingga tercipta batas yang dapat ditegakkan.

Jaringan sering diatur ke dalam zona dengan tingkat kepercayaan yang berbeda:

• Tepercaya/internal: LAN perusahaan yang terlindungi.
• Tidak tepercaya/eksternal: internet.
• DMZ (Zona Demiliterisasi): penyangga yang cukup tepercaya untuk server yang dapat diakses publik.

Firewall ditempatkan di antara zona untuk memastikan lalu lintas hanya mengalir ke arah dan melalui port yang disetujui.

DMZ menampung server yang harus dapat dijangkau dari internet, seperti server web dan email, di zona yang terpisah dari jaringan internal. Jika server publik disusupi, penyerang akan terjebak di DMZ, bukan berada di dalam LAN tepercaya.

Aturan firewall memungkinkan internet menjangkau DMZ melalui port tertentu, tetapi sangat membatasi DMZ agar tidak memulai koneksi ke jaringan internal.

Segmentasi mikro menerapkan gagasan ini secara ekstrem: alih-alih menggunakan beberapa zona besar, Anda mengisolasi beban kerja individual atau bahkan satu perangkat, lalu mengendalikan lalu lintas di antara masing-masingnya.

Pendekatan ini umum digunakan di pusat data dan rancangan tanpa kepercayaan. Artinya, bahkan dua server di area yang sama harus diizinkan secara eksplisit untuk berkomunikasi. Hal ini sangat membatasi perpindahan lateral karena secara bawaan tidak ada perangkat yang mempercayai perangkat di sekitarnya.

Dua manfaat praktis segmentasi adalah menempatkan Wi-Fi tamu di segmennya sendiri agar pengunjung dapat mengakses internet tetapi tidak pernah menjangkau sistem internal Anda, serta mengisolasi perangkat IoT (Internet of Things) seperti kamera dan sensor pintar yang sering kali tidak aman.

Menjauhkan perangkat yang tidak tepercaya ini dari jaringan utama berarti kamera yang diretas tidak dapat menjadi pintu masuk ke sistem sensitif Anda.

Peraturan sering kali mewajibkan segmentasi. Misalnya, PCI DSS (Standar Keamanan Data Industri Kartu Pembayaran) mengharuskan sistem yang menangani data kartu diisolasi dari bagian jaringan lainnya.

Dengan melakukan segmentasi pada sistem yang termasuk dalam cakupan, keamanan meningkat dan area yang harus diperiksa auditor menjadi lebih kecil. Kepatuhan pun menjadi lebih sederhana dan murah, sekaligus melindungi data yang paling sensitif.

Segmen saja tidak berguna tanpa penegakan aturan. Firewall dan ACL (Daftar Kontrol Akses) di batas segmen menentukan lalu lintas mana yang boleh melintas. Bawaan yang seharusnya digunakan adalah menolak: blokir semuanya, lalu izinkan hanya yang benar-benar diperlukan.

Sikap penolakan secara bawaan ini, jika diterapkan di setiap batas segmen, mengubah pembagian jaringan menjadi penghalang keamanan nyata, bukan sekadar garis pada diagram.

Segmentasi membagi jaringan menjadi VLAN, subnet, dan zona kepercayaan agar masalah tetap terkendali. DMZ melindungi server publik, segmentasi mikro mengisolasi beban kerja individual, sementara jaringan tamu dan IoT memisahkan perangkat yang tidak tepercaya. Firewall dan ACL dengan kebijakan penolakan secara bawaan menegakkan batas-batas ini dan membatasi sejauh mana serangan dapat menyebar.

Uji pengetahuan Anda tentang segmentasi.

Segmentasi membagi jaringan menjadi bagian-bagian yang terisolasi (melalui VLAN dan subnet) untuk membatasi serangan dan radius dampak. Zona keamanan seperti zona tepercaya, tidak tepercaya, dan DMZ memisahkan tingkat kepercayaan, sedangkan segmentasi mikro mengisolasi beban kerja individual. Firewall dan ACL dengan penolakan secara bawaan menegakkan batas-batas tersebut dan membantu memenuhi kepatuhan.