Jej wartość bezpieczeństwa pochodzi z egzekwowanych granic — takich jak zapory sieciowe, listy kontroli dostępu, bramy, proxy lub fizycznie oddzielne ścieżki — a nie jedynie z rysowania osobnych zakresów sieciowych lub przypisywania wirtualnych sieci LAN (VLAN).
Dobra segmentacja ogranicza niepotrzebną osiągalność, redukuje ścieżki ataku, powstrzymuje awarie i tworzy użyteczne punkty monitorowania. Polityka powinna opierać się na zależnościach biznesowych i procesowych: które źródło może osiągać które miejsce docelowe, przy użyciu jakiej usługi, w jakim celu i czyim właścicielstwie.
Najważniejsze punkty
Główny celZmniejszenie ekspozycji i ograniczenie ruchu lateralnego lub propagacji awarii.
Metoda projektowaGrupuj zasoby według funkcji, krytyczności, wymagań zaufania i zależności procesowych; następnie definiuj i testuj dozwolone kanały.
Potrzeba operacyjnaDokumentuj przepływy, usuwaj przestarzałe reguły, monitoruj ruch graniczny i testuj ścieżki dozwolone oraz zablokowane po zmianach.
Uwaga o odpornościSegmentacja musi zachowywać wymagane usługi bezpieczeństwa procesowego, zarządzania, failover, czasu, rozwiązywania nazw i odbudowy.
Istotne ograniczenieSam VLAN nie jest granicą bezpieczeństwa, a nadmiernie pobłażliwa zapora między strefami daje niewielkie ograniczenie skutków.