<b>Сегментация сети — не про порядок в VLAN, а про ограничение радиуса атаки</b>

<b>Сегментация сети — не про порядок в VLAN, а про ограничение радиуса атаки</b>

Если злоумышленник уже внутри, плоская сеть работает против вас. Один скомпрометированный хост быстро превращается в плацдарм для lateral movement, сканирования, кражи токенов и доступа к соседним сервисам. Сегментация нужна не для красоты схемы, а для того, чтобы инцидент остался локальным.

Базовый минимум:
— отделяйте user, server, management и backup-сегменты;
— запрещайте east-west по умолчанию, разрешайте только явно нужные потоки;
— управляйте доступом через firewall/ACL, а не через «логическую договоренность» между командами;
— админские интерфейсы выносите в отдельный контур с MFA и ограничением по источникам.

Не смешивайте критичные роли в одном broadcast-домене: AD, CI/CD, bastion, системы бэкапов и мониторинг должны жить в разных зонах с минимальным набором разрешений. Особое внимание — сервисным аккаунтам: если у них есть сетевой доступ шире необходимого, сегментация превращается в декоративный слой. Периметр не заканчивается на фаерволе, он заканчивается на последнем микросервисе.

Проверяйте правила как код: документируйте допустимые зависимости, регулярно ищите избыточные маршруты и тестируйте, что при компрометации одного сегмента соседний не раскрывается автоматически. Безопасность — это не состояние, а непрерывный процесс мониторинга и патчинга.