A segmentação de rede melhora a segurança e o desempenho

A segmentação de rede melhora a segurança e o desempenho é perfilada pela BTW Media porque evidências publicadas a vinculam à infraestrutura da internet, governança, dependências operacionais ou visibilidade de mercado.

• A segmentação de rede divide uma grande rede em segmentos menores e isolados para melhorar a segurança e reduzir a superfície de ataque.
• Ela melhora o desempenho ao limitar o tráfego de broadcast e permitir políticas de segurança adaptadas a cada segmento.
• Uma implementação correta pode ajudar na conformidade regulatória e melhorar os tempos de resposta a incidentes durante violações de segurança.

As empresas enfrentamameaças de segurança cibernéticacrescentes que podem comprometer dados sensíveis e perturbar as operações neste mundo cada vez mais interconectado. Uma estratégia eficaz para mitigar esses riscos é a segmentação de rede, que consiste em dividir uma grande rede em partes menores e gerenciáveis.

Essa abordagem não apenas melhora a segurança, mas também o desempenho da rede ao isolar problemas e controlar o fluxo dedados. À medida que as organizações buscam soluções robustas para proteger seus ativos digitais, compreender os princípios e benefícios da segmentação de rede torna-se essencial.

Definição de segmentação de rede

A segmentação de rede é uma abordagem arquitetônica que divide uma rede em vários segmentos ou sub-redes, cada um agindo como sua própria pequena rede. Isso permite que os administradores de rede controlem o fluxo de tráfego entre as sub-redes com base em políticas granulares. As organizações usam a segmentação para melhorar o monitoramento, aumentar o desempenho, localizar problemas técnicos e reforçar a segurança.

Leia também:Fatos importantes sobre uma NIC (placa de interface de rede)

Leia também:Rede DMZ: Definição, princípios de funcionamento e benefícios

A hipótese de confiança

No passado, os arquitetos de rede concentravam suas estratégias de segurança no perímetro da rede interna, a linha invisível que separa o mundo externo dos dados vitais para os negócios de uma empresa. Os indivíduos dentro do perímetro eram presumidos confiáveis e, portanto, não ameaçadores. Assim, eles estavam sujeitos a poucas restrições quanto à sua capacidade de acessar informações.

No entanto, asinfraestruturas de segurança legadassão geralmente arquiteturas de rede planas que dependem de um firewall de perímetro como único ponto de inspeção e controle de tráfego. Como as fronteiras da rede não existem mais como antes e a maior parte do tráfego dos data centers é leste-oeste, os firewalls tradicionais baseados em portas oferecem valor limitado em um mundo cloud e mobile.

Violações de alto perfil recentes questionaram a hipótese de confiança. Por um lado, os insiders podem de fato ser a causa de violações, muitas vezes inadvertidamente, mas às vezes deliberadamente. Além disso, quando ameaças penetram o perímetro, elas estão livres para se mover lateralmente na rede para acessar praticamente todos os dados, aplicações, ativos ou serviços (DAAS). Com acesso praticamente irrestrito, os atacantes podem facilmente exfiltrar uma ampla gama de ativos valiosos, muitas vezes antes mesmo que a violação seja detectada.

A resposta Zero Trust

Devido às fraquezas inerentes da confiança presumida, muitas organizações começaram a adotar a estratégia Zero Trust. OZero Trustpressupõe que ninguém é confiável por padrão, mesmo aqueles já dentro do perímetro da rede. O Zero Trust funciona com base no princípio de uma "superfície de proteção" construída em torno dos DAAS mais críticos e valiosos da organização. Como contém apenas o que é mais crítico para as operações de negócios, a superfície de proteção é várias ordens de grandeza menor do que a superfície de ataque do perímetro completo da rede.

É aí que a segmentação de rede entra em ação. Por meio da segmentação, os arquitetos de rede podem construir um microperímetro em torno da superfície de proteção, formando essencialmente uma segunda linha de defesa. Em alguns casos, firewalls virtuais podem automatizar o provisionamento de segurança para simplificar as tarefas de segmentação. Independentemente do método, os usuários autorizados podem acessar os ativos na superfície de proteção, enquanto todos os outros são bloqueados por padrão.

A segmentação é uma má notícia para os atacantes porque, ao contrário da era da confiança presumida, simplesmente penetrar no perímetro não é suficiente para acessar informações sensíveis. Osmicroperímetros, sejam físicos ou virtuais, impedem que as ameaças se movam lateralmente na rede, anulando grande parte do trabalho que levou à violação inicial.

Casos de uso

As organizações podem usar a segmentação de rede para várias aplicações.

Rede Wi-Fi para convidados:Com a segmentação de rede, uma empresa pode oferecer serviço Wi-Fi a visitantes e contratados com relativamente pouco risco. Quando alguém se conecta com credenciais de convidado, entra em um microssegmento que fornece acesso à Internet e nada mais.

Acesso por grupo de usuários:Para se proteger contra violações internas, muitas empresas segmentam departamentos internos em sub-redes distintas que incluem os membros autorizados do grupo e os DAAS de que precisam para realizar seu trabalho. O acesso entre sub-redes é rigorosamente controlado. Por exemplo, uma pessoa do departamento de engenharia tentando acessar a sub-rede de recursos humanos acionaria um alerta e uma investigação.

Segurança na nuvem pública:Os provedores de serviços em nuvem são geralmente responsáveis pela segurança da infraestrutura de nuvem, mas o cliente é responsável pela segurança dos sistemas operacionais, plataformas, controle de acesso, dados, propriedade intelectual, código-fonte e conteúdo destinado a clientes que geralmente dependem da infraestrutura. A segmentação é um método eficaz para isolar aplicações em ambientes de nuvem pública e híbrida.

ConformidadePCI DSS:Os administradores de rede podem usar a segmentação para isolar todas as informações de cartão de crédito em uma zona de segurança – essencialmente uma superfície de proteção – e criar regras para permitir apenas o tráfego legítimo mínimo absoluto na zona, enquanto recusam automaticamente todo o resto. Essas zonas isoladas são frequentemente SDNs virtualizadas nas quais a conformidade PCI DSS e a segmentação podem ser realizadas por meio de firewalls virtuais.