Aceasta limitează ce identități și resurse pot comunica, în special pe căile est-vest din interiorul unui centru de date sau cloud. Aplicarea poate avea loc în gazde, hypervizori, controale cloud, firewall-uri distribuite, service mesh-uri sau alte puncte de politici.
Politicile pot folosi adrese și porturi, identitatea sarcinii de lucru, etichete, atribute de dispozitiv și context de aplicație. Un inventar și o mapare a dependențelor demne de încredere trebuie să preceadă aplicarea, altfel fluxurile legitime se pot întrerupe. Politicile trebuie testate și introduse progresiv.
Puncte esențiale
Model de politicăExprimați comunicarea permisă după scopul de afaceri și privilegii minime, incluzând dependențele de management, monitorizare, backup, actualizare și recuperare — nu doar fluxurile primare.
Proiectarea aplicăriiAlegeți puncte de politici care rezistă ocolirii și definiți comportamentul când agenții, controlerele, serviciile de identitate sau etichetele sunt indisponibile. Reconciliați regulile suprapuse de gazdă, rețea, cloud și service mesh.
Operațiuni și OTÎncepeți cu vizibilitatea, măsurați fluxurile respinse, introduceți modificările etapizat și mențineți revenirea. În medii OT, folosiți descoperire pasivă și aprobare inginerească, deoarece agenții, scanările sau blocarea pot perturba procese fizice.
Limitare importantăMicrosegmentarea nu este automat zero trust și nu corectează un inventar inexact, administrarea compromisă sau vulnerabilitățile aplicațiilor. Granularitatea excesivă poate deveni imposibil de gestionat, în timp ce excepțiile permisive recreează o rețea plată. Lacunele de acoperire și planurile de control partajate pot totuși conecta segmente.