A hálózati szegmentálás kisebb darabokra osztja a hálózatot. Minden darabnak megvannak a saját hozzáférési szabályai. Egy feltört laptop a marketing VLAN-ban nem érheti el közvetlenül a bérszámfejtési adatbázist. Át kell lépnie egy határt, és ennek a határnak vannak ellenőrzései. A szegmentálás korlátozza, hogy egy támadó milyen messzire mehet el, miután belépett. Enélkül egyetlen feltört gép gyakran azt jelenti, hogy mindenhez hozzáfér.

A 2013-as Target-támadás erre iskolapélda. A támadók ellopták egy HVAC-szolgáltató hitelesítő adatait, és azokat felhasználva beléptek a Target hálózatába. Innen oldalirányban a POS-rendszerekhez jutottak el, és 40 millió kártyaszámot loptak el. A szegmentálás nem állította volna meg a kezdeti bejutást, de korlátozhatta volna azt. A szolgáltató hozzáférését a HVAC-kezelő hálózatra kellett volna korlátozni. A POS-rendszereket minden mástól el kellett volna különíteni. A támadók olyan határokat léptek át, amelyeknek nem lett volna szabad létezniük.

Szegmentációs megközelítések

• VLAN-ok – logikai elválasztás egy fizikai hálózaton belül
• Tűzfalak – szabályok betartatása a szegmensek között
• Mikroszegmentáció – részletes szabályozás az egyes munkaterhelések körül
• Légrések – fizikai elválasztása a legérzékenyebb rendszerekhez

A szegmentálás nem egyszeri projekt. A hálózatok növekednek. Az új alkalmazások és eszközök új utakat hoznak létre. Rendszeresen vizsgáld felül a szabályokat. Egy szegmentációs terv, amelyet senki sem tart karban, egy olyan diagrammá válik, amely azt mutatja, hogyan nézett ki a hálózat három évvel ezelőtt.