Что такое микросегментация?
Микросегментацией называют практику, при которой сеть делят на небольшие изолированные сегменты и точно определяют, какой трафик разрешён между ними. Вместо того чтобы считать всю сеть одним доверенным пространством, где всё доступно всему, микросегментация распределяет системы по мелким зонам и применяет политики на их границах. Так взлом одной зоны остаётся внутри неё и не распространяется дальше.
Микросегментация делит сеть на небольшие изолированные зоны с политиками, контролирующими трафик между ними, так что взлом в одной зоне не может свободно распространиться на другие.
Чего достигает микросегментация
- 01
Она ограничивает горизонтальное перемещение: злоумышленник, закрепившийся в одном сегменте, не может автоматически перейти к системам в другом.
- 02
Она обеспечивает минимальные привилегии на сетевом уровне: зоны обмениваются данными только через явно разрешённые потоки, а всё остальное запрещено по умолчанию.
- 03
Она защищает системы, которые не могут защитить себя сами, такие как устаревшие или OT-устройства, изолируя их, а не полагаясь на агенты на устройстве.
- 04
Она сокращает поверхность атаки и делает границы аудита чётче: вы видите и можете доказать, что разрешено пересекать каждый сегмент.
Микросегментация против традиционной сегментации
Классическая сегментация сети использует крупные зоны, чаще всего VLAN и подсети с правилами файрвола между ними. Это помогает, но зоны слишком крупные, и внутри зоны всё по-прежнему свободно общается. Микросегментация работает тоньше: она изолирует рабочие нагрузки, приложения или классы устройств в небольших сегментах и управляет трафиком между ними с помощью конкретных политик. Для горизонтального перемещения остаётся гораздо меньше возможностей, но нужен способ единообразно задавать и применять множество политик. Поэтому микросегментация естественно сочетается с программно-определяемой сетью и политиками в виде кода, а не с правилами файрвола, которые ведутся вручную.
Микросегментация и zero trust
Микросегментация лежит в основе zero-trust сетей. Zero trust не даёт неявного доверия на основании местоположения в сети, поэтому ему нужна сеть, разделённая на мелкие зоны с проверками и политиками между ними, а именно это и обеспечивает микросегментация. Вместе они приводят к тому, что даже злоумышленник внутри периметра на каждом сегменте упирается в границу с запретом по умолчанию и может добраться только до того, что явно разрешено политикой. Особенно это важно для защиты критичных систем и OT-сред, где сдержать взлом так же важно, как и предотвратить его.
Как это соотносится с Vexaro Mesh (в разработке)
Vexaro Mesh по замыслу подходит к изоляции со стороны доступа: каждый узел и каждая сессия проходят аутентификацию, а доступ через mesh выдаётся по ролям из одной консоли, чтобы люди и сервисы видели только разрешённые их роли системы, а не всю сеть. События подключений планируется экспортировать в ваш SIEM для аудита.
Посмотреть планируемые функции