Nettverksssegmentering

Nettverksssegmentering (ofte omtalt som nettverksegmentering) er en praksis der et datanettverk deles inn i mindre, isolerte segmenter for å begrense bevegelse av trafikk og redusere risiko ved sikkerhetsbrudd. Hovedformålet er å kontrollere hvilke enheter som kan kommunisere med hverandre, samt å forbedre sikkerhet, synlighet og nettverksytelse ved å begrense bredbånds- og broadcasttrafikk.

Segmentering oppnås vanligvis gjennom bruk av VLAN-er, undernett (subnett), brannmurer og tilgangskontrollister (ACL-er), samt rutere eller segmenteringsgatewayer. I sky- eller hybride miljøer brukes ofte programvaredefinert nettverk (SDN), mikrosegmentering og skybaserte nettverkstjenester for å oppnå mer granular kontroll over trafikk og sikkerhet.

Fordeler inkluderer redusert risiko for lateral bevegelse ved angrep, enklere etterlevelse av krav, bedre synlighet og kontroll av trafikk, samt mindre belastning på hele nettverket. Ulemper inkluderer økt kompleksitet, administrativt arbeid og risiko for feilkonfigurasjon som kan bryte legitime forbindelser hvis segmentene ikke er riktig definert, samt behov for kontinuerlig overvåkning og vedlikehold.

Beste praksis innebærer å kartlegge dataflyt og identifisere kritiske eiendeler, definere klare sikkerhetspolicyer og tilgangsnivåer, implementere minste privilegium, bruke automatisering for implementasjon og endringer, og kontinuerlig overvåke og loggføre trafikk. Regelmessige tester av segmenteringen og revisjoner av policyer anbefales for å sikre at segmentene fungerer som tiltenkt.

Relaterte konsepter inkluderer zero-trust-tilnærmingen og mikrosegmentering i SDN-rammeverk. Nettverksssegmentering er også en del av sikkerhetsarkitekturer for både lokale nettverk og skymiljøer.