Микросегментация и программно определяемые периметры

В плоской сети, получив доступ к одной конечной точке, злоумышленник может свободно взаимодействовать почти с любой другой системой. Это обеспечивает быстрое горизонтальное перемещение — технику, с помощью которой злоумышленники переходят от скомпрометированной рабочей станции к конфиденциальным серверам, контроллерам домена и хранилищам данных. Микросегментация напрямую решает эту проблему, разделяя сеть на небольшие изолированные зоны.

Микросегментация разделяет сеть на детализированные сегменты, в которых рабочие нагрузки взаимодействуют только с явно авторизованными узлами. В отличие от традиционных VLAN, которые выполняют сегментацию на общем уровне, микросегментация применяет Policy на уровне рабочей нагрузки или приложения — вплоть до отдельных контейнеров или виртуальных машин. Трафик по умолчанию запрещён, а разрешаются только явно допустимые потоки.

Сетевой трафик движется в двух направлениях. Трафик север—юг проходит между User или интернетом и внутренними ресурсами (вертикально). Трафик восток—запад проходит между рабочими нагрузками внутри центра обработки данных (горизонтально). Традиционные межсетевые экраны в первую очередь проверяют трафик север—юг. Микросегментация сосредоточена на трафике восток—запад — пути, который используют злоумышленники для перемещения между внутренними системами после первоначальной компрометации.

Software-Defined Networking (SDN) отделяет плоскость управления (решения о направлении трафика) от плоскости передачи данных (фактическая пересылка пакетов). Централизованный контроллер SDN программирует сетевые устройства с помощью правил пересылки, благодаря чему микросегментацию можно реализовать программно, не перенастраивая физические коммутаторы. Это позволяет быстро, единообразно и с возможностью аудита изменять Policy в крупных средах.

Software-Defined Perimeter (SDP) делает сетевые ресурсы невидимыми по умолчанию — они не отвечают на неаутентифицированные попытки подключения. Сначала User аутентифицируется у контроллера SDP, который проверяет идентичность и состояние Device, а затем динамически создаёт зашифрованный туннель только к тем ресурсам, доступ к которым ему разрешён. Это устраняет возможность разведки сети и пути горизонтального перемещения.

Zero Trust Network Access (ZTNA) — это категория продуктов, реализующих концепции SDP. В отличие от VPN, который предоставляет широкий доступ к сети, ZTNA предоставляет доступ только к определённым приложениям. User подключается к брокеру ZTNA, который аутентифицирует идентичность и Device, а затем проксирует подключения к целевому приложению. К популярным реализациям относятся Cloudflare Access, Zscaler Private Access и Palo Alto Prisma Access.

Облачные платформы предлагают собственные средства микросегментации. AWS Security Groups позволяют задавать точные правила для входящего и исходящего трафика каждого экземпляра EC2. Azure NSGs (Network Security Groups) применяются на уровне подсети или NIC. Google VPC Firewall Rules можно ограничивать тегами. Все эти средства работают по модели неявного запрета: проходят только явно разрешённые потоки трафика, что делает их естественными строительными блоками микросегментации в облачных средах.

В контейнеризованных средах service meshes, такие как Istio и Linkerd, реализуют микросегментацию с помощью взаимного TLS (mTLS) между подами. Каждый вызов между сервисами аутентифицируется и шифруется, а authorization policies явно определяют, каким сервисам разрешено взаимодействовать. Это распространяет элементы управления Zero Trust для трафика восток—запад вплоть до отдельных микросервисов в кластерах Kubernetes.

Традиционная сетевая сегментация использует VLAN, DMZ и подсети для создания крупных зон Security. Микросегментация значительно более детализирована: Policy применяются на уровне рабочей нагрузки или процесса, а не подсети. В одной VLAN могут находиться 50 серверов, которым разрешено взаимодействовать друг с другом; микросегментация гарантирует, что только определённые серверы в этой VLAN смогут обращаться к определённым портам определённых узлов, значительно сокращая пути горизонтального перемещения.

Эффективная микросегментация требует полной видимости существующих сетевых потоков до применения Policy. Средства обнаружения составляют карту фактических схем взаимодействия между рабочими нагрузками. Распространённый подход заключается в том, чтобы сначала развернуть систему в режиме мониторинга — наблюдать за всем трафиком и формировать предлагаемые Policy, — а затем переключить её в режим принудительного применения, чтобы запрещать неавторизованные потоки. Это предотвращает случайную блокировку легитимного трафика во время внедрения.

Главное преимущество микросегментации для Security — уменьшение масштаба ущерба. Если злоумышленник скомпрометирует рабочую станцию в VLAN отдела продаж, Policy микросегментации не позволит этой станции взаимодействовать с базой данных финансового отдела, системой HR или контроллерами домена. Злоумышленник останется изолированным в сегменте, в который он проник, благодаря чему инцидент будет проще локализовать и устранить до того, как произойдёт масштабный ущерб.

Проверьте, насколько Вы понимаете концепции CompTIA Security+ (SY0-701), рассмотренные в этом уроке.

В этом уроке Вы узнали, что микросегментация разделяет Networks на уровне Workloads, чтобы ограничить боковое перемещение, периметры, определяемые программным обеспечением, делают ресурсы невидимыми до проверки Identity, а ZTNA заменяет VPN, предоставляя доступ на уровне приложений, а не на уровне Networks. Далее мы рассмотрим, как Identity становится новым периметром благодаря Conditional Access policies.