Mikrosegmentacja i perymetry definiowane programowo

W płaskiej sieci napastnik, który uzyska dostęp do jednego punktu końcowego, może swobodnie komunikować się z niemal każdym innym systemem. Umożliwia to szybki ruch boczny — technikę, za pomocą której napastnicy przechodzą ze skompromitowanej stacji roboczej do wrażliwych serwerów, kontrolerów domeny i magazynów danych. Mikrosegmentacja bezpośrednio rozwiązuje ten problem, dzieląc sieć na małe, odizolowane strefy.

Mikrosegmentacja dzieli sieć na szczegółowe segmenty, w których obciążenia komunikują się wyłącznie z jawnie autoryzowanymi elementami równorzędnymi. W przeciwieństwie do tradycyjnych sieci VLAN, które segmentują sieć na dużym poziomie ogólności, mikrosegmentacja stosuje zasady na poziomie obciążenia lub aplikacji — często aż do poziomu pojedynczych kontenerów lub maszyn wirtualnych. Ruch jest domyślnie odrzucany, a dozwolone są wyłącznie jawnie dopuszczone przepływy.

Ruch sieciowy przepływa w dwóch kierunkach. Ruch północ-południe przepływa między użytkownikami lub internetem a zasobami wewnętrznymi (pionowo). Ruch wschód-zachód przepływa między obciążeniami wewnątrz centrum danych (poziomo). Tradycyjne zapory sieciowe sprawdzają głównie ruch północ-południe. Mikrosegmentacja koncentruje się na ruchu wschód-zachód — ścieżce wykorzystywanej przez napastników do przemieszczania się między systemami wewnętrznymi po początkowym przejęciu.

Software-Defined Networking (SDN) oddziela płaszczyznę sterowania (decyzje dotyczące kierowania ruchem) od płaszczyzny danych (faktyczne przekazywanie pakietów). Scentralizowany kontroler SDN programuje urządzenia sieciowe za pomocą reguł przekazywania, dzięki czemu mikrosegmentację można wdrażać programowo, bez rekonfigurowania przełączników fizycznych. Umożliwia to szybkie, spójne i możliwe do skontrolowania zmiany zasad w dużych środowiskach.

Programowo definiowany obwód (SDP) sprawia, że zasoby sieciowe są domyślnie niewidoczne — nie odpowiadają na nieuwierzytelnione próby połączenia. Użytkownicy najpierw uwierzytelniają się w kontrolerze SDP, który sprawdza tożsamość i stan urządzenia, a następnie dynamicznie tworzy zaszyfrowany tunel wyłącznie do konkretnych zasobów, do których mają uprawnienia. Eliminuje to możliwości rozpoznania sieci na poziomie sieci oraz ścieżki ruchu bocznego.

Zero Trust Network Access (ZTNA) to kategoria produktów, która implementuje koncepcje SDP. W przeciwieństwie do sieci VPN, która zapewnia szeroki dostęp do sieci, ZTNA zapewnia dostęp wyłącznie do konkretnych aplikacji. Użytkownik łączy się z brokerem ZTNA, który uwierzytelnia tożsamość i urządzenie, a następnie pośredniczy w połączeniu z docelową aplikacją. Popularne implementacje obejmują Cloudflare Access, Zscaler Private Access i Palo Alto Prisma Access.

Platformy chmurowe oferują natywne narzędzia do mikrosegmentacji. AWS Security Groups umożliwiają precyzyjne definiowanie reguł ruchu przychodzącego i wychodzącego dla każdej instancji EC2. Azure NSGs (Network Security Groups) stosują reguły na poziomie podsieci lub interfejsu NIC. Google VPC Firewall Rules mogą być ograniczane za pomocą tagów. Wszystkie działają zgodnie z modelem domyślnej odmowy — przepuszczany jest wyłącznie jawnie dozwolony ruch, co czyni je naturalnymi elementami budulcowymi mikrosegmentacji w środowiskach chmurowych.

W środowiskach kontenerowych service mesh, takie jak Istio i Linkerd, implementują mikrosegmentację za pomocą wzajemnego TLS (mTLS) między podami. Każde wywołanie między usługami jest uwierzytelniane i szyfrowane, a zasady autoryzacji jawnie określają, które usługi mogą się komunikować. Rozszerza to mechanizmy kontroli Zero Trust ruchu wschód-zachód aż do pojedynczych mikrousług w klastrach Kubernetes.

Tradycyjna segmentacja sieci wykorzystuje sieci VLAN, strefy DMZ i podsieci do tworzenia szerokich stref bezpieczeństwa. Mikrosegmentacja jest znacznie bardziej szczegółowa — zasady stosuje się na poziomie obciążenia lub procesu, a nie podsieci. Sieć VLAN może zawierać 50 serwerów, którym ufa się na tyle, aby mogły się ze sobą komunikować; mikrosegmentacja gwarantuje, że tylko określone serwery w tej sieci VLAN mogą łączyć się z określonymi portami konkretnych elementów równorzędnych, znacznie skracając ścieżki ruchu bocznego.

Skuteczna mikrosegmentacja wymaga pełnej widoczności istniejących przepływów sieciowych przed zastosowaniem zasad. Narzędzia do wykrywania mapują rzeczywiste wzorce komunikacji między obciążeniami. Typowym podejściem jest najpierw wdrożenie trybu monitorowania — obserwowanie całego ruchu i generowanie proponowanych zasad — a następnie przełączenie na tryb wymuszania w celu odrzucania niedozwolonych przepływów. Zapobiega to przypadkowemu blokowaniu prawidłowego ruchu podczas wdrażania.

Podstawową korzyścią mikrosegmentacji dla bezpieczeństwa jest ograniczenie zasięgu incydentu. Jeśli napastnik przejmie stację roboczą w sieci VLAN działu sprzedaży, zasady mikrosegmentacji uniemożliwią jej komunikację z bazą danych działu finansowego, systemem HR lub kontrolerami domeny. Napastnik pozostanie odizolowany w segmencie, do którego uzyskał dostęp, dzięki czemu łatwiej będzie opanować incydent i usunąć jego skutki, zanim dojdzie do rozległych szkód.

Sprawdź swoją wiedzę na temat zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji dowiedziałeś się, że: mikrosegmentacja dzieli sieci na poziomie obciążeń, aby ograniczyć przemieszczanie się atakującego w sieci, perymetry definiowane programowo sprawiają, że zasoby są niewidoczne do momentu zweryfikowania tożsamości, a ZTNA zastępuje sieci VPN, przyznając dostęp na poziomie aplikacji, a nie sieci. Następnie omówimy, jak tożsamość staje się nową granicą dzięki zasadom dostępu warunkowego.