O que é a microssegmentação?
A microssegmentação é a prática de dividir uma rede em pequenos segmentos isolados e controlar exatamente que tráfego é permitido entre eles. Em vez de tratar toda a rede como um só espaço confiável onde tudo consegue alcançar tudo, a microssegmentação coloca os sistemas em zonas de granularidade fina e aplica políticas nas fronteiras, para que uma intrusão numa zona fique contida em vez de se espalhar livremente.
A microssegmentação divide uma rede em pequenas zonas isoladas, com políticas a controlar o tráfego entre elas, para que uma intrusão numa zona não se consiga espalhar livremente para as outras.
O que a microssegmentação alcança
- 01
Limita o movimento lateral: um atacante que ganha uma posição de apoio num segmento não consegue pivotar automaticamente para sistemas noutro.
- 02
Aplica o privilégio mínimo ao nível da rede: as zonas comunicam apenas através de fluxos explicitamente permitidos, com negação por predefinição em todo o resto.
- 03
Protege sistemas que não se conseguem defender, como dispositivos legados ou OT, isolando-os em vez de depender de agentes no dispositivo.
- 04
Encolhe a superfície de ataque e dá fronteiras de auditoria mais claras: pode ver e provar o que é permitido atravessar cada segmento.
Microssegmentação vs segmentação tradicional
A segmentação de rede clássica usa zonas amplas, muitas vezes VLANs e subredes com regras de firewall entre elas. Ajuda, mas as zonas são grosseiras, e dentro de uma zona tudo continua a poder falar livremente. A microssegmentação vai mais fina: isola cargas de trabalho, aplicações ou classes de dispositivos em pequenos segmentos e controla o tráfego entre eles com políticas específicas. O resultado deixa muito menos espaço para o movimento lateral, mas exige uma forma de definir e aplicar muitas políticas de forma consistente. É por isso que se conjuga naturalmente com redes definidas por software, com políticas como código, em vez de regras de firewall mantidas à mão.
Microssegmentação e zero trust
A microssegmentação é um alicerce da rede zero trust. O zero trust parte do princípio de que não há confiança implícita com base na localização de rede, pelo que precisa da rede dividida em zonas finas com verificação e políticas entre elas, que é precisamente o que a microssegmentação fornece. Juntos, garantem que mesmo um atacante dentro do perímetro enfrenta uma fronteira de negação por predefinição em cada segmento e só consegue alcançar o que uma política explícita permite. Isto é especialmente valioso para proteger sistemas críticos e ambientes OT, onde conter uma intrusão importa tanto como preveni-la.
Como isto se relaciona com o Vexaro Mesh (em desenvolvimento)
O Vexaro Mesh, atualmente em desenvolvimento, foi concebido para abordar o isolamento pelo lado do acesso: cada nó e cada sessão autenticados, e o acesso através da malha concedido por função a partir de uma consola, para que pessoas e serviços só cheguem aos sistemas que a sua função permite e não a toda a rede. Está previsto que os eventos de ligação possam ser exportados para o seu SIEM para auditoria.
Ver as funcionalidades previstas