Network segmentation и microsegmentation
Разделяне на инфраструктурата в trust zones с explicit traffic policy.
Какво е
Разделяне на инфраструктурата в trust zones с explicit traffic policy.
Как работи
Compromise в една зона не дава автоматичен network reachability до останалите.
Пример: един компрометиран лаптоп
Malware влиза в workstation на счетоводството.
Flat network: машината вижда server VLAN, backup interfaces и management services. Един foothold започва да прилича на enterprise compromise.
Segmented network: workstation зоната има само необходимите application flows. Backup и management зоните не са достижими директно.
Какво реално прави segmentation
Не е непременно control за initial access. Основната стойност е blast-radius reduction и затрудняване на lateral movement.
Комична, но честа грешка
Има 14 VLAN-а и между тях firewall policy ANY → ANY. Това е segmentation главно в презентацията.
Как да проверим
От типичен workstation направете authorized reachability test към domain controllers, backup management, hypervisors и databases. Не трябва да има повече достъп, отколкото business flow-ът изисква.
Практическа имплементация
- User/server/management/backup/OT separation.
- Deny-by-default east-west controls.
- Firewall rules based on application flows.
- Admin access only from hardened management hosts.
Какво НЕ решава
Flat identity permissions могат да обезсмислят network segmentation.
Предпазва най-силно от
- Kubernetes Network/Lateral-Movement Abuse · Cloud, SaaS, containers и Kubernetes
- Lateral Movement via Remote Services · Exploitation, persistence и attack-chain техники
- Network Service Exploitation · Мрежови, DNS и routing атаки
- OT Remote-Access Abuse · IoT, OT и ICS
- OT/ICS Ransomware · IoT, OT и ICS
- Ransomware · Malware и злонамерен код
- Trusted Relationship Abuse / Island Hopping · Exploitation, persistence и attack-chain техники
- Worm · Malware и злонамерен код
Помага частично срещу
- Application-Layer (Layer 7) DDoS · DoS и DDoS7. DDoS blast radius — частично
- Denial-of-Service (DoS) · DoS и DDoS7. DDoS blast radius — частично
- Distributed Denial-of-Service (DDoS) · DoS и DDoS7. DDoS blast radius — частично
- DNS Amplification · DoS и DDoS7. DDoS blast radius — частично
- DNS Query/NXDOMAIN Flood · DoS и DDoS7. DDoS blast radius — частично
- Email Bombing / Subscription Bombing · DoS и DDoS7. DDoS blast radius — частично
- HTTP Flood · DoS и DDoS7. DDoS blast radius — частично
- ICMP/Ping Flood · DoS и DDoS7. DDoS blast radius — частично
- Memcached Amplification · DoS и DDoS7. DDoS blast radius — частично
- NTP Amplification · DoS и DDoS7. DDoS blast radius — частично
- Ping of Death / Malformed-Packet DoS · DoS и DDoS7. DDoS blast radius — частично
- Protocol/State-Exhaustion DDoS · DoS и DDoS7. DDoS blast radius — частично
- Ransom DDoS (RDDoS) · DoS и DDoS7. DDoS blast radius — частично
- Reflection/Amplification DDoS · DoS и DDoS7. DDoS blast radius — частично
- Slowloris / Low-and-Slow Attack · DoS и DDoS7. DDoS blast radius — частично
- Smurf Attack · DoS и DDoS7. DDoS blast radius — частично
- SSDP/UPnP Amplification · DoS и DDoS7. DDoS blast radius — частично
- SYN Flood · DoS и DDoS7. DDoS blast radius — частично
- UDP Flood · DoS и DDoS7. DDoS blast radius — частично
- Volumetric DDoS · DoS и DDoS7. DDoS blast radius — частично