Сегментация сети

Сегментация сети разделяет сеть на небольшие изолированные зоны.

Каждая зона отделена средствами контроля, поэтому трафик между ними можно проверять и ограничивать.

Плоская сеть помещает все устройства в одну большую зону.

Если злоумышленник взломает один компьютер, он сможет беспрепятственно обратиться ко всем остальным. Сегментация разрывает этот путь.

Горизонтальное перемещение — это способ, с помощью которого злоумышленники распространяются от первого скомпрометированного узла к другим.

Сегментация ограничивает их одной зоной, выигрывая время для обнаружения атаки и реагирования на неё.

VLAN (виртуальная LAN) логически разделяет один физический коммутатор на отдельные сети.

Устройства в разных VLAN не могут напрямую обмениваться данными без прохождения через маршрутизатор или брандмауэр.

Обычно у каждой зоны есть собственная подсеть — определённый диапазон IP-адресов.

Трафик между подсетями маршрутизируется через шлюз, где правила брандмауэра могут его проверять и фильтровать.

Обычные зоны отражают назначение систем и уровень риска.

• Пользовательские рабочие станции
• Серверы и базы данных
• Гостевая беспроводная сеть
• Промышленные устройства или устройства Интернета вещей

Наиболее чувствительные системы получают самый строгий уровень изоляции.

Системы высокой ценности, например база данных с записями клиентов, должны находиться в зоне со строгим контролем.

Обращаться к ним разрешено только определённым приложениям из определённых источников.

Микросегментация развивает эту идею, изолируя отдельные рабочие нагрузки или даже отдельные компьютеры.

Политики применяются к каждой рабочей нагрузке, поэтому даже серверы в одной зоне не могут обмениваться данными без явного разрешения.

Стандарты часто требуют изоляции чувствительных систем.

Например, требования к платёжным картам предполагают, что данные держателей карт находятся в сегментированной зоне отдельно от общей сети.

Ценность сегментации определяется средствами контроля между зонами.

Используйте запрет по умолчанию между зонами и разрешайте только те конкретные потоки данных, которые необходимы для работы бизнеса.

Границы зон — идеальные места для наблюдения за подозрительной активностью.

Ведение журналов и обнаружение вторжений в этих узловых точках выявляют попытки перемещения между зонами — ранний признак атаки.

Сегментация сети:

• Разделяет плоскую сеть на изолированные зоны (VLAN и подсети)
• Ограничивает горизонтальное перемещение и защищает чувствительные данные
• Использует правила между зонами с запретом по умолчанию и контроль границ

Микросегментация обеспечивает изоляцию вплоть до отдельных рабочих нагрузок.