Сетевая сегментация ограничивает ущерб, когда один узел уже скомпрометирован

Сетевая сегментация ограничивает ущерб, когда один узел уже скомпрометирован

Если атакующий получил доступ к рабочей станции, его задача обычно одна: дойти до секретов, контроллера домена, CI/CD, рекламных кабинетов или баз с PII. Без сегментации он двигается по плоскости сети, как по открытому коридору. С сегментацией каждый переход требует отдельного допуска, а каждый лишний хоп оставляет след в логах.

Минимальная схема строится не вокруг VLAN ради VLAN, а вокруг доверенных зон:
— пользовательские устройства отдельно от серверов;
— production отдельно от staging и dev;
— админские интерфейсы только через bastion/VPN;
— базы данных принимают трафик лишь от конкретных приложений, а не от всей подсети.

Дальше включается принцип deny by default. Межсегментные правила описывают только необходимые потоки: порт, источник, назначение, протокол. Всё остальное блокируется. На практике это снижает радиус поражения при краже учётки, утечке токена или запуске шифровальщика на одном хосте. Периметр не заканчивается на фаерволе, он заканчивается на последнем микросервисе.

Проверяйте не только ACL, но и фактические маршруты: NAT, security groups, сервисные mesh, правила хостового firewall и DNS-доступ. Иначе формальная изоляция не совпадёт с реальной. Проверяйте логи, истина всегда скрыта в них.