Nätverkssegmentering och VLAN

Nätverkssegmentering delar upp ett stort platt nätverk i mindre, isolerade zoner. Utan segmentering kan en enda komprometterad värd kommunicera med alla andra enheter i nätverket, vilket ger angripare fria händer när de väl är inne. Segmentering tillämpar principen om minsta privilegium på nätverkslagret: en arbetsstation ska inte kunna nå en databasserver direkt, och en gäst på Wi-Fi ska aldrig kunna se interna filresurser. Segmentering minskar avsevärt en incidentens påverkansområde.

Ett VLAN (Virtual Local Area Network) är ett logiskt nätverk som skapas på en switch och grupperar portar oavsett fysisk placering. Enheter i samma VLAN kommunicerar som om de befann sig på samma fysiska segment. Enheter i olika VLAN kan inte kommunicera utan att trafiken passerar genom en router eller en lager 3-switch som tillämpar åtkomstkontroll. VLAN taggas med ett 802.1Q-huvud som innehåller ett VLAN-ID (1–4094), vilket gör att en enda fysisk länk (trunkport) kan bära trafik från flera VLAN samtidigt.

Medan VLAN segmenterar på lager 2 segmenterar subnät på lager 3 (IP). Varje VLAN motsvarar vanligtvis ett eget subnät, och routning mellan subnät styrs av en brandvägg eller router som tillämpar åtkomstkontrollistor. Detta skapar en tydlig separation: VLAN 10 kan vara 10.10.10.0/24 för företagsanvändare och VLAN 20 kan vara 10.20.20.0/24 för gäster. Brandväggsregler mellan subnäten avgör vilken trafik som tillåts och vilken som blockeras på IP-nivå.

En DMZ (demilitariserad zon), även kallad ett filtrerat subnät, är en nätverkszon som ligger mellan internet och det interna nätverket. Servrar som är åtkomliga från internet — webbservrar, e-postservrar och DNS-servrar — placeras i DMZ:en så att externa användare kan nå dem utan direkt åtkomst till interna system. Om en värd i DMZ:en utsätts för intrång förhindrar den interna brandväggen angriparen från att nå känsliga interna resurser. DMZ:er är ett centralt segmenteringskoncept som behandlas ingående i Security+.

Mikrosegmentering isolerar nätverket ända ned på arbetsbelastningsnivå genom att tillämpa säkerhetspolicyer mellan enskilda virtuella maskiner, containrar eller applikationer, i stället för enbart mellan nätverkszoner. Mjukvarudefinierade nätverk (SDN) och hypervisorbaserade verktyg (VMware NSX, AWS Security Groups) tillämpar policyer utan att maskinvaran behöver ändras. Mikrosegmentering är en central del av en zero trust-arkitektur, eftersom den tar bort den implicita tilliten mellan arbetsbelastningar som körs i samma datacenter eller molnregion.

VLAN-hoppning är en attack som gör det möjligt för trafik att lämna sitt VLAN och nå ett annat VLAN utan att gå via en router. Det finns två metoder: switch-spoofing, där en angripare konfigurerar sitt nätverkskort för att använda 802.1Q-trunkning och förhandlar fram en trunklänk med switchen, vilket ger åtkomst till alla VLAN, samt dubbel taggning, där en angripare kapslar in en ram med två 802.1Q-huvuden så att den verkar vara avsedd för ett annat VLAN. Försvarsåtgärderna omfattar att inaktivera DTP (Dynamic Trunking Protocol), konfigurera accessportar uttryckligen och inte använda det inbyggda VLAN:et för användartrafik.

Den mest långtgående formen av nätverkssegmentering är ett luftgap — ett nätverk utan fysisk eller logisk anslutning till externa nätverk. Luftgapade system används för högt sekretessklassade myndighetsnätverk, industriella styrsystem och styrsystem i kärntekniska anläggningar. Dataöverföring kräver fysiska medier (USB-enheter, CD-skivor), vilket i sig medför risker (Stuxnet spreds via USB för att nå iranska centrifuger i luftgapade nätverk). Även luftgapade system behöver säkerhetsåtgärder: strikt mediehantering, maskinvarubaserade skrivskydd och skydd av slutpunkter.

NAC (Network Access Control) tillämpar säkerhetspolicyer innan en enhet tillåts ansluta till nätverket. NAC-system kontrollerar enhetens säkerhetsstatus — uppdateringsnivå, antivirusstatus och certifikat — innan de beviljar full nätverksåtkomst. Enheter som inte klarar kontrollerna placeras i karantän i ett åtgärds-VLAN, där de endast kan nå uppdateringsservrar. NAC integreras med 802.1X för autentisering och kommunicerar med katalogtjänster för att tillämpa policyer baserat på användarroll och enhetstyp.

Traditionell perimetersäkerhet fokuserade på nord–syd-trafik — data som kommer in i eller lämnar datacentret från externa källor. Moderna angripare utnyttjar öst–väst-trafik — lateral förflyttning mellan servrar i datacentret eller molnmiljön, som historiskt sett saknade inspektion. Mikrosegmentering och interna brandväggar hanterar risker med öst–väst-trafik. Korrelationsregler i SIEM bör övervaka ovanliga mönster för öst–väst-anslutningar, till exempel när en arbetsstation plötsligt kommunicerar med dussintals interna värdar, vilket kan tyda på en mask eller en aktiv angripare.

ICS/SCADA-nätverk som styr fysisk infrastruktur (elnät, vattenrening och tillverkning) kräver strikt segmentering från företagens IT-nätverk. Purdue-modellen definierar nivåer från fältenheter (nivå 0), via anläggningsstyrning (nivå 2), till företags-IT (nivå 4), med en DMZ mellan nivå 2 och 3 för att förhindra direkt anslutning. NERC CIP-standarder kräver denna separation för organisationer inom energisektorn. Ett intrång i företagsnätverket ska aldrig kunna manipulera fysiska ställdon eller sensorer direkt.

Det yttersta målet med nätverkssegmentering är att minimera skadeomfattningen vid ett enskilt intrång — den skada en angripare kan orsaka efter att ha tagit sig in i ett segment. Tillsammans med andra säkerhetsåtgärder (detektering på slutpunkter, strikt IAM och uppdateringshantering) skapar segmentering försvar på djupet: flera oberoende lager som en angripare måste ta sig igenom steg för steg. Segmentering förhindrar inte det första intrånget, men den saktar ned angripare, skapar möjligheter till upptäckt och begränsar effekten av utpressningstrojaner och maskar som är beroende av obegränsad lateral förflyttning.

I den här lektionen har ni lärt er att VLAN tillhandahåller logisk segmentering på lager 2 som begränsar broadcastdomäner och lateral förflyttning, att en DMZ (filtrerat subnät) isolerar servrar som är åtkomliga från internet mellan en extern och en intern brandvägg, samt att VLAN-hoppningsattacker kan förhindras genom att inaktivera dynamisk trunkning, ändra det inbyggda VLAN:et och tilldela oanvända portar till ett så kallat dead VLAN. Härnäst går vi igenom vanliga nätverksattacker, däribland DoS, spoofing och MITM.