Segmentação de Redes e Zonas

A segmentação de rede divide uma rede grande em partes menores e isoladas. Em vez de cada dispositivo poder alcançar livremente todos os outros, o tráfego entre os segmentos é controlado e filtrado.

Os principais benefícios são segurança (um ataque em um segmento não pode se espalhar facilmente), desempenho (menos tráfego de difusão por segmento) e gerenciamento mais simples. A segmentação contém os problemas em vez de permitir que se espalhem por toda a rede.

Uma rede plana, na qual tudo está conectado, é conveniente, mas perigosa: um malware ou invasor que consiga entrar em qualquer ponto poderá alcançar tudo. A segmentação limita o raio de impacto, ou seja, a área que um incidente pode afetar.

Se uma estação de trabalho do segmento do escritório for infectada, a segmentação impedirá que ela alcance diretamente os servidores, as câmeras ou os controles do edifício, dando tempo para detectar e responder.

As VLANs (redes locais virtuais) são a ferramenta de segmentação mais comum. Um único switch pode hospedar várias VLANs, cada uma em seu próprio domínio de difusão, separando, por exemplo, funcionários, visitantes e servidores, mesmo quando compartilham o mesmo equipamento.

Dispositivos em VLANs diferentes não podem se comunicar diretamente; o tráfego precisa passar por um roteador ou firewall, exatamente onde se aplicam as regras de segurança entre os segmentos.

Cada segmento normalmente recebe sua própria sub-rede IP. Para passar entre sub-redes, o tráfego precisa atravessar um roteador ou switch de camada 3, o ponto de estrangulamento natural onde a política é aplicada.

Ao alinhar VLANs às sub-redes e controlar o roteamento entre elas, você decide exatamente quais segmentos podem se comunicar, com quais outros e por quais portas, criando limites que podem ser efetivamente aplicados.

As redes costumam ser organizadas em zonas com diferentes níveis de confiança:

• Confiável/interna: a LAN corporativa protegida.
• Não confiável/externa: a internet.
• DMZ (zona desmilitarizada): uma área intermediária de confiança parcial para servidores voltados ao público.

Os firewalls ficam entre as zonas, garantindo que o tráfego flua apenas nas direções aprovadas e pelas portas aprovadas.

Uma DMZ hospeda servidores que precisam ser acessíveis pela internet, como servidores web e de e-mail, em uma zona separada da rede interna. Se um servidor público for comprometido, o invasor ficará preso na DMZ, e não dentro da LAN confiável.

As regras do firewall permitem que a internet alcance a DMZ por portas específicas, mas restringem rigorosamente que a DMZ inicie conexões com a rede interna.

A microssegmentação leva essa ideia ao extremo: em vez de algumas zonas grandes, ela isola cargas de trabalho individuais ou até dispositivos únicos, controlando o tráfego entre cada um deles.

Comum em centros de dados e projetos de confiança zero, isso significa que até mesmo dois servidores na mesma área precisam ser explicitamente autorizados a se comunicar. Essa abordagem limita drasticamente o movimento lateral, pois nada confia por padrão em seus vizinhos.

Dois benefícios práticos da segmentação são colocar o Wi-Fi de visitantes em seu próprio segmento, para que eles alcancem a internet, mas nunca os sistemas internos, e isolar dispositivos da Internet das Coisas, como câmeras e sensores inteligentes, que frequentemente são inseguros.

Manter esses dispositivos não confiáveis fora da rede principal significa que uma câmera invadida não poderá se tornar uma porta de entrada para seus sistemas confidenciais.

As regulamentações frequentemente exigem segmentação. Por exemplo, a PCI DSS (norma de segurança de dados do setor de cartões de pagamento) determina que os sistemas que processam dados de cartões sejam isolados do restante da rede.

Segmentar os sistemas dentro do escopo melhora a segurança e também reduz a área que os auditores precisam examinar, tornando a conformidade mais simples e barata e protegendo os dados mais sensíveis.

Os segmentos, por si só, não fazem nada sem mecanismos de aplicação. Firewalls e ACLs (listas de controle de acesso) nos limites decidem qual tráfego pode atravessar. O padrão deve ser negar: bloquear tudo e depois permitir apenas o que for explicitamente necessário.

Essa postura de negação por padrão, aplicada em cada limite de segmento, transforma as divisões da rede em barreiras de segurança reais, e não apenas em linhas de um diagrama.

A segmentação divide uma rede em VLANs, sub-redes e zonas de confiança para manter os problemas contidos. Uma DMZ protege os servidores públicos, a microssegmentação isola cargas de trabalho individuais, e as redes de visitantes e de dispositivos da Internet das Coisas mantêm os dispositivos não confiáveis separados. Firewalls e ACLs com uma política de negação por padrão aplicam esses limites, restringindo até onde qualquer ataque pode se espalhar.

Teste seus conhecimentos sobre segmentação.

A segmentação divide uma rede em partes isoladas (por meio de VLANs e sub-redes) para conter ataques e limitar o raio de impacto. Zonas de segurança, como confiável, não confiável e a DMZ, separam níveis de confiança, enquanto a microssegmentação isola cargas de trabalho individuais. Firewalls e ACLs com negação por padrão aplicam os limites e ajudam na conformidade.