Mikrosegmentacja – jak ograniczyć skutki włamania w sieci
Mikrosegmentacja to podejście do projektowania bezpieczeństwa sieciowego, w którym infrastrukturę dzieli się na bardzo małe, logiczne segmenty, a komunikacja między nimi jest kontrolowana za pomocą precyzyjnych reguł.
Klasyczny podział sieci może wyglądać tak:
FIREWALL
|
+-----------+-----------+
| |
LAN DMZ
|
+----+----+----+
| | | |
PC PC PC Server
W takim modelu urządzenia znajdujące się w tej samej sieci mogą mieć stosunkowo dużą możliwość komunikowania się między sobą.
Mikrosegmentacja idzie znacznie dalej.
NETWORK
|
+------------+------------+
| | |
User App DB
| | |
Segment A Segment B Segment C
| | |
+------ Policy Engine ----+
Każdy segment ma własną politykę dostępu.
Po co stosować mikrosegmentację?
Najważniejszy cel to ograniczenie lateral movement, czyli możliwości przemieszczania się atakującego po sieci po przejęciu jednego urządzenia.
Bez mikrosegmentacji:
PC-01
|
+--> PC-02
+--> Server-01
+--> Server-02
+--> NAS
+--> DC
Jeżeli PC-01 zostanie przejęty, atakujący może próbować wykorzystać inne systemy.
Po mikrosegmentacji:
PC-01
|
+----> Internet ALLOW
|
+----> Printer ALLOW
|
+----> Server BLOCK
|
+----> DC BLOCK
Kompromitacja jednego urządzenia nie oznacza automatycznie dostępu do całej sieci.
Mikrosegmentacja a klasyczna segmentacja
To ważne rozróżnienie.
Klasyczna segmentacja
Najczęściej:
VLAN 10 → Users
VLAN 20 → Servers
VLAN 30 → Guest
VLAN 40 → IoT
Mikrosegmentacja
Polityka może być znacznie bardziej szczegółowa:
User-PC-01
|
+--> DNS ALLOW
+--> HTTPS ALLOW
+--> Printer ALLOW
+--> Server DENY
+--> Database DENY
Nie chodzi więc tylko o stworzenie kolejnych VLAN-ów.
Mikrosegmentacja i Zero Trust
Mikrosegmentacja bardzo dobrze pasuje do modelu Zero Trust.
Klasyczny model:
Inside Network
|
v
Trusted
Request
|
v
Who?
What device?
Which application?
Which resource?
What policy?
|
v
ALLOW / DENY
Sama obecność urządzenia w sieci nie oznacza automatycznie zaufania.
Najważniejsza zasada: Default Deny
Mikrosegmentacja często wykorzystuje model:
DEFAULT:
DENY
a następnie zezwala tylko na wymagane połączenia.
Przykład:
Web Server
|
+--> Internet ALLOW
+--> App Server ALLOW
+--> Database DENY
Po dodaniu wymaganej funkcji:
Web Server
|
+--> App Server TCP/443 → ALLOW
Przykładowa architektura aplikacji
Załóżmy aplikację składającą się z trzech warstw:
Internet
|
v
Web
|
v
Application
|
v
Database
W klasycznej sieci mogą istnieć szerokie zasady komunikacji.
W mikrosegmentacji:
INTERNET
|
TCP/443
|
v
WEB-01
|
TCP/8443
|
v
APP-01
|
TCP/5432
|
v
DB-01
I nic więcej.
Mikrosegmentacja ogranicza ruch East-West
To bardzo ważne pojęcie.
North-South traffic:
Internet
|
v
Firewall
|
v
Internal Network
East-West traffic:
Server A
|
v
Server B
|
v
Server C
Tradycyjne firewalle często koncentrują się przede wszystkim na ruchu North-South.
Mikrosegmentacja koncentruje się również na East-West.
Dlaczego East-West jest tak ważny?
Atakujący może dostać się do jednego systemu:
Internet
|
v
Web Server
|
X
Compromise
Następnie:
Web Server
|
+--> App Server
|
+--> Database
|
+--> Domain Controller
To właśnie jest lateral movement.
Mikrosegmentacja ma utrudnić taki scenariusz.
Mikrosegmentacja a VLAN
VLAN jest jednym z narzędzi, ale nie jest równoznaczny z mikrosegmentacją.
Można mieć:
VLAN 10
Users
i nadal pozwalać wszystkim użytkownikom komunikować się ze sobą.
Mikrosegmentacja może natomiast wymusić:
User A → User B
DENY
User A → Internet
ALLOW
User A → DNS
ALLOW
Mikrosegmentacja na firewallu
Można zastosować firewall jako punkt egzekwowania polityk:
Firewall
/ | \
/ | \
Users Apps DB
Reguły:
Users → Internet ALLOW
Users → Apps ALLOW
Users → DB DENY
Apps → DB ALLOW
Apps → Users DENY
DB → Internet DENY
Mikrosegmentacja host-based
Nie zawsze trzeba kontrolować wszystko na poziomie centralnego firewalla.
