Сегментация сети и зоны

Сегментация сети разделяет одну большую сеть на небольшие изолированные части. Вместо свободного доступа каждого устройства ко всем остальным трафик между сегментами контролируется и фильтруется.

Основные преимущества — безопасность (атака в одном сегменте не может легко распространиться), производительность (меньше широковещательного трафика в каждом сегменте) и более простое управление. Сегментация локализует проблемы, не позволяя им распространиться по всей сети.

Плоская сеть, в которой всё соединено со всем, удобна, но опасна: вредоносная программа или злоумышленник, проникший в любую точку, может получить доступ ко всему. Сегментация ограничивает радиус поражения — область, которую может затронуть инцидент.

Если рабочая станция в офисном сегменте заражена, сегментация не позволит ей напрямую обратиться к серверам, камерам или системам управления зданием, что даст время на обнаружение и реагирование.

VLAN (виртуальные локальные сети) — наиболее распространённый инструмент сегментации. Один коммутатор может обслуживать несколько VLAN, каждая из которых является отдельным широковещательным доменом. Так можно разделить устройства сотрудников, гостей и серверов, даже если они используют одно оборудование.

Устройства в разных VLAN не могут обмениваться данными напрямую: их трафик должен проходить через маршрутизатор или межсетевой экран — именно там применяются правила безопасности между сегментами.

Обычно каждому сегменту назначается собственная IP-подсеть. Чтобы перейти из одной подсети в другую, трафик должен пройти через маршрутизатор или коммутатор третьего уровня — естественную точку концентрации, где обеспечивается соблюдение политик.

Сопоставляя VLAN с подсетями и контролируя маршрутизацию между ними, Вы точно определяете, каким сегментам разрешено обмениваться данными, а также через какие порты, создавая границы, соблюдение которых можно обеспечить.

Сети часто организуют в зоны с разными уровнями доверия:

• Доверенная/внутренняя: защищённая корпоративная LAN.
• Недоверенная/внешняя: интернет.
• DMZ (демилитаризованная зона): буферная зона с частичным доверием для общедоступных серверов.

Межсетевые экраны размещаются между зонами и обеспечивают передачу трафика только в разрешённых направлениях и через разрешённые порты.

DMZ содержит серверы, к которым должен быть доступ из интернета, например веб-серверы и серверы электронной почты, и отделяет их от внутренней сети. Если общедоступный сервер будет скомпрометирован, злоумышленник останется в DMZ, а не попадёт в доверенную LAN.

Правила межсетевого экрана разрешают интернету обращаться к DMZ через определённые порты, но строго ограничивают возможность DMZ инициировать подключения к внутренней сети.

Микросегментация доводит эту идею до предела: вместо нескольких крупных зон изолируются отдельные рабочие нагрузки или даже отдельные устройства, а трафик между ними контролируется.

Этот подход распространён в центрах обработки данных и архитектурах нулевого доверия. Даже двум серверам в одной области явно требуется разрешение на обмен данными. Это резко ограничивает боковое перемещение, поскольку по умолчанию ничто не доверяет соседним системам.

Сегментация даёт два практических преимущества: разместите гостевую Wi-Fi-сеть в отдельном сегменте, чтобы посетители могли выходить в интернет, но не имели доступа к внутренним системам, и изолируйте устройства IoT (интернета вещей), например камеры и интеллектуальные датчики, которые часто недостаточно защищены.

Если такие недоверенные устройства не подключены к основной сети, взломанная камера не сможет стать дверью в Ваши конфиденциальные системы.

Нормативные требования часто обязывают использовать сегментацию. Например, стандарт PCI DSS (стандарт безопасности данных платёжных карт) требует изолировать системы, обрабатывающие данные карт, от остальной сети.

Сегментация систем, относящихся к области действия требований, одновременно повышает безопасность и уменьшает область, которую должны проверять аудиторы. Это упрощает и удешевляет обеспечение соответствия требованиям, защищая наиболее чувствительные данные.

Сами по себе сегменты ничего не дают без принудительного контроля. Межсетевые экраны и ACL (списки управления доступом) на границах определяют, какой трафик может проходить. По умолчанию следует запрещать всё: блокировать весь трафик, а затем разрешать только явно необходимое.

Такая политика запрета по умолчанию, применяемая на каждой границе сегмента, превращает разделение сети в настоящие барьеры безопасности, а не просто линии на схеме.

Сегментация разделяет сеть на VLAN, подсети и зоны доверия, чтобы локализовать проблемы. DMZ защищает общедоступные серверы, микросегментация изолирует отдельные рабочие нагрузки, а гостевые сети и сети IoT отделяют недоверенные устройства. Межсетевые экраны и ACL с политикой запрета по умолчанию обеспечивают соблюдение этих границ и ограничивают распространение любой атаки.

Сегментация разделяет сеть на изолированные части (с помощью VLAN и подсетей), чтобы локализовать атаки и ограничить радиус поражения. Зоны безопасности, такие как доверенная, недоверенная и DMZ, разделяют уровни доверия, а микросегментация изолирует отдельные рабочие нагрузки. Межсетевые экраны и ACL с запретом по умолчанию обеспечивают соблюдение границ и помогают выполнять нормативные требования.