Mikrosegmentering och mjukvarudefinierade perimetrar

Nätverkstrafik flödar i två riktningar. Nord-syd-trafik flödar mellan användare/internet och interna resurser (vertikalt). Öst-väst-trafik flödar mellan arbetsbelastningar inne i datacentret (horisontellt). Traditionella brandväggar granskar främst nord-syd-trafik. Mikrosegmentering fokuserar på öst-väst-trafik — den väg angripare använder för att förflytta sig mellan interna system efter det första intrånget.

Software-Defined Networking (SDN) separerar kontrollplanet (beslut om vart trafiken ska skickas) från dataplanet (den faktiska vidarebefordringen av paket). En centraliserad SDN-styrenhet programmerar nätverksenheter med vidarebefordringsregler, vilket gör det möjligt att implementera mikrosegmentering i programvara utan att konfigurera om fysiska switchar. Det gör policyändringar snabba, konsekventa och granskningsbara i stora miljöer.

En Software-Defined Perimeter (SDP) gör nätverksresurser osynliga som standard — de svarar inte på oautentiserade anslutningsförsök. Användare autentiserar sig först mot en SDP-styrenhet, som kontrollerar identitet och enhetens säkerhetsstatus och därefter dynamiskt skapar en krypterad tunnel endast till de specifika resurser som användarna har behörighet att komma åt. Detta eliminerar nätverksbaserad kartläggning och vägar för lateral förflyttning.

Zero Trust Network Access (ZTNA) är den produktkategori som implementerar SDP-koncept. Till skillnad från en VPN, som ger omfattande nätverksåtkomst, ger ZTNA åtkomst till endast specifika applikationer. Användaren ansluter till en ZTNA-förmedlare som autentiserar identiteten och enheten och sedan proxar anslutningar till målappen. Populära implementationer omfattar Cloudflare Access, Zscaler Private Access och Palo Alto Prisma Access.

Molnplattformar erbjuder inbyggda verktyg för mikrosegmentering. AWS Security Groups tillåter precisa inkommande och utgående regler per EC2-instans. Azure NSGs (Network Security Groups) tillämpas på subnät- eller NIC-nivå. Google VPC Firewall Rules kan begränsas till taggar. Alla använder en modell med implicit nekande — endast uttryckligen tillåten trafik flödar, vilket gör dem till naturliga byggstenar för mikrosegmentering i molnmiljöer.

I containeriserade miljöer implementerar tjänstenät som Istio och Linkerd mikrosegmentering genom ömsesidig TLS (mTLS) mellan pods. Varje anrop mellan tjänster autentiseras och krypteras, och auktoriseringspolicyer definierar uttryckligen vilka tjänster som får kommunicera. Detta utvidgar Zero Trust-kontrollerna för öst-väst-trafik ända ned till enskilda mikrotjänster i Kubernetes-kluster.

Traditionell nätverkssegmentering använder VLAN, DMZ och subnät för att skapa breda säkerhetszoner. Mikrosegmentering är betydligt mer detaljerad — policyer tillämpas på arbetsbelastnings- eller processnivå, inte på subnätsnivå. Ett VLAN kan innehålla 50 servrar som alla anses betrodda att kommunicera; mikrosegmentering säkerställer att endast specifika servrar i VLAN:et kan nå specifika portar på specifika motparter, vilket kraftigt minskar vägarna för lateral förflyttning.

Effektiv mikrosegmentering kräver heltäckande synlighet i befintliga nätverksflöden innan policyer tillämpas. Verktyg för identifiering kartlägger de faktiska kommunikationsmönstren mellan arbetsbelastningar. Ett vanligt tillvägagångssätt är att börja med övervakningsläge — observera all trafik och generera föreslagna policyer — och därefter växla till tillämpningsläge för att neka obehöriga flöden. På så sätt undviks att legitim trafik blockeras av misstag under införandet.

Den främsta säkerhetsfördelen med mikrosegmentering är att minska skadeomfattningen. Om en angripare komprometterar en arbetsstation i sälj-VLAN:et förhindrar mikrosegmenteringspolicyer arbetsstationen från att kommunicera med ekonomidatabasen, HR-systemet eller domänkontrollanterna. Angriparen förblir isolerad till det segment där intrånget skedde, vilket gör incidenten enklare att begränsa och åtgärda innan omfattande skador uppstår.

I den här lektionen har Ni lärt Er att mikrosegmentering delar upp nätverk på arbetsbelastningsnivå för att begränsa lateral förflyttning, att programvarudefinierade perimetrar gör resurser osynliga tills identiteten har verifierats och att ZTNA ersätter VPN genom att ge åtkomst på programnivå i stället för nätverksnivå. Härnäst utforskar vi hur identitet blir den nya perimetern genom principer för villkorsstyrd åtkomst.