Politykę można egzekwować bezpośrednio na hostach:
Server A
|
Host Firewall
|
Policy
Przykładowo Linux może ograniczać komunikację między usługami za pomocą mechanizmów systemowych i reguł sieciowych.
Mikrosegmentacja w Kubernetes
To jeden z bardzo ważnych przypadków zastosowania.
Domyślnie komunikacja pomiędzy workloadami Kubernetes może być znacznie bardziej otwarta, niż wymaga tego aplikacja.
Można zastosować NetworkPolicy:
Frontend
|
| TCP/443
v
Backend
|
| TCP/5432
v
Database
i zablokować:
Frontend → Database
Backend → Unrelated Service
Database → Internet
Kubernetes NetworkPolicy
Przykładowa logika:
frontend
|
+--> backend: ALLOW
frontend
|
+--> database: DENY
Dzięki temu nawet jeśli frontend zostanie przejęty, nie otrzymuje automatycznie dostępu do bazy.
Mikrosegmentacja w Dockerze
Podobną koncepcję można zastosować w środowiskach kontenerowych.
Przykład:
Frontend Container
|
v
Backend Container
|
v
Database Container
Nie każdy kontener powinien mieć dostęp do każdego innego kontenera.
Mikrosegmentacja a IoT
IoT jest idealnym przykładem.
Wyobraźmy sobie:
Camera
Smart TV
Printer
Sensors
Nie powinny mieć pełnego dostępu do:
Domain Controller
File Server
Admin Workstations
Można stworzyć:
IoT
|
+--> Internet ALLOW
+--> DNS ALLOW
+--> NTP ALLOW
+--> Servers DENY
+--> Admin PCs DENY
Mikrosegmentacja serwerów
Przykład środowiska:
Servers
|
+-----------+-----------+
| | |
WEB APP DB
Polityka:
WEB → APP : ALLOW
APP → DB : ALLOW
WEB → DB : DENY
DB → WEB : DENY
DB → Internet : DENY
To znacznie ogranicza powierzchnię ataku.
Mikrosegmentacja stacji roboczych
Nie każdy komputer użytkownika powinien mieć dostęp do wszystkich usług.
Przykład:
Workstation
|
+--> DNS ALLOW
+--> HTTPS Internet ALLOW
+--> Print Server ALLOW
+--> File Server ALLOW
+--> Domain Controller ALLOW
+--> Other PCs DENY
To może ograniczyć między innymi część scenariuszy lateral movement.
Mikrosegmentacja i Active Directory
Domain Controller jest szczególnie wrażliwym elementem infrastruktury.
Nie powinien być dostępny z każdego systemu bez ograniczeń.
Przykładowo:
User PCs
|
+--> Required AD services → ALLOW
|
+--> Other Servers → policy
|
+--> Direct Admin Access → DENY
Dostęp administracyjny można dodatkowo ograniczyć do dedykowanych stacji administracyjnych.
Mikrosegmentacja i ransomware
To jeden z najbardziej praktycznych przypadków.
Bez segmentacji:
PC-01
|
+--> File Server
+--> PC-02
+--> PC-03
+--> Backup
Po infekcji ransomware może próbować rozprzestrzenić się po sieci.
Przy mikrosegmentacji:
PC-01
|
+--> Required services → ALLOW
|
+--> Other PCs → DENY
|
+--> Backup → DENY
Skutki potencjalnego ataku mogą być znacznie mniejsze.
Mikrosegmentacja i backup
Systemy backupowe powinny być szczególnie chronione.
Nie chcemy:
User PC
|
v
Backup Server
|
v
Delete Backups
Lepszy model:
Backup Server
^
|
Restricted Access
|
Backup Infrastructure
Dodatkowo warto stosować:
- oddzielne konta,
- MFA,
- immutable backups,
- ograniczenie ruchu,
- monitoring.
Mikrosegmentacja a firewall
Firewall może egzekwować polityki między segmentami:
Segment A
|
v
Firewall
|
v
Segment B
Jednak przy bardzo dużej liczbie workloadów centralne reguły mogą stać się trudne do utrzymania.
Dlatego w dużych środowiskach wykorzystuje się również:
- host-based firewalls,
- security groups,
- distributed firewalls,
- NetworkPolicy,
- service mesh.
Mikrosegmentacja i Security Groups
W środowiskach chmurowych mikrosegmentacja może być realizowana poprzez security groups.
Przykład:
Web SG
|
+--> App SG : TCP/443
App SG
|
+--> DB SG : TCP/5432
Zamiast:
ANY → ANY
tworzymy:
WEB → APP
APP → DB
Mikrosegmentacja i Service Mesh
W Kubernetes można pójść jeszcze dalej.
