Ogranicza, które tożsamości i zasoby mogą się komunikować, szczególnie wzdłuż ścieżek wschód–zachód wewnątrz centrum danych lub chmury. Egzekwowanie może odbywać się w hostach, hipernadzorcach, kontrolach chmurowych, rozproszonych zaporach, sieciach usługowych (service meshes) lub innych punktach polityki.
Polityki mogą używać adresów i portów, tożsamości obciążeń, etykiet, atrybutów urządzeń i kontekstu aplikacji. Godny zaufania inwentarz i mapowanie zależności musi poprzedzać egzekwowanie, inaczej uprawnione przepływy mogą się psuć. Polityki powinny być testowane i wprowadzane stopniowo.
Najważniejsze punkty
Model politykiWyrażaj dozwoloną komunikację według celu biznesowego i minimalnych uprawnień, uwzględniając zależności zarządzania, monitorowania, kopii zapasowych, aktualizacji i odbudowy — nie tylko główne przepływy.
Projekt egzekwowaniaWybieraj punkty polityki odporne na obejście i definiuj zachowanie, gdy agenty, kontrolery, usługi tożsamości lub etykiety są niedostępne. Uzgadniaj nakładające się reguły hostowe, sieciowe, chmurowe i service-mesh.
Operacje i OTZaczynaj od widoczności, mierz odrzucone przepływy, wdrażaj zmiany etapami i utrzymuj wycofanie. W środowiskach OT używaj pasywnego wykrywania i zatwierdzania inżynierskiego, ponieważ agenty, skany lub blokowanie mogą zakłócać procesy fizyczne.
Istotne ograniczenieMikrosegmentacja nie jest automatycznie Zero Trust i nie naprawia niedokładnego inwentarza, skompromitowanej administracji ani podatności aplikacji. Nadmierna granulacja może stać się niemożliwą do zarządzania, a pobłażliwe wyjątki odtwarzają płaską sieć. Luki w pokryciu i współdzielone płaszczyzny sterowania mogą nadal łączyć segmenty.