Сегментація мережі — це дія або практика поділу комп'ютерної мережі на підмережі, кожна з яких є мережевим сегментом. Основними перевагами такого поділу є підвищення продуктивності та покращення безпеки.
Переваги
Зменшення перевантаження: у сегментованій мережі на кожну підмережу припадає менше вузлів, а трафік і, відповідно, перевантаження в кожному сегменті зменшуються Покращення безпеки: Широкомовні повідомлення будуть обмежені сегментом. Внутрішня структура мережі не буде видимою ззовні. Якщо один із вузлів мережевого сегмента буде скомпрометовано, доступна для подальшого переміщення поверхня атаки буде меншою. Поширені вектори атак, такі як отруєння LLMNR і NetBIOS, можна частково зменшити за допомогою належної сегментації мережі, оскільки вони працюють лише в локальній мережі. З цієї причини рекомендується сегментувати різні ділянки мережі за призначенням. Базовим прикладом є поділ вебсерверів, серверів баз даних і стандартних користувацьких машин на окремі сегменти. Створюючи мережеві сегменти, які містять лише ресурси, специфічні для споживачів, яким ви надаєте доступ, ви створюєте середовище найменших привілеїв Локалізація мережевих проблем: обмеження впливу локальних відмов на інші частини мережі Контроль доступу відвідувачів: доступ відвідувачів до мережі можна контролювати шляхом реалізації VLAN для сегментації мережі
Покращення безпеки
Коли кіберзлочинець отримує несанкціонований доступ до мережі, сегментація або «зонування» може забезпечити ефективні засоби контролю для обмеження подальшого переміщення мережею.
Стандарти надають рекомендації щодо створення чіткого розділення даних усередині мережі; прикладами є: IEC 62443 (забезпечення безпеки промислових систем автоматизації та керування) PCI DSS (Стандарт безпеки даних індустрії платіжних карток)
Наприклад, відокремлення мережі для авторизації платіжних карток від мережі для трафіку точок обслуговування (касових терміналів) або Wi-Fi клієнтів. Надійна політика безпеки передбачає сегментацію мережі на декілька зон із різними вимогами до безпеки та суворе дотримання політики щодо того, що дозволено переміщувати із зони в зону.
Контроль доступу відвідувачів Фінансовому відділу та відділу кадрів зазвичай потрібен доступ через власні VLAN до серверів застосунків через конфіденційний характер інформації, яку вони обробляють і зберігають. Іншим групам персоналу також можуть знадобитися власні ізольовані мережі, наприклад адміністраторам серверів, адміністраторам безпеки, керівникам і посадовим особам.
Зазвичай для третіх сторін також виділяють власні сегменти з паролями адміністрування, відмінними від паролів основної мережі, щоб уникнути атак через скомпрометований, менш захищений сайт третьої сторони.
Засоби сегментації Сегментація зазвичай досягається поєднанням міжмережевих екранів і VLAN (віртуальних локальних мереж). Програмно-конфігурована мережа (SDN) може забезпечувати створення та керування мікросегментованими мережами.
Див. також Простір колізій Засоби міждоменного обміну Мережевий міст Мережевий комутатор Маршрутизатор Плоска мережа Односпрямована мережа
Примітки