网络分段将网络划分成更小的部分。每个部分都有自己的访问规则。例如，营销VLAN中的一台被入侵的笔记本电脑无法直接访问工资数据库。它必须跨越一个边界，而该边界设有控制措施。分段限制了攻击者入侵后的活动范围。如果没有分段，一台被入侵的机器通常意味着攻击者可以访问整个网络。

2013 年 Target 数据泄露事件就是一个典型的例子。攻击者从一家暖通空调供应商窃取了凭证，并利用这些凭证入侵了 Target 的网络。之后，他们横向移动到销售点系统，窃取了 4000 万个信用卡号。网络分段虽然无法阻止最初的入侵，但可以将其遏制住。供应商的访问权限本应仅限于暖通空调管理网络。销售点系统也应该与其他所有系统完全隔离。攻击者越过了本不该存在的边界。

分割方法

• VLAN——物理网络内的逻辑隔离
• 防火墙——强制执行段之间的规则
• 微分割——对各个工作负载进行精细控制
• 气隙——为最敏感的系统提供物理隔离

网络分段并非一劳永逸。网络会不断发展壮大，新的应用和设备会创建新的路径。因此，必须定期审查规则。如果无人维护，分段计划最终只会变成三年前网络结构的示意图。