Cyber Security Academy · Lekcja

Mikrosegmentacja i polityka sieciowa

Nauczy się Pan/Pani zastępować zapory perymetryczne strefami mikrosegmentowanymi i wymuszać dostęp sieciowy zgodny z zasadą najmniejszych uprawnień.

Mikrosegmentacja i polityka sieciowa to bezpłatna lekcja Cyber Security Academy na CoddyKit. To lekcja 3 z 4. Możesz przeczytać całą lekcję poniżej za darmo — a potem ćwiczyć ją interaktywnie w przeglądarce z wbudowanym edytorem kodu i tutorem AI dostępnym 24/7. To część ścieżki edukacyjnej Cyber Security Academy, a Twój postęp synchronizuje się między webem a aplikacją CoddyKit. Kurs Cyber Security Academy zawiera 4 lekcji w sumie.

Czym jest mikrosegmentacja

Mikrosegmentacja dzieli sieć na małe, odizolowane segmenty z precyzyjną kontrolą dostępu między nimi. W przeciwieństwie do tradycyjnej segmentacji VLAN na granicy sieci mikrosegmentacja egzekwuje zasady na poziomie pojedynczego obciążenia lub aplikacji.

Dlaczego mikrosegmentacja ma znaczenie

Gdy atakujący znajdzie się w płaskiej sieci, przemieszczanie się boczne nie jest ograniczone. Mikrosegmentacja ogranicza zakres potencjalnych szkód:

Przejęta stacja robocza nie może bezpośrednio połączyć się z bazą danych
W każdym segmencie dozwolona jest tylko niezbędna komunikacja
Ruch wschód-zachód jest poddawany inspekcji i kontrolowany

Ograniczenia tradycyjnej segmentacji

Tradycyjna segmentacja oparta na zaporze sieciowej:

Północ–południe: ruch między Internetem a DMZ — dobrze kontrolowany
Wschód–zachód: ruch między systemami wewnętrznymi — często płaski i niekontrolowany

Większość przypadków ruchu bocznego wykorzystuje zaufanie do ruchu wschód–zachód. Mikrosegmentacja eliminuje tę lukę.

Sieci definiowane programowo (SDN)

SDN rozdziela sterowanie siecią (oprogramowanie) od przekazywania danych (sprzęt). Umożliwia to programistyczne egzekwowanie zasad. Platformy mikrosegmentacji (Illumio, VMware NSX, Guardicore) wykorzystują zasady SDN do stosowania zasad na poziomie obciążeń roboczych.

Zasady sieciowe Kubernetes

W Kubernetes zasoby NetworkPolicies kontrolują komunikację między podami:

# Allow only frontend pods to reach backend on port 8080:
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
spec:
  podSelector:
    matchLabels:
      app: backend
  ingress:
  - from:
    - podSelector:
        matchLabels:
          app: frontend
    ports:
    - port: 8080

Grupy zabezpieczeń AWS jako mikrosegmentacja

Grupy zabezpieczeń AWS działają jak mechanizm mikrosegmentacji:

Każda instancja ma własną grupę zabezpieczeń
Reguły odwołują się do innych grup zabezpieczeń, a nie tylko do zakresów adresów IP
Należy zezwalać wyłącznie na jawnie wymagany ruch między zasobami
Zasada: domyślna odmowa, jawna zgoda

Dostęp do sieci w modelu Zero Trust (ZTNA)

ZTNA (Zscaler, Cloudflare Access) stosuje model Zero Trust na poziomie aplikacji:

Użytkownicy uzyskują dostęp do konkretnych aplikacji, a nie do całej sieci
Brak widoczności sieciowej na poziomie wewnętrznej sieci
Każdy dostęp do aplikacji wymaga weryfikacji tożsamości

ZTNA to mikrosegmentacja rozszerzona o dostęp użytkowników.

