Netværkssegmentering

Segmentering kan gennemføres på flere lag. Den stærkeste form er fysisk adskillelse, helt op til et air gap. Den almindelige form er logisk: VLAN'er (IEEE 802.1Q med et 12-bit VLAN-ID, der giver 4.094 brugbare VLAN'er) deler det switchede netværk op i broadcast-domæner, som hver svarer til sit eget IP-subnet, og trafik mellem subnet tvinges gennem en ACL på en router eller, bedre, en firewall, der håndhæver en eksplicit politik mellem zonerne. I større design adskiller VRF'er routingtabellerne. Et VLAN er ikke i sig selv en sikkerhedsgrænse: Hvis core-switchen frit router mellem VLAN'erne, er netværket stadig fladt på lag 3. Dårligt konfigurerede trunks giver også mulighed for VLAN hopping via switch spoofing (automatisk forhandlet trunking som Ciscos DTP) eller double tagging via native VLAN, og derfor låses access-porte fast, og native VLAN holdes ubrugt.

Mikrosegmentering flytter håndhævelsen ned til den enkelte arbejdsbelastning ved hjælp af værtsfirewalls, distribuerede firewalls i hypervisoren, Kubernetes NetworkPolicy eller identitetsbaserede mærker i stedet for IP-intervaller. NIST SP 800-207 (2020) nævner mikrosegmentering som én tilgang til Zero Trust-arkitektur, men de to er ikke det samme: Segmentering begrænser, hvilke veje der findes, mens Zero Trust også autentificerer og autoriserer hver anmodning, der bruger en tilladt vej.

En række referencemodeller former designet af zoner. Tjenester, der vender mod internettet, placeres i en DMZ, adskilt både fra internettet og fra de interne zoner. I industrielle miljøer adskiller Purdue-modellen og IEC 62443's begreb om zoner og conduits virksomhedens IT fra styresystemerne, typisk med en industriel DMZ imellem. Under PCI DSS er segmentering ikke obligatorisk, men den kan indskrænke omfanget af kortdatamiljøet, forudsat at penetrationstest bekræfter, at segmenteringen faktisk isolerer det. CIS Controls v8, safeguard 12.2, kræver en dokumenteret sikker netværksarkitektur, der adresserer segmentering, mindste privilegium og tilgængelighed.

Segmentering fejler typisk ved de fælles tjenester. Domænecontrollere, backupservere, overvågnings- og administrationssystemer, jump hosts og maskiner med ben i flere netværk skal kunne nå mange zoner, og en angriber, der kompromitterer én af dem eller får fat i domæneadministrator-legitimationsoplysninger, kan bevæge sig via tilladte protokoller som SMB, RDP og WinRM uanset zonemodellen. NotPetya viste i 2017, hvor hurtigt malware spreder sig i flade Windows-miljøer med delte legitimationsoplysninger. God praksis er at tage udgangspunkt i en aktivoversigt og kortlagte dataflows, definere zoner efter følsomhed og tillid, afvise trafik mellem zoner som standard, lægge administrationsgrænseflader og backup i egne, begrænsede zoner, overvåge øst-vest-trafik og efterprøve reglerne ved at scanne indefra i hver zone i stedet for at stole på tegningerne.