Міжмережевий екран на зовнішньому периметрі контролює доступ до мережі, але сам по собі не визначає, які внутрішні системи можуть обмінюватися даними після початкового проникнення. Мікросегментація переносить такі обмеження ближче до робочих навантажень: для віртуальних машин задають окремі політики трафіку, щоб звузити можливості руху між ними.
Внутрішня зв’язність визначає масштаб компрометації
У мережі без ізоляції скомпрометована система може отримати доступ до інших внутрішніх ресурсів через дозволені або надто широкі службові з’єднання. Саме цей сценарій називають горизонтальним переміщенням: початковий доступ до одного вузла не обов’язково дає повний контроль, але може стати точкою переходу до інших систем.
Мікросегментація ділить мережу на ізольовані ділянки зі строгими правами доступу. Її мета не в тому, щоб замінити зовнішній захист, а в тому, щоб контролювати внутрішні взаємодії, які периметровий екран може не розрізняти на рівні окремих робочих навантажень.
У вихідному матеріалі наведено твердження, що 94% внутрішніх пентестів нібито завершуються повним захопленням корпоративної мережі. Водночас без першоджерела та методології цю цифру не можна вважати встановленою оцінкою. Так само потребують незалежних даних заяви про загальне зростання бюджетів на периметровий захист і недостатність традиційних екранів та систем виявлення інцидентів.
Політики на порту ВМ контролюють IP, протоколи й порти
Підхід реалізують засобами програмно-визначуваних мереж на рівні віртуалізації. У документації zVirt 4.0 мікросегментацію описано як контроль вхідного та вихідного трафіку на порту віртуальної машини.
Правила можуть враховувати IP-адреси, протоколи L3/L4 і порти. Це дає змогу обмежувати взаємодію віртуальних машин навіть тоді, коли вони перебувають в одній мережі. Замість широкого дозволу на весь внутрішній обмін політика визначає, який саме трафік потрібний конкретному сервісу.
Екран перед кожною ВМ не створює єдиної політики доступу
Модель з окремим міжмережевим екраном перед кожною віртуальною машиною не тотожна мікросегментації. За великої кількості ВМ проблема переходить від самого факту фільтрації до керування численними правилами, їхньої узгодженості та розуміння залежностей між сервісами.
Централізовані політики на рівні віртуалізації дають інший спосіб описати внутрішні зв’язки: доступ прив’язують до параметрів трафіку та конкретних робочих навантажень. Проте сам факт наявності такої функції не доводить, що її неможливо обійти в усіх інфраструктурах або за будь-якого сценарію атаки.
У zVirt правила доступні в розділі «Керовані мережі»
У платформі zVirt керування правилами мікросегментації доступне через розділ «Керовані мережі». Документація підтверджує можливість обмежувати мережеву взаємодію між ВМ в одній мережі, але результат залежить від точності визначених потоків трафіку та правил доступу.
Мікросегментація не замінює керування ідентичностями, оновлення систем, моніторинг і реагування на інциденти. Її роль полягає в тому, щоб зменшити коло внутрішніх систем, до яких може дістатися скомпрометований вузол, якщо політики відповідають реальним сервісним зв’язкам.