Netzwerksegmentierung teilt ein Netz in Vertrauenszonen, damit ein Einbruch in einem Bereich nicht überall frei hingelangt.
Die Kontrolle ist die Grenze und die erlaubten Wege zwischen Zonen, und das ist konkreter als das allgemeine Ziel der Netzwerksicherheit.
So funktioniert es
Eine Zone kann den Gastfunk halten, eine andere die Gebäudesteuerung, eine weitere die Identitätssysteme, und Verkehr dazwischen ist verboten, sofern ihn keine Regel nennt.
Segmentierung begrenzt den Schadenradius: eine übernommene Kamera soll nicht eine Lohndatenbank öffnen können, nur weil beide das Internetprotokoll nutzen.
Zonen auf eine Zeichnung zu malen bewirkt nichts, bis Routing, Firewall Regeln und Identitätsprüfungen die Zeichnung wirklich durchsetzen.
Teams prüfen Zonen auch, wenn ein Projekt eine Abkürzung ergänzt, denn eine befristete Regel von jedem zu jedem löscht den Entwurf.
Konkrete Beispiele
- Kassen können mit dem Zahlungsdienstleister sprechen und können keine Dateifreigaben des Büros öffnen.
- Ein Labornetz hat keinen Weg zu den Identitätsservern außer über einen Sprungrechner, der eine gesonderte Anmeldung verlangt.
- Gebäudekameras sitzen in einem Segment, das ihren Recorder erreichen darf und keine Verbindungen zu Laptops beginnen darf.
Schutzmaßnahmen
- Benennen Sie jede Zone danach, was sie erreichen darf, und verbieten Sie den Rest, statt ein stilles Erlauben zu lassen.
- Entfernen Sie befristete Regeln von jedem zu jedem über ein datiertes Ticket, damit sie nicht die eigentliche Architektur werden.
- Prüfen Sie aus einer Zone mit geringem Vertrauen, dass sie hochwertige Ports nicht öffnen kann, die Sie für isoliert halten.
- Setzen Sie neue vernetzte Geräte absichtlich in eine Zone, statt sie in das flache Büronetz fallen zu lassen.