O que é microssegmentação?

Segurança de perímetro ou de rede e microssegmentação são duas estratégias de segurança diferentes que abordam aspectos separados da segurança de rede. A segurança de perímetro fornece uma primeira linha de defesa contra ameaças externas, protegendo o perímetro externo de uma rede, normalmente na borda da rede, limitando o acesso à rede de fontes externas. Ele inspeciona o tráfego “norte-sul” (cliente para servidor) que tenta cruzar o perímetro de segurança e interrompe o tráfego malicioso. A segurança do perímetro geralmente é obtida por meio de tecnologias como firewalls, sistemas de detecção e prevenção de intrusão e VPNs.

A microssegmentação se concentra na segurança interna de uma rede, dividindo-a em segmentos ou zonas menores e aplicando controles de segurança granulares a cada segmento. Isso permite que as organizações controlem o tráfego lateral “leste-oeste” dentro da rede e no nível do aplicativo ou da carga de trabalho para reduzir a superfície potencial de ataque.

Junto com a microssegmentação, pode haver desafios em termos de desempenho e segurança da rede, caso não haja um devido planejamento e implementação.

• Degradação de desempenho . A microssegmentação pode tornar a rede mais complexa de monitorar e gerenciar, e segmentar a rede de forma muito precisa ou aplicar muitas políticas de segurança pode impactar os padrões de tráfego da rede e limitar o desempenho da rede. A aplicação de políticas de segurança a cada segmento cria sobrecarga adicional na rede, o que pode levar à latência e ao desempenho mais lento da rede.
• Lacunas de segurança. Embora a microssegmentação seja uma técnica de segurança poderosa, as políticas precisam ser configuradas corretamente para garantir que todo o tráfego seja filtrado e permitido/negado adequadamente. Configurações incorretas e aplicação inconsistente de políticas podem levar a lacunas de segurança, bloqueio de tráfego legítimo e possíveis vulnerabilidades.

As organizações devem planejar cuidadosamente sua estratégia de microssegmentação, incluindo o número e o tamanho dos segmentos, as políticas de segurança a serem aplicadas e o impacto nos padrões de tráfego de rede. Testes e monitoramento adequados devem ser conduzidos para garantir que a microssegmentação não tenha impacto negativo no desempenho da rede ou introduza lacunas de segurança.

A microssegmentação permite que as organizações criem zonas ou segmentos seguros dentro de suas redes, fornecendo controle granular sobre o tráfego de rede e minimizando a superfície de ataque. Cada segmento é então protegido usando políticas e controles que permitem que apenas tráfego autorizado flua entre os segmentos.

A microssegmentação é normalmente implementada usando redes definidas por software (SDN), o que permite a criação de redes virtuais independentes da infraestrutura de rede física. Cada um dos segmentos de rede é protegido usando políticas que definem os tipos de tráfego que podem entrar e sair do segmento. Por exemplo, listas de controle de acesso (ACLs) podem ser usadas para controlar quais usuários ou dispositivos têm permissão para acessar cada segmento. Sistemas de detecção e prevenção de intrusão (IDPS) podem ser usados para detectar e bloquear atividades maliciosas dentro de cada segmento. A criptografia pode ser usada para proteger dados enquanto eles se movem entre segmentos.

A microssegmentação fornece visibilidade e controle granulares sobre o tráfego de rede, o que facilita identificar o tráfego não autorizado e possíveis violações à segurança, e dar uma resposta mais rápida a incidentes de segurança.

Existem três tipos principais de controles de microssegmentação.

Os controles de microssegmentação baseados em agentes usam agentes de software instalados em endpoints, como servidores, estações de trabalho ou outros dispositivos de rede, para impor políticas de segmentação de rede. O agente monitora e aplica continuamente as políticas específicas para aquele endpoint e pode ser gerenciado centralmente por meio de um console de gerenciamento, simplificando as políticas de configuração e implantação na rede de uma organização.

Os controles de microssegmentação baseados em rede usam SDN para criar segmentos de rede virtuais, cada um com seu próprio conjunto de políticas e controles de segurança. Esses segmentos virtuais são isolados uns dos outros, o que limita o potencial de movimento lateral dos invasores. Políticas e controles são aplicados na camada de rede, e não no nível do endpoint. Isso possibilita segmentar o tráfego de rede com base em uma ampla gama de fatores, incluindo identidade do usuário, tipo de aplicativo e localização da rede.

Os controles de microssegmentação nativos da nuvem são projetados especificamente para ambientes de nuvem. Eles usam recursos de segurança nativos da nuvem, como grupos de segurança de rede e nuvens privadas virtuais para criar segmentos de rede virtual e aplicar políticas de segurança. Esses controles aproveitam os recursos de segurança nativos da plataforma de nuvem para fornecer políticas de segurança granulares que são aplicadas automaticamente em todas as instâncias de nuvem.

As organizações podem optar por implementar um ou mais tipos de microssegmentação, dependendo de suas necessidades e objetivos específicos. Os tipos comuns de microssegmentação incluem os seguintes.

Segmentação de aplicações

A segmentação de aplicativos protege aplicativos individuais criando políticas de segurança que controlam o acesso a recursos específicos do aplicativo, como bancos de dados, APIs e servidores web, ajudando a evitar acesso não autorizado e violações de dados. Ele também permite que as organizações apliquem controles de acesso com privilégios mínimos, garantindo que usuários e aplicativos tenham acesso apenas aos recursos necessários para executar suas funções específicas.

