網路分段將網路劃分成更小的部分。每個部分都有自己的訪問規則。例如，行銷VLAN中的一台被入侵的筆記型電腦無法直接存取薪資資料庫。它必須跨越一個邊界，而該邊界設有控制措施。分段限制了攻擊者入侵後的活動範圍。如果沒有分段，一台被入侵的機器通常意味著攻擊者可以存取整個網路。

2013 年 Target 資料外洩事件就是一個典型的例子。攻擊者從一家暖通空調供應商竊取了憑證，並利用這些憑證入侵了 Target 的網路。之後，他們橫向移動到銷售點系統，竊取了 4,000 萬個信用卡號。網路分段雖然無法阻止最初的入侵，但可以將其遏制住。供應商的存取權限本應僅限於暖通空調管理網路。銷售點系統也應該與其他所有系統完全隔離。攻擊者越過了本不該存在的邊界。

分割方法

• VLAN－實體網路內的邏輯隔離
• 防火牆－強制執行段之間的規則
• 微分割－對各個工作負載進行精細控制
• 氣隙－為最敏感的系統提供物理隔離

網路分段並非一勞永逸。網路會不斷發展壯大，新的應用和裝置會創造新的路徑。因此，必須定期審查規則。如果無人維護，分段計畫最終只會變成三年前網路結構的示意圖。