Mikrosegmentering og programvaredefinerte perimetere

I et flatt nettverk kan en angriper som først får tilgang til ett endepunkt, kommunisere fritt med nesten alle andre systemer. Dette muliggjør rask lateral bevegelse — teknikken angripere bruker for å gå fra en kompromittert arbeidsstasjon til sensitive servere, domenekontrollere og datalagre. Mikrosegmentering løser dette direkte ved å dele nettverket inn i små, isolerte soner.

Mikrosegmentering deler nettverket inn i finmaskede segmenter der arbeidsbelastninger bare kommuniserer med eksplisitt autoriserte motparter. I motsetning til tradisjonelle VLAN-er, som segmenterer på et overordnet nivå, bruker mikrosegmentering policyer på arbeidsbelastnings- eller programnivå — ofte helt ned til individuelle containere eller virtuelle maskiner. Trafikk avslås som standard, og bare tillatte dataflyter tillates eksplisitt.

Nettverkstrafikk går i to retninger. Nord-sør-trafikk går mellom brukere/internett og interne ressurser (vertikalt). Øst-vest-trafikk går mellom arbeidsbelastninger inne i datasenteret (horisontalt). Tradisjonelle brannmurer inspiserer hovedsakelig nord-sør-trafikk. Mikrosegmentering fokuserer på øst-vest-trafikk — veien angripere bruker for å bevege seg mellom interne systemer etter det første kompromitteringen.

Software-Defined Networking (SDN) skiller kontrollplanet (beslutninger om hvor trafikken skal gå) fra dataplanet (den faktiske videresendingen av pakker). En sentralisert SDN-kontroller programmerer nettverksenheter med videresendingsregler, slik at mikrosegmentering kan implementeres i programvare uten å konfigurere fysiske svitsjer på nytt. Dette gjør policyendringer raske, konsekvente og etterprøvbare i store miljøer.

En Software-Defined Perimeter (SDP) gjør nettverksressurser usynlige som standard — de svarer ikke på uautentiserte tilkoblingsforsøk. Brukere autentiserer seg først mot en SDP-kontroller, som kontrollerer identitet og enhetens sikkerhetsstatus, og oppretter deretter dynamisk en kryptert tunnel bare til de spesifikke ressursene brukerne har tilgang til. Dette fjerner mulighetene for rekognosering på nettverksnivå og lateral bevegelse.

Zero Trust Network Access (ZTNA) er produktkategorien som implementerer SDP-konsepter. I motsetning til en VPN, som gir bred nettverkstilgang, gir ZTNA tilgang til bare bestemte programmer. Brukeren kobler seg til en ZTNA-megler som autentiserer identiteten og enheten, og videresender deretter tilkoblinger til målprogrammet. Populære implementasjoner inkluderer Cloudflare Access, Zscaler Private Access, and Palo Alto Prisma Access.

Skyplattformer tilbyr innebygde verktøy for mikrosegmentering. AWS Security Groups gjør det mulig å definere presise innkommende og utgående regler per EC2-instans. Azure NSGs (Network Security Groups) brukes på subnett- eller NIC-nivå. Google VPC Firewall Rules kan avgrenses etter tagger. Alle fungerer etter en implisitt-avslå-modell — bare eksplisitt tillatt trafikk slipper gjennom, noe som gjør dem til naturlige byggesteiner for mikrosegmentering i skymiljøer.

I containeriserte miljøer implementerer service meshes som Istio og Linkerd mikrosegmentering gjennom gjensidig TLS (mTLS) mellom pods. Hvert tjeneste-til-tjeneste-kall autentiseres og krypteres, og autorisasjonspolicyer definerer eksplisitt hvilke tjenester som kan kommunisere. Dette utvider Zero Trust-kontroller for øst-vest-trafikk helt ned til individuelle mikrotjenester i Kubernetes-klynger.

Tradisjonell nettverkssegmentering bruker VLAN-er, DMZ-er og subnett for å opprette brede sikkerhetssoner. Mikrosegmentering er langt mer finmasket — policyene brukes på arbeidsbelastnings- eller prosessnivå, ikke på subnett-nivå. Et VLAN kan inneholde 50 servere som alle har tillit til å kommunisere med hverandre; mikrosegmentering sørger for at bare bestemte servere i dette VLAN-et kan nå bestemte porter på bestemte motparter, noe som reduserer mulighetene for lateral bevegelse betydelig.

Effektiv mikrosegmentering krever omfattende oversikt over eksisterende nettverksdataflyter før policyer tas i bruk. Kartleggingsverktøy viser de faktiske kommunikasjonsmønstrene mellom arbeidsbelastninger. En vanlig fremgangsmåte er å starte i overvåkingsmodus — observere all trafikk og generere foreslåtte policyer — og deretter bytte til håndhevingsmodus for å avvise uautoriserte dataflyter. Dette hindrer at legitim trafikk blokkeres ved et uhell under utrullingen.

Den viktigste sikkerhetsfordelen ved mikrosegmentering er redusert skadeomfang. Hvis en angriper kompromitterer en arbeidsstasjon i salgs-VLAN-et, hindrer mikrosegmenteringspolicyer arbeidsstasjonen i å kommunisere med økonomidatabasen, HR-systemet eller domenekontrollere. Angriperen forblir isolert til segmentet vedkommende fikk tilgang til, noe som gjør hendelsen enklere å begrense og utbedre før det oppstår omfattende skade.

I denne leksjonen har De lært at mikrosegmentering deler opp nettverk på arbeidsbelastningsnivå for å begrense lateral bevegelse, at programvaredefinerte perimetre gjør ressurser usynlige inntil identiteten er bekreftet, og at ZTNA erstatter VPN-er ved å gi tilgang på applikasjonsnivå i stedet for nettverksnivå. Deretter skal vi se på hvordan identitet blir det nye perimetret gjennom policyer for betinget tilgang.