Segmentacja sieci i strefy

Segmentacja sieci dzieli jedną dużą sieć na mniejsze, odizolowane części. Zamiast umożliwiać każdemu urządzeniu swobodne łączenie się z każdym innym, kontroluje i filtruje ruch między segmentami.

Najważniejsze korzyści to bezpieczeństwo (atak w jednym segmencie nie może łatwo rozprzestrzenić się dalej), wydajność (mniejszy ruch rozgłoszeniowy w każdym segmencie) oraz łatwiejsze zarządzanie. Segmentacja ogranicza problemy, zamiast pozwalać im rozprzestrzeniać się w całej sieci.

Płaska sieć, w której wszystko jest ze sobą połączone, jest wygodna, ale niebezpieczna: złośliwe oprogramowanie lub napastnik, który pojawi się w dowolnym miejscu, może dotrzeć wszędzie. Segmentacja ogranicza zasięg rażenia, czyli obszar, na który może wpłynąć incydent.

Jeśli stacja robocza w segmencie biurowym zostanie zainfekowana, segmentacja uniemożliwi jej bezpośredni dostęp do serwerów, kamer czy systemów sterowania budynkiem, zyskując czas na wykrycie zagrożenia i reakcję.

VLAN-y (Virtual Local Area Networks) są najczęściej używanym narzędziem segmentacji. Jeden przełącznik może obsługiwać kilka sieci VLAN, z których każda stanowi własną domenę rozgłoszeniową, oddzielając na przykład pracowników, gości i serwery, mimo że korzystają ze wspólnego sprzętu.

Urządzenia w różnych sieciach VLAN nie mogą komunikować się bezpośrednio; ich ruch musi przejść przez router lub firewall — właśnie tam stosuje się reguły bezpieczeństwa między segmentami.

Każdy segment zazwyczaj otrzymuje własną pods ieć IP. Aby przejść między podsieciami, ruch musi przekroczyć router lub przełącznik warstwy 3, czyli naturalny punkt kontrolny, w którym można egzekwować zasady.

Dopasowując sieci VLAN do podsieci i kontrolując routing między nimi, decydują Państwo dokładnie, które segmenty mogą komunikować się ze sobą oraz za pośrednictwem których portów, tworząc egzekwowalne granice.

Sieci często organizuje się w strefy o różnym poziomie zaufania:

• Zaufana/wewnętrzna: chroniona firmowa sieć LAN.
• Niezaufana/zewnętrzna: internet.
• DMZ (Demilitarized Zone): częściowo zaufana strefa buforowa dla serwerów dostępnych publicznie.

Firewalle znajdują się między strefami i egzekwują zasady, zgodnie z którymi ruch może przepływać wyłącznie w zatwierdzonych kierunkach i przez zatwierdzone porty.

DMZ zawiera serwery, które muszą być dostępne z internetu, takie jak serwery WWW i poczty elektronicznej, w strefie oddzielonej od sieci wewnętrznej. Jeśli publiczny serwer zostanie przejęty, napastnik pozostaje w DMZ, a nie wewnątrz zaufanej sieci LAN.

Reguły firewalla pozwalają internetowi łączyć się z DMZ przez określone porty, ale ściśle ograniczają możliwość inicjowania przez DMZ połączeń z siecią wewnętrzną.

Mikrosegmentacja posuwa tę ideę do skrajności: zamiast kilku dużych stref izoluje się poszczególne obciążenia, a nawet pojedyncze urządzenia, kontrolując ruch między każdym z nich.

Stosowana często w centrach danych i projektach opartych na zero trust oznacza, że nawet dwa serwery znajdujące się w tym samym obszarze muszą mieć wyraźne zezwolenie na komunikację. Znacznie ogranicza to ruch boczny, ponieważ domyślnie nic nie ufa swoim sąsiadom.

Dwie praktyczne korzyści z segmentacji to umieszczenie gościnnej sieci Wi-Fi w osobnym segmencie, aby odwiedzający mieli dostęp do internetu, ale nigdy do systemów wewnętrznych, oraz odizolowanie urządzeń IoT (Internet of Things), takich jak kamery i inteligentne czujniki, które często są słabo zabezpieczone.

Trzymanie tych niezaufanych urządzeń poza główną siecią oznacza, że przejęta kamera nie może stać się drogą dostępu do poufnych systemów.

Przepisy często wymagają segmentacji. Na przykład standard PCI DSS (Payment Card Industry Data Security Standard) wymaga, aby systemy przetwarzające dane kart były odizolowane od reszty sieci.

Segmentacja systemów objętych zakresem zarówno zwiększa bezpieczeństwo, jak i zmniejsza obszar, który muszą zbadać audytorzy, upraszczając i obniżając koszt zapewnienia zgodności, a jednocześnie chroniąc najbardziej wrażliwe dane.

Same segmenty niczego nie zapewniają bez egzekwowania zasad. Firewalle i ACL (Access Control Lists) na granicach decydują, jaki ruch może je przekraczać. Domyślnie należy odmawiać: blokować wszystko, a następnie zezwalać wyłącznie na to, co jest wyraźnie potrzebne.

Takie podejście domyślnej odmowy, stosowane na każdej granicy segmentu, zmienia podziały sieci w rzeczywiste bariery bezpieczeństwa, a nie tylko linie na diagramie.

Segmentacja dzieli sieć na sieci VLAN, podsieci i strefy zaufania, dzięki czemu problemy pozostają ograniczone. DMZ chroni publiczne serwery, mikrosegmentacja izoluje poszczególne obciążenia, a sieci gościnne i IoT oddzielają niezaufane urządzenia. Firewalle i ACL z zasadą domyślnej odmowy egzekwują te granice, ograniczając zasięg każdego ataku.

Sprawdź swoją wiedzę na temat segmentacji.

Segmentacja dzieli sieć na odizolowane części (za pomocą sieci VLAN i podsieci), aby ograniczać ataki i ich zasięg rażenia. Strefy bezpieczeństwa, takie jak zaufana, niezaufana i DMZ, oddzielają poziomy zaufania, a mikrosegmentacja izoluje poszczególne obciążenia. Firewalle i ACL z zasadą domyślnej odmowy egzekwują granice i pomagają zachować zgodność z przepisami.