Segmenteringsstrategier

Segmentering syftar på isolering av resurser från andra delar av organisationen. Det är ett effektivt sätt att identifiera och innehålla angripares rörelser.

En metod för segmentering är nätverksisolering. Den här metoden rekommenderas inte eftersom olika tekniska team kanske inte är anpassade till företagsanvändningsfall och programarbetsbelastningar. Ett resultat av en sådan matchningsfel är komplexitet, som särskilt ses med lokala nätverk, och kan leda till minskad hastighet, eller i värsta fall, breda undantag i nätverksbrandväggen. Även om nätverkskontrollen bör betraktas som en segmenteringsstrategi bör den ingå i en enhetlig segmenteringsstrategi.

Nätverkssäkerhet har varit den traditionella grundpelaren i företagets säkerhetsarbete. Molnbaserad databehandling har dock ökat kravet på att nätverks perimeterer ska vara mer sporadiska och många angripare har bemästrat hur attacker på identitetssystemelement kan angripas (som nästan alltid kringgår nätverkskontroller). Dessa faktorer har ökat behovet av att fokusera främst på identitetsbaserade åtkomstkontroller för att skydda resurser i stället för nätverksbaserade åtkomstkontroller.

En effektiv segmenteringsstrategi hjälper alla tekniska team (IT, säkerhet, program) att konsekvent isolera åtkomst med hjälp av nätverk, program, identiteter och andra åtkomstkontroller. Strategin bör ha som mål att:

• Minimera friktionen i verksamheten genom att anpassa till affärsmetoder och program
• Begränsa risken genom att lägga till kostnader för angripare. Detta görs genom att:
  • Isolera känsliga arbetsbelastningar från kompromettering av andra tillgångar.
  • Isolera system med hög exponering från att användas som en pivot i andra system.
• Övervaka åtgärder som kan leda till potentiella överträdelser av segmentens integritet (kontoanvändning, oväntad trafik).

Här är några rekommendationer för att skapa en enhetlig strategi:

• Se till att tekniska team kan anpassa sig till en enda strategi baserat på utvärdering av affärsrisker.
• Upprätta en modern perimeter baserat på nollförtroendeprinciper som fokuserar på identitet, enheter, program och andra signaler. Detta hjälper dig att lösa begränsningar i nätverkskontroller för att skydda mot nya resurser och angreppstyper.
• Förstärka nätverkskontroller för äldre program genom att utforska mikrosegmenteringsstrategier.
• Centralisera organisationens ansvar för hantering och säkerhet av kärnnätverksfunktioner, till exempel korslokala länkar, virtuella nätverk, undernät och IP-adressscheman samt nätverkssäkerhetselement som virtuella nätverksenheter, kryptering av aktivitet för virtuellt molnnätverk och trafik mellan platser, nätverksbaserade åtkomstkontroller och andra traditionella nätverkssäkerhetskomponenter.

Referensmodell

Börja med den här referensmodellen och anpassa den efter organisationens behov. Den här modellen visar hur funktioner, resurser och team kan segmenteras.

Exempelsegment

Överväg att isolera delade och enskilda resurser som visas i föregående bild.

Segment för Kärntjänster

Det här segmentet är värd för delade tjänster som används i hela organisationen. Dessa delade tjänster omfattar vanligtvis Active Directory Domain Services, DNS/DHCP och systemhanteringsverktyg som finns på virtuella IaaS-datorer (Infrastruktur som en tjänst) i Azure.

Ytterligare segment

Andra segment kan innehålla grupperade resurser baserat på vissa kriterier. Resurser som används av en viss arbetsbelastning eller ett program kan till exempel finnas i ett separat segment. Du kan också segmentera eller undersegment efter livscykelfas, till exempel utveckling,testoch produktion. Vissa resurser kan överse med varandra, till exempel program, och kan använda virtuella nätverk för livscykelfaser.

Rensa ansvarsrader

Det här är huvudfunktionerna för den här referensmodellen. Behörigheter för dessa funktioner beskrivs i Teamroller och ansvarsområden.

Nästa steg

Börja med den här referensmodellen och hantera resurser över flera prenumerationer konsekvent och effektivt med hanteringsgrupper.