Service Mesh może kontrolować komunikację między usługami:
Service A
|
v
Service Mesh
|
v
Service B
Można wtedy stosować m.in.:
- mTLS,
- polityki dostępu,
- identity-based authorization,
- telemetry.
Identity-based Microsegmentation
Bardzo ciekawym kierunkiem jest odejście od samego IP.
Tradycyjnie:
10.10.10.25 → 10.10.20.10
Nowocześniejsze podejście:
Workload:
payment-service
Identity:
payment-service
Destination:
database-service
Policy:
ALLOW
Czyli decyzja bazuje bardziej na tożsamości workloadu, a nie tylko adresie IP.
Mikrosegmentacja i Zero Trust
Można to przedstawić:
Connection
|
v
Identity
|
v
Device / Workload
|
v
Application
|
v
Policy
|
+---- ALLOW
|
+---- DENY
To bardzo dobrze pasuje do filozofii Zero Trust.
Najczęstsze błędy
❌ „Mamy VLAN-y, więc mamy mikrosegmentację”
Nie zawsze.
❌ Zbyt szerokie reguły
ANY → ANY
praktycznie niszczą sens segmentacji.
❌ Brak dokumentacji przepływów
Nie można stworzyć dobrej polityki bez wiedzy, kto z kim musi się komunikować.
❌ Mikrosegmentacja bez monitoringu
Można zablokować legalny ruch i nie wiedzieć dlaczego.
❌ Próba wdrożenia wszystkiego jednocześnie
To często kończy się dużą liczbą problemów.
Jak wdrożyć mikrosegmentację?
Najlepiej etapami.
1. Zidentyfikuj zasoby
Users
Servers
Databases
IoT
Management
Backup
2. Zmapuj komunikację
WEB → APP
APP → DB
USER → DNS
3. Zbuduj politykę
Required traffic → ALLOW
Everything else → DENY
4. Najpierw monitoruj
LOG
zamiast od razu:
DROP
5. Włącz blokowanie etapami
Najpierw mniej krytyczne segmenty.
Mikrosegmentacja – przykład kompletnej infrastruktury
INTERNET
|
Firewall
|
+-------+-------+
| |
DMZ Users
| |
WEB PCs
| |
v |
APP <------------+
|
v
DB
|
X
Internet
Polityki:
Internet → WEB ALLOW
WEB → APP ALLOW
APP → DB ALLOW
Users → WEB ALLOW
Users → DB DENY
Users → APP policy
DB → Internet DENY
WEB → DB DENY
Mikrosegmentacja w modelu Defense in Depth
W połączeniu z wcześniejszymi mechanizmami:
INTERNET
|
Firewall
|
GeoIP
|
DNS Filtering
|
TLS Inspection
|
Suricata
|
Zeek
|
Microsegmentation
|
+--------------+--------------+
| | |
WEB APP DB
| | |
EDR EDR EDR
| | |
+--------------+--------------+
|
SIEM
|
SOC
Każda warstwa ma inne zadanie.
Mikrosegmentacja – największa zaleta
Najważniejszą korzyścią nie jest samo „zablokowanie ruchu”.
Chodzi o ograniczenie skutków kompromitacji.
Jeżeli atakujący przejmie jeden host:
Compromised Host
|
+----> Allowed Service
|
X----> Database
X----> Domain Controller
X----> Backup
X----> Admin Workstation
atakujący nadal może mieć dostęp do pierwszego systemu, ale jego możliwości przemieszczania się są znacznie bardziej ograniczone.
Podsumowanie
Mikrosegmentacja jest jednym z najważniejszych mechanizmów współczesnego bezpieczeństwa sieciowego, szczególnie w środowiskach:
- enterprise,
- cloud,
- Kubernetes,
- data center,
- IoT,
- Zero Trust.
Najważniejsza zasada brzmi:
Nie pytaj tylko „czy użytkownik jest w naszej sieci?”, ale „do czego dokładnie ten użytkownik, urządzenie lub workload musi mieć dostęp?”.
W praktyce dobrze zaprojektowana mikrosegmentacja wygląda tak:
DEFAULT DENY
|
+------------+------------+
| | |
Users Apps DB
| | |
+--> DNS | |
+--> Web +--> DB |
| | |
+------------+------------+
|
SIEM / SOC
I właśnie to jest największa wartość mikrosegmentacji: nawet jeśli jedna warstwa bezpieczeństwa zawiedzie, atakujący nie powinien automatycznie otrzymać dostępu do całej infrastruktury.
Usługi drukowania: Udostępnianie drukarek w sieci Udostępnianie drukarki w sieci to funkcja, która pozwala na drukowanie z dowolnego komputera podłączonego Czytaj dalej
MikroTik – kompleksowa konfiguracja sieci od podstaw do zaawansowanych rozwiązań Część 22: Wdrożenie zasad Zero Trust z MikroTik, EDR i Czytaj dalej
