Mikrosegmentering: nätverk som är mer robusta och säkra mot attacker

Vad är mikrosegmentering?

Det är en typ av nätverkssegmentering som specifikt syftar till att ta itu med kritiska frågor, de som har att göra med nätverksskydd . Huvudsyftet är att minska risken för attacker och att anpassa säkerhetsåtgärderna till användningskraven. Mikrosegmentering är ett modernt tillvägagångssätt för att ge nätverk med större säkerhet, helt i linje med dynamiska IT-miljöer.

Nätverkssäkerhet är inte längre ett valfritt ämne i dess hantering, denna segmenteringsmodell är ett mer praktiskt och enkelt sätt att börja anta modellen. Noll-förtroende i nätverk. Kom ihåg att säkerhet handlar om att tillämpa alla åtkomstkontroller, autentisering med mera på alla användare lika, oavsett roller och funktioner inom en organisation.

Hur det fungerar

Mikrosegmentering gäller a politik för nätverk unik och centraliserad till varje medlem . Detta möjliggör upprätthållande av nätverkspolicyer som går längre än där människor befinner sig. Det beror med andra ord inte längre på var användaren är inloggad. Nu beror det på om användaren verkligen är inloggad. Detta sätt att upprätthålla nätverkspolicyer är nödvändigt eftersom molntjänster antas alltmer, och dessa sträcker sig naturligtvis långt utanför omkretsen av ett givet nätverk.

Även om det kan verka uppenbart är mikrosegmentering inriktad på slutanvändare. Särskilt på grund av att en stor del av händelserna som hotar nätverkssäkerheten härrör från dessa slutanvändares enheter. Det här sättet att hantera nätverk är med andra ord inte stängt för stora företagsinfrastrukturer som datacenter.

Typer av mikrosegmentering

Agent-värd

Detta är fokuserat på slutanvändare. All data som färdas över nätverket passerar genom en enhet som fungerar som en central chef . En av de främsta fördelarna är att slippa upptäcka och dekryptera de krypteringsalgoritmer och/eller protokoll som trafiken har. Men för att denna mikrosegmenteringsstrategi ska fungera till sin fulla potential måste specialiserad programvara installeras på alla värdar i nätverket. Likaså är det viktigt att veta att med hjälp av typen Host-agent kommer det att vara möjligt att förhindra säkerhetshändelser på nätverket redan innan en värd går in i själva nätverket.

Baserat på hypervisorer

Vad är en hypervisor? Det är hjärtat i många hårdvaruvirtualiseringstekniker. Dessa ansvarar för att distribuera och hantera gästens, det vill säga virtualiserade, operativsystemet. Fördelen med att implementera mikrosegmentering med hypervisorer är att redan implementerade brandväggar kan användas, förutom att migrera nuvarande nätverkspolicyer till samma eller andra hypervisorer, beroende på hur nätverksaktiviteten migrerar till denna hanteringsmodell.

Denna modell är dock inte den mest rekommenderade. För det fungerar inte alls i molnmiljöer, containrar eller bare metal hypervisorer (de som är installerade på själva hårdvaran och därifrån sker virtualisering).

Vi kan också citera en annan modell som anses vara en utvidgning av traditionell nätverkshantering . Vilket till exempel innefattar segmentering utifrån listor för åtkomstkontroll och andra metoder. Enligt experter är detta den enklaste modellen att använda, med tanke på att det inte är en “plötslig” förändring i nätverkshanteringsmetoder. Däremot kan problem uppstå när du vill använda mikrosegmentering på mycket stora nätverkssegment. När man hanterar och stödjer evenemang krävs det faktiskt många ekonomiska resurser och specialiserad personal.

Varför är mikrosegmentering säkrare?

Palo Alto Networks förklarar vikten av mikrosegmentering i samband med “Nord-Syd” nätverkstrafik (Nord-Syd i grafen) och “öst-väst”-trafik (öst-väst i grafen) . Nätverkssegmentering, som vi känner till det, fungerar bäst när man hanterar nord-syd-trafik, vilket involverar kommunikation av klient-servertyp över hela nätverket. Idag har nätverksarkitekturer i allmänhet förnyats tack vare molntjänster och deras kombination är känd som hybrid arkitektur . Den senare har mer öst-väst nätverkstrafik, dvs server-till-server-kommunikation.

Grafen vi delade ovan visar vad andel av nätverkstrafiken förekommer med öst-väst-typen. Vi ser servrar dedikerade till Storage Area Networks (SAN-nätverk) och Exchange-servrar (eller andra dedikerade till e-post). Vi kan också se dedikerade servrar som fungerar som databaser omgivna av brandväggar.

En annan punkt till förmån för mikrosegmentering är den ökande användningen av virtuella maskiner och andra virtualiseringsmetoder. Kom ihåg att det är möjligt att en enda server kan vara värd för flera virtualiseringar, var och en med motsvarande arbetsbelastning och säkerhetskrav. Detta förnyade segmenteringssätt gör det möjligt att förbättra säkerhetsåtgärderna på granulär nivå, det vill säga utifrån varje komponent i nätverket.

Överväganden innan implementering

Det finns några måsten innan du investerar för att implementera nätverksmikrosegmentering. Det rekommenderas att ha en kontroll med hög detaljnivå angående den nätverksarkitektur som används, samt de system och applikationer som används. Däremot behöver du veta hur systemen kommunicerar med varandra.

För allt detta är det nödvändigt att göra en analys med alla inblandade parter. Speciellt om vi pratar om ett stort nätverk som har kritiska operationer som utförs dagligen. Det är till och med möjligt att utföra denna analys med stöd av tjänsteleverantören. På så sätt blir det mycket lättare att identifiera de punkter där mikrosegmenten kommer att installeras. Här är det viktigaste att undvika så mycket som möjligt att nätverksfunktionaliteten inte sjunker.