Сегментация сети: как ограничить радиус поражения после первого компромисса

Сегментация сети: как ограничить радиус поражения после первого компромисса

Если плоская сеть позволяет атакующему двигаться свободно, то сегментация превращает инцидент в локальную проблему. Базовая задача — не «закрыть всё», а разорвать маршруты между зонами с разным уровнем доверия: рабочие станции, сервисы, админ-доступ, базы данных, подсети для подрядчиков и управляющая плоскость.

Практически это означает: — отдельные VLAN/VRF или облачные VPC-сегменты; — маршрутизацию только через контролируемые точки; — deny by default между зонами; — явные ACL/SG для каждого потока; — запрет прямого east-west-доступа без необходимости. Если сервису нужен доступ к БД, он получает только нужный порт, только к нужному адресу, только из нужной подсети.

Критическая ошибка — строить сегментацию по иерархии оргструктуры, а не по потокам данных и trust boundaries. В результате в одной зоне оказываются и user-facing сервисы, и административные интерфейсы, и резервные каналы. После компромисса такой сегмент становится плацдармом для lateral movement. Проверяйте логи, истина всегда скрыта в них.

Минимальный чек-лист: инвентаризация потоков, матрица доступов, тестирование межсегментных блокировок, отдельный контроль jump-host, изоляция management plane, регулярная ревизия правил. То, что не описано в политике, обычно существует как неявное исключение — а исключения и есть зона риска.

Сегментация не предотвращает компромисс, но резко снижает масштаб ущерба. Периметр не заканчивается на фаерволе, он заканчивается на последнем микросервисе.