Nettverkssegmentering og soner

VLAN-er (Virtual Local Area Networks) er det vanligste verktøyet for segmentering. Én enkelt svitsj kan ha flere VLAN-er, der hvert VLAN er sitt eget broadcast-domene. På denne måten kan for eksempel ansatte, gjester og servere holdes atskilt selv om de deler maskinvare.

Enheter i ulike VLAN-er kan ikke kommunisere direkte. Trafikken må gå gjennom en ruter eller brannmur, som nettopp er stedet der du bruker sikkerhetsregler mellom segmentene.

Hvert segment får vanligvis sitt eget IP-subnett. For å bevege seg mellom subnett må trafikken gå gjennom en ruter eller en lag 3-svitsj, som er det naturlige kontrollpunktet der du håndhever retningslinjer.

Ved å samordne VLAN-er med subnett og kontrollere rutingen mellom dem bestemmer du nøyaktig hvilke segmenter som kan kommunisere med hverandre, og over hvilke porter. Slik oppretter du grenser som kan håndheves.

Nettverk organiseres ofte i soner med ulik grad av tillit:

• Pålitelig/internt: det beskyttede bedriftsnettverket.
• Upålitelig/eksternt: internett.
• DMZ (Demilitarized Zone): en halvveis pålitelig buffersone for offentlig tilgjengelige servere.

Brannmurer står mellom sonene og håndhever at trafikk bare flyter i godkjente retninger og over godkjente porter.

En DMZ inneholder servere som må være tilgjengelige fra internett, for eksempel web- og e-postservere, i en sone som er atskilt fra det interne nettverket. Hvis en offentlig server blir kompromittert, er angriperen begrenset til DMZ-en og kommer ikke inn i det pålitelige nettverket.

Brannmurregler lar internett nå DMZ-en på bestemte porter, men begrenser strengt DMZ-ens mulighet til å starte forbindelser inn i det interne nettverket.

Mikrosegmentering tar ideen til det ytterste: I stedet for noen få store soner isolerer du individuelle arbeidsbelastninger eller til og med enkeltstående enheter, og kontrollerer trafikken mellom hver av dem.

Dette er vanlig i datasentre og zero trust-utforminger. Det betyr at selv to servere i samme område må ha uttrykkelig tillatelse til å kommunisere. Dette begrenser lateral bevegelse kraftig, siden ingenting stoler på naboene sine som standard.

To praktiske fordeler med segmentering er å plassere gjeste-Wi-Fi i sitt eget segment, slik at besøkende får tilgang til internett, men aldri til de interne systemene dine, og å isolere IoT-enheter (Internet of Things), for eksempel kameraer og smarte sensorer, som ofte har svak sikkerhet.

Når disse upålitelige enhetene holdes utenfor hovednettverket, kan ikke et hacket kamera bli en inngangsport til de sensitive systemene dine.

Regelverk krever ofte segmentering. PCI DSS (Payment Card Industry Data Security Standard) krever for eksempel at systemer som håndterer kortdata, isoleres fra resten av nettverket.

Ved å segmentere systemene som omfattes, forbedrer du både sikkerheten og reduserer området revisorene må undersøke. Det gjør det enklere og billigere å oppfylle kravene, samtidig som de mest sensitive dataene beskyttes.

Segmenter alene gjør ingenting uten håndheving. Brannmurer og ACL-er (Access Control Lists) ved grensene avgjør hvilken trafikk som kan krysse dem. Standardinnstillingen bør være å nekte: blokker alt, og tillat deretter bare det som uttrykkelig er nødvendig.

Denne standardinnstillingen med avslag, brukt ved hver segmentgrense, gjør nettverksinndelinger til reelle sikkerhetsbarrierer i stedet for linjer på et diagram.

Segmentering deler et nettverk inn i VLAN-er, subnett og tillitssoner, slik at problemer holdes innesperret. En DMZ beskytter offentlige servere, mikrosegmentering isolerer individuelle arbeidsbelastninger, og gjeste- og IoT-nettverk holder upålitelige enheter atskilt. Brannmurer og ACL-er med en standardregel om å nekte håndhever disse grensene og begrenser hvor langt et angrep kan spre seg.

Segmentering deler et nettverk inn i isolerte deler (via VLAN-er og subnett) for å begrense angrep og skadeomfang. Sikkerhetssoner som pålitelige, upålitelige og DMZ skiller ulike tillitsnivåer, mens mikrosegmentering isolerer individuelle arbeidsbelastninger. Brannmurer og ACL-er med en standardregel om å nekte håndhever grensene og bidrar til at kravene overholdes.