Netwerksegmentatie

Netwerksegmentatie is het opdelen van een computernetwerk in meerdere, afgescheiden segmenten met als doel de communicatie te isoleren en beheersbaar te houden. Door segmentatie kunnen verkeer en risico’s beter worden gecontroleerd: alleen geautoriseerde verbindingen tussen segmenten zijn toegestaan. Segmentatie kan zowel fysiek als logisch plaatsvinden, afhankelijk van de infrastructuur en vereisten.

De meest voorkomende methode is het gebruik van virtuele LAN's (VLANs) om broadcastdomeinen te beperken en verkeer tussen groepen apparaten te scheiden. Verder wordt segmentatie afgedwongen door routers of firewalls met toegangscontrolelijsten (ACL’s) en door het gebruik van DMZ’s en subnetten. In moderne omgevingen wordt vaak microsegmentatie toegepast, waarbij softwarematige beleidsregels de communicatie tussen workloads sturen op applicatieniveau, ongeacht de onderliggende netwerktopologie.

Daarnaast worden netwerk- en datacenteromgevingen ondersteund door softwaregedreven netwerken (SDN) en netwerkvirtualisatie, waarmee centraal beleid kan worden gedefinieerd en gehandhaafd. Microsegmentatie maakt het mogelijk per applicatie of service fijne toegangsregels af te dwingen, wat de beveiliging verhoogt en de mogelijkheden voor een laterale beweging beperkt.

Voordelen zijn onder meer een kleiner blast radius bij beveiligingsincidenten, betere naleving van regelgeving, verhoogde zichtbaarheid en controle over verkeer, en potentieel betere prestaties doordat broadcast-verkeer wordt verminderd. Nadelen zijn onder meer ontwerp- en beheerscomplexiteit, kans op configuratiefouten, extra latency bij inter-segment verkeer en hogere operationele kosten. Succesvolle implementatie vereist duidelijke governance, beleidsvorming en continue monitoring.