Nätverkssegmentering och zoner

VLAN (Virtual Local Area Networks) är det vanligaste verktyget för segmentering. En enda switch kan ha flera VLAN, där varje VLAN utgör en egen broadcast-domän. På så sätt kan exempelvis personal, gäster och servrar separeras trots att de delar maskinvara.

Enheter i olika VLAN kan inte kommunicera direkt. Trafiken måste passera genom en router eller brandvägg, vilket är precis där säkerhetsregler mellan segmenten tillämpas.

Varje segment får vanligtvis ett eget IP-subnät. För att ta sig mellan subnät måste trafiken passera en router eller en lager 3-switch, den naturliga flaskhals där ni tillämpar policyer.

Genom att anpassa VLAN efter subnät och styra routingen mellan dem avgör ni exakt vilka segment som får kommunicera med varandra och via vilka portar, vilket skapar gränser som kan upprätthållas.

Nätverk organiseras ofta i zoner med olika grad av tillit:

• Betrodd/intern: det skyddade företags-LAN:et.
• Obetrodd/extern: internet.
• DMZ (Demilitarized Zone): en halvt betrodd buffert för servrar som är åtkomliga från internet.

Brandväggar placeras mellan zonerna och säkerställer att trafik bara flödar i godkända riktningar och via godkända portar.

En DMZ innehåller servrar som måste vara åtkomliga från internet, till exempel webb- och e-postservrar, i en zon som är separerad från det interna nätverket. Om en publik server komprometteras är angriparen kvar i DMZ:en och befinner sig inte i det betrodda LAN:et.

Brandväggsregler låter internet nå DMZ:en via specifika portar, men begränsar kraftigt DMZ:ens möjlighet att initiera anslutningar till det interna nätverket.

Mikrosegmentering driver idén till sin spets: i stället för några få stora zoner isolerar ni enskilda arbetslaster eller till och med enskilda enheter och kontrollerar trafiken mellan dem.

Det är vanligt i datacenter och zero trust-design och innebär att även två servrar i samma område uttryckligen måste tillåtas att kommunicera. Detta begränsar lateral förflyttning drastiskt, eftersom inget som standard litar på sina grannar.

Två praktiska vinster med segmentering är att placera gäst-Wi-Fi i ett eget segment så att besökare kan nå internet men aldrig era interna system, samt att isolera IoT (Internet of Things)-enheter som kameror och smarta sensorer, vilka ofta är osäkra.

Genom att hålla dessa obetrodda enheter borta från huvudnätverket kan en hackad kamera inte bli en ingång till era känsliga system.

Regelverk kräver ofta segmentering. Exempelvis kräver PCI DSS (Payment Card Industry Data Security Standard) att system som hanterar kortdata isoleras från resten av nätverket.

Genom att segmentera system som omfattas av kraven förbättras säkerheten samtidigt som området som revisorerna måste granska minskar. Det gör regelefterlevnaden enklare och billigare och skyddar de känsligaste uppgifterna.

Segmenten gör ingen nytta utan regler som upprätthålls. Brandväggar och ACL:er (Access Control Lists) vid gränserna avgör vilken trafik som får passera. Standardläget bör vara neka: blockera allt och tillåt sedan bara det som uttryckligen behövs.

Denna hållning med nekande som standard, tillämpad vid varje segmentgräns, förvandlar nätverksindelningar till verkliga säkerhetsbarriärer i stället för linjer i ett diagram.

Segmentering delar upp ett nätverk i VLAN, subnät och tillitszoner så att problem hålls begränsade. En DMZ skyddar publika servrar, mikrosegmentering isolerar enskilda arbetslaster och gäst- och IoT-nätverk håller obetrodda enheter åtskilda. Brandväggar och ACL:er med en policy som nekar som standard upprätthåller dessa gränser och begränsar hur långt ett angrepp kan spridas.

Segmentering delar upp ett nätverk i isolerade delar (via VLAN och subnät) för att begränsa angrepp och skadeomfång. Säkerhetszoner som betrodda, obetrodda och DMZ separerar olika tillitsnivåer, medan mikrosegmentering isolerar enskilda arbetslaster. Brandväggar och ACL:er med nekande som standard upprätthåller gränserna och underlättar regelefterlevnad.