Netværkssegmentering opdeler et netværk i mindre dele. Hver del har sine egne adgangsregler. En kompromitteret bærbar computer i marketing-VLAN'et kan ikke nå løndatabasen direkte. Den skal krydse en grænse, og den grænse har kontroller. Segmentering begrænser, hvor langt en angriber kan bevæge sig, når den først er indenfor. Uden den betyder én kompromitteret maskine ofte adgang til alt.

Target-bruddet i 2013 er et skoleeksempel. Angribere stjal loginoplysninger fra en HVAC-leverandør og brugte dem til at få adgang til Targets netværk. Derfra bevægede de sig lateralt til salgssystemer og stjal 40 millioner kortnumre. Segmentering ville ikke have stoppet den oprindelige adgang, men det kunne have indesluttet den. Leverandørens adgang burde have været begrænset til HVAC-styringsnetværket. POS-systemerne burde have været isoleret fra alt andet. Angriberne krydsede grænser, der ikke burde have eksisteret.

Segmenteringsmetoder

• VLAN'er — logisk adskillelse inden for et fysisk netværk
• Firewalls — håndhæv regler mellem segmenter
• Mikrosegmentering — finjusterede kontroller omkring individuelle arbejdsbyrder
• Luftspalter — fysisk adskillelse for de mest følsomme systemer

Segmentering er ikke et engangsprojekt. Netværk vokser. Nye applikationer og enheder skaber nye veje. Gennemgå reglerne regelmæssigt. En segmenteringsplan, som ingen vedligeholder, bliver et diagram over, hvordan netværket så ud for tre år siden.