Сегментация сети

Что это значит

Сегментация сети - разделение корпоративной сети на отдельные зоны, например для офисных компьютеров, серверов, гостевого Wi-Fi, принтеров или производственного оборудования, с контролируемым трафиком между ними. Злоумышленник, проникший в одну зону, не доберётся до всего остального.

Без сегментации корпоративная сеть - как дом без внутренних дверей: кто вошёл через вход, имеет доступ в каждую комнату. При атаке вымогателя вредоносный код в плоской сети быстро распространяется на все устройства, включая резервные копии.

Сегментацию реализуют с помощью виртуальных сетей, межсетевых экранов и правил, определяющих, какой трафик между зонами разрешён. Это практическое применение принципа наименьших привилегий на уровне сети и часть подхода zero trust.

Как это работает на практике

Даже в малой компании стоит отделить хотя бы гостевой Wi-Fi от рабочей сети, а устройства интернета вещей, такие как камеры или умные термостаты, - от компьютеров с бухгалтерскими данными. У таких устройств часто слабая защита, и они - частая точка входа атак.

Серверы с чувствительными данными и резервные копии выносят в отдельную зону, доступ в которую разрешён только с конкретных устройств и для конкретных служб. Удалённый доступ сотрудников идёт через VPN с аутентификацией и только в нужные им зоны.

Для компаний, подпадающих под NIS2, сегментация входит в ожидаемые технические меры. При проектировании нужно составить карту того, какие системы взаимодействуют, чтобы правила не нарушили обычную работу компании.

На что обратить внимание

Сегментация с исключениями для всего не защищает. Если при каждом техническом препятствии открывать новое правило, сеть постепенно снова становится плоской. Правила нужно документировать и регулярно пересматривать.

Изменение архитектуры сети может неожиданно прервать службы, например печать, сканирование в папку или связь бухгалтерской программы с банком. Поэтому изменения вводят постепенно, с тестированием и планом отката.