Service mesh dla mikrousług

Service meshes (Istio, Linkerd, Consul) implementują mikrosegmentację na poziomie mikrousług, wykorzystując mTLS przy każdym wywołaniu między usługami:

Każde wywołanie jest uwierzytelniane i szyfrowane
Zasady autoryzacji określają, które usługi mogą wywoływać inne usługi
Obserwowalność: pełna widoczność ruchu

Definiowanie zasad mikrosegmentacji

Tworzenie zasad mikrosegmentacji:

Wykrycie wszystkich obciążeń roboczych i wzorców ich komunikacji
Określenie, które przepływy są uzasadnione, a które nieoczekiwane
Rozpoczęcie w trybie monitorowania — sprawdzenie, co zostałoby zablokowane
Stopniowe egzekwowanie zasad, zaczynając od segmentów o najwyższym ryzyku
Przejście do domyślnej odmowy w przypadku nieautoryzowanych przepływów

Monitorowanie ruchu wschód–zachód

Narzędzia zapewniające widoczność ruchu wschód–zachód:

VPC Flow Logs (AWS) — przepływy na poziomie sieci
Telemetria service mesh — widoczność na poziomie poszczególnych RPC
Rejestry Distributed Firewall w NSX
Zeek/Suricata na interfejsach typu tap do pełnej inspekcji pakietów

Wyzwania związane z mikrosegmentacją

Wyzwania związane z implementacją:

Starsze aplikacje z nieudokumentowanymi wzorcami komunikacji
Narzut wydajnościowy związany z egzekwowaniem zasad dla poszczególnych obciążeń roboczych
Zarządzanie złożonością zasad na dużą skalę (setki usług)
Skuteczna segmentacja wymaga rzetelnego rejestru zasobów

Szybki test: mikrosegmentacja

Jaki typ zasobu w Kubernetes określa, które pody mogą komunikować się ze sobą na poziomie sieci?

Podsumowanie lekcji

Mikrosegmentacja stosuje granularne mechanizmy kontroli dostępu między poszczególnymi obciążeniami roboczymi, ograniczając zasięg skutków ruchu bocznego. Narzędzia: Kubernetes NetworkPolicy, AWS Security Groups, service meshes (Istio), ZTNA oraz dedykowane platformy (Illumio, NSX). Implementacja: wykrycie przepływów, najpierw tryb monitorowania, a następnie egzekwowanie domyślnej odmowy. Widoczność ruchu wschód–zachód za pomocą VPC Flow Logs i telemetrii service mesh.

Często zadawane pytania

Czy lekcja „Mikrosegmentacja i polityka sieciowa” jest bezpłatna?

Tak — pełny tekst „Mikrosegmentacja i polityka sieciowa” jest dostępny za darmo tutaj w sieci. Aby ćwiczyć ją interaktywnie (wbudowany edytor kodu i tutor AI dostępny 24/7) i odblokować resztę kursu Cyber Security Academy, przejdź na CoddyKit PRO. Kurs Cyber Security Academy zawiera 4 lekcji w sumie.

Co nauczysz się w „Mikrosegmentacja i polityka sieciowa”?

Nauczy się Pan/Pani zastępować zapory perymetryczne strefami mikrosegmentowanymi i wymuszać dostęp sieciowy zgodny z zasadą najmniejszych uprawnień. Ćwiczysz Cyber Security Academy z praktycznym kodem, który uruchamiasz bezpośrednio w przeglądarce, a tutor AI dostępny 24/7 odpowiada na Twoje pytania podczas pracy nad lekcją.

Czy potrzebuję doświadczenia, aby zacząć Cyber Security Academy?

Nie wymagamy żadnego doświadczenia. Cyber Security Academy w CoddyKit jest strukturyzowany dla początkujących i zaawansowanych użytkowników, więc możesz zacząć tutaj lub od początku i uczyć się w swoim tempie. To lekcja 3 z 4.

Ile czasu zajmuje lekcja „Mikrosegmentacja i polityka sieciowa”?

Większość lekcji CoddyKit trwa około 5–10 minut. Każda lekcja to mały, interaktywny krok, dzięki czemu robisz systematyczne postępy i zawsze wracasz dokładnie do tego samego miejsca — na webie i w aplikacji.

Czy mogę pisać i uruchamiać kod w tej lekcji Cyber Security Academy?

Tak. Każda lekcja Cyber Security Academy zawiera wbudowany edytor kodu, więc piszesz i uruchamiasz prawdziwy kod bezpośrednio w przeglądarce i od razu otrzymujesz sprzężenie zwrotne od AI — bez konfiguracji na komputerze.

Wszystkie lekcje w tym kursie

← Powrót do Cyber Security Academy