Segmentação de camada

A segmentação de camada protege diferentes níveis ou camadas de uma pilha de aplicações, como a camada da Web, a camada de aplicação e a camada de banco de dados, para evitar a movimentação lateral de invasores dentro da pilha de aplicações e acessem dados ou recursos confidenciais.

Segmentação de ambiente

Ao proteger diferentes ambientes ou zonas dentro de uma rede, como ambientes de desenvolvimento, teste e produção, as organizações podem impor controles de acesso rigorosos a esses ambientes e garantir que o acesso a dados e recursos confidenciais seja concedido apenas a usuários e aplicações autorizados.

Segmentação de contêineres

A segmentação de contêineres protege contêineres individuais ou grupos de contêineres dentro de um ambiente em contêineres, reduzindo a superfície de ataque e ajudando a impedir que invasores se movam lateralmente dentro do ambiente do contêiner. Sem segmentação adequada, os contêineres podem acessar os dados e arquivos de configuração uns dos outros, o que pode resultar em vulnerabilidades de segurança.

Práticas recomendadas de segmentação de contêineres

• Isolamento de contêineres. Use tecnologias como Docker ou Kubernetes para garantir que os contêineres sejam isolados do sistema host e de outros contêineres no mesmo sistema. Isso evita que os contêineres acessem recursos fora de seu escopo designado.
• Segmentação de rede. Use a segmentação de rede para limitar a comunicação entre contêineres e outros recursos de rede. Isso envolve a criação de redes separadas para cada contêiner e a configuração de regras de firewall para permitir ou negar tráfego entre contêineres e garantir que somente a comunicação autorizada seja permitida.
• Controle de acesso baseado em função. Implemente o controle de acesso baseado em função (RBAC) para garantir que somente usuários autorizados possam acessar e modificar contêineres e recursos relacionados. Estruturas RBAC como o Kubernetes RBAC podem ser implementadas para definir e aplicar funções e permissões de usuários.
• Assinatura de imagem. Use assinatura de imagem para garantir que somente imagens confiáveis sejam usadas para criar contêineres. Assinaturas digitais podem ajudar a evitar que imagens de contêineres sejam adulteradas ou alteradas.
• Proteção de tempo de execução. Use proteção de tempo de execução para detectar e responder a ameaças de segurança durante o tempo de execução do contêiner. Ferramentas como agentes de segurança em tempo de execução e scanners de vulnerabilidade podem monitorar contêineres em busca de sinais de comprometimento e tomar as medidas adequadas para mitigar riscos.

Segmentação de usuários em segurança na nuvem

• O RBAC atribui usuários a funções ou grupos específicos com base em suas responsabilidades e necessidades de acesso. Cada função está associada a um conjunto de permissões e controles de acesso apropriados para essa função. O RBAC garante que os usuários possam acessar apenas os recursos e dados necessários para realizar seu trabalho.
• A autenticação multifator (MFA) exige que os usuários forneçam duas ou mais formas de autenticação antes de receberem acesso a um sistema ou aplicativo. Isso pode incluir uma senha, um token de segurança, um código de acesso único ou dados biométricos. O MFA é uma maneira eficaz de impedir o acesso não autorizado aos recursos da nuvem, principalmente quando combinado com o RBAC.
• O monitoramento contínuo envolve a análise regular da atividade do usuário e dos registros do sistema em busca de comportamento suspeito ou potenciais ameaças à segurança. Ele pode ajudar a identificar comportamentos anômalos alertando as equipes de segurança sobre atividades que estão fora dos padrões ou comportamentos normais de acesso do usuário.
• A separação de tarefas garante que nenhum usuário tenha controle total sobre um processo ou sistema crítico. Segmentar usuários em diferentes funções e responsabilidades reduz o risco de fraude ou erros e garante que operações confidenciais sejam realizadas por vários funcionários.
• A revisão regular de acesso envolve a avaliação rotineira do acesso do usuário aos sistemas e aplicativos para garantir que os usuários tenham acesso apenas aos recursos de que precisam. As revisões de acesso podem ajudar a identificar e remover direitos de acesso desnecessários, reduzindo o risco de acesso não autorizado.

A microssegmentação oferece inúmeros benefícios para as organizações, como:

• Superfície de ataque reduzida: Ao dividir a rede em segmentos menores, a microssegmentação reduz a superfície de ataque e dificulta o acesso de invasores a ativos críticos.
• Contenção de violação aprimorada: No caso de uma violação, a microssegmentação pode ajudar a conter o impacto do ataque, limitando a capacidade do invasor de se mover pela rede. Ao isolar as áreas afetadas da rede, a microssegmentação pode impedir a disseminação de malware ou outras atividades maliciosas, reduzindo os danos potenciais causados pela violação.
• Maior conformidade regulatória: Muitas estruturas regulatórias exigem que as organizações implementem controles de acesso e medidas de segurança rigorosos para proteger dados confidenciais. Ao garantir que somente usuários e aplicativos autorizados possam acessar recursos confidenciais, a microssegmentação pode ajudar as organizações a demonstrar conformidade com os padrões regulatórios.
• Gerenciamento de políticas simplificado: A microssegmentação pode simplificar o gerenciamento de políticas permitindo que políticas de segurança sejam aplicadas a segmentos específicos da rede. Isso pode ser particularmente útil em redes grandes ou complexas, onde gerenciar políