Segmentácia siete

Čo to znamená

Segmentácia siete je rozdelenie firemnej siete na oddelené zóny, napríklad pre kancelárske počítače, servery, hosťovskú Wi-Fi, tlačiarne či výrobné zariadenia, s kontrolovanou komunikáciou medzi nimi. Útočník, ktorý prenikne do jednej zóny, sa tak nedostane ku všetkému ostatnému.

Bez segmentácie je firemná sieť ako dom bez vnútorných dverí: kto prejde vchodom, má prístup do každej miestnosti. Pri útoku ransomware sa škodlivý kód v plochej sieti rýchlo rozšíri na všetky zariadenia vrátane záloh.

Segmentácia sa realizuje pomocou virtuálnych sietí, firewallov a pravidiel, ktoré určujú, aká komunikácia je medzi zónami povolená. Je praktickým uplatnením princípu najmenších oprávnení na úrovni siete a súčasťou prístupu zero trust.

Ako to funguje v praxi

Aj v malej firme sa oplatí oddeliť aspoň hosťovskú Wi-Fi od pracovnej siete a zariadenia internetu vecí, ako kamery či inteligentné termostaty, od počítačov s účtovnými dátami. Tieto zariadenia mávajú slabé zabezpečenie a sú častým vstupným bodom útokov.

Servery s citlivými dátami a zálohy patria do samostatnej zóny, do ktorej je prístup povolený len z konkrétnych zariadení a pre konkrétne služby. Vzdialený prístup zamestnancov ide cez VPN s overením a len do zón, ktoré potrebujú.

Pre firmy pod smernicou NIS2 patrí segmentácia medzi očakávané technické opatrenia. Pri návrhu treba zmapovať, ktoré systémy spolu komunikujú, aby sa nastavením pravidiel nenarušil bežný chod firmy.

Na čo si dať pozor

Segmentácia, ktorá má výnimky pre všetko, nechráni. Ak sa pri každej technickej prekážke otvorí ďalšie pravidlo, sieť sa postupne stane opäť plochou. Pravidlá treba dokumentovať a pravidelne revidovať.

Zmena architektúry siete môže nečakane prerušiť služby, napríklad tlač, skenovanie do priečinka či prepojenie účtovného softvéru s bankou. Zmeny sa preto zavádzajú postupne, s testovaním a plánom návratu.