Сетевая сегментация снижает ущерб, когда граница уже пробита

Сетевая сегментация снижает ущерб, когда граница уже пробита

После первичного доступа атакующий почти всегда ищет не «главную цель», а путь к расширению привилегий. Если внутренняя сеть плоская, компрометация одного узла быстро превращается в доступ к AD, CI/CD, базам и трекерам. Сегментация нужна не для красоты схемы, а чтобы разорвать цепочку lateral movement.

Рабочая модель строится вокруг доверенных зон: пользователи, серверы приложений, базы, админские контуры, внешние интеграции. Между зонами — явные правила allow-list, минимальный набор портов и протоколов, отдельные журналы, отдельные учетные контуры. Особенно опасны общие подсети для рабочих станций и сервисов, а также «временные» исключения, которые потом живут годами.

Проверяйте три вещи: есть ли прямой маршрут к критичным сегментам, можно ли из компрометированного хоста достучаться до IAM и секрет-хранилищ, и не используется ли один jump-host как универсальный мост. Любой административный доступ должен быть ограничен по времени, источнику и назначению. ACL, микросегментация, VLAN, security groups и host firewall должны работать согласованно, иначе контроль остается на бумаге.

Сегментация не отменяет EDR, MFA и резервные копии, но резко снижает радиус поражения и дает время на реакцию. Проверяйте логи, истина всегда скрыта в них.