Segmentarea rețelei împarte o rețea în porțiuni mai mici. Fiecare porțiune are propriile reguli de acces. Un laptop compromis în VLAN-ul de marketing nu poate ajunge direct la baza de date de salarizare. Trebuie să traverseze o graniță, iar acea graniță are controale. Segmentarea limitează cât de departe se poate deplasa un atacator odată ce este în interior. Fără aceasta, o singură mașină compromisă înseamnă adesea acces la tot.

Infracțiunea de securitate Target din 2013 este un exemplu de manual. Atacatorii au furat acreditările unui furnizor de sisteme HVAC și le-au folosit pentru a intra în rețeaua Target. De acolo, s-au mutat lateral către sistemele POS și au furat 40 de milioane de numere de carduri. Segmentarea nu ar fi oprit intrarea inițială, dar ar fi putut să o limiteze. Accesul furnizorului ar fi trebuit să fie limitat la rețeaua de management HVAC. Sistemele POS ar fi trebuit să fie izolate de orice altceva. Atacatorii au depășit limite care nu ar fi trebuit să existe.

Abordări de segmentare

• VLAN-uri — separare logică în cadrul unei rețele fizice
• Firewall-uri — impun reguli între segmente
• Microsegmentare — controale precise în jurul sarcinilor de lucru individuale
• Spații de aer — separare fizică pentru cele mai sensibile sisteme

Segmentarea nu este un proiect singular. Rețelele cresc. Aplicații și dispozitive noi creează noi căi. Revizuiți regulile în mod regulat. Un plan de segmentare pe care nimeni nu îl întreține devine o diagramă a modului în care arăta rețeaua acum trei ani.