Omezuje, které identity a prostředky mohou komunikovat — zejména na cestách east–west uvnitř datového centra či cloudu. Vynucení může probíhat v hostitelích, hypervizorech, cloudových kontrolách, distribuovaných firewallech, service meshích nebo jiných bodech politiky.
Politiky mohou používat adresy a porty, identitu úlohy, štítky, atributy zařízení a aplikační kontext. Důvěryhodná inventarizace a mapování závislostí musí vynucení předcházet, jinak se mohou legitimní toky přerušit. Politiky by měly být testovány a zaváděny postupně.
Klíčové body
Model politikyVyjádřete povolenou komunikaci podle obchodního účelu a nejmenších oprávnění, včetně závislostí na správě, monitorování, zálohování, aktualizacích a obnově — nejen primární toky.
Návrh vynuceníZvolte body politiky odolné vůči obcházení a definujte chování, když jsou agenti, controllery, služby identit či štítky nedostupné. Slučujte překrývající se pravidla hostitele, sítě, cloudu a service meshe.
Provoz a OTZačněte viditelností, měřte zamítnuté toky, změny zavádějte postupně a udržujte možnost návratu. V prostředích OT používejte pasivní objevování a souhlas inženýrů, protože agenti, skenování či blokování mohou narušit fyzikální procesy.
Důležité omezeníMikrosegmentace není automaticky Zero Trust a nenapravuje nepřesnou inventarizaci, kompromitovanou správu či zranitelnosti aplikací. Nadměrná granuralita může být nezvládnutelná, zatímco permisivní výjimky znovu vytvářejí plochou síť. Mezery v pokrytí a sdílené řídicí roviny mohou segmenty stále propojovat.