Сегментація мережі

Що це означає

Сегментація мережі - поділ корпоративної мережі на окремі зони, наприклад для офісних комп'ютерів, серверів, гостьового Wi-Fi, принтерів чи виробничого обладнання, з контрольованим трафіком між ними. Зловмисник, що проник в одну зону, не дістанеться до всього іншого.

Без сегментації корпоративна мережа - як будинок без внутрішніх дверей: хто увійшов через вхід, має доступ до кожної кімнати. Під час атаки вимагача шкідливий код у пласкій мережі швидко поширюється на всі пристрої, включно з резервними копіями.

Сегментацію реалізують за допомогою віртуальних мереж, мережевих екранів і правил, що визначають, який трафік між зонами дозволений. Це практичне застосування принципу найменших привілеїв на рівні мережі й частина підходу zero trust.

Як це працює на практиці

Навіть у малій компанії варто відокремити принаймні гостьовий Wi-Fi від робочої мережі, а пристрої інтернету речей, як-от камери чи розумні термостати, - від комп'ютерів із бухгалтерськими даними. Такі пристрої часто мають слабкий захист і є частою точкою входу атак.

Сервери з чутливими даними та резервні копії виносять в окрему зону, доступ до якої дозволений лише з конкретних пристроїв і для конкретних служб. Віддалений доступ працівників іде через VPN з автентифікацією й лише до потрібних їм зон.

Для компаній, що підпадають під NIS2, сегментація входить до очікуваних технічних заходів. Під час проєктування треба скласти карту того, які системи взаємодіють, щоб правила не порушили звичайної роботи компанії.

На що звернути увагу

Сегментація з винятками для всього не захищає. Якщо за кожної технічної перешкоди відкривати нове правило, мережа поступово знову стає пласкою. Правила треба документувати й регулярно переглядати.

Зміна архітектури мережі може несподівано перервати служби, наприклад друк, сканування в теку чи зв'язок бухгалтерської програми з банком. Тому зміни запроваджують поступово, з тестуванням і планом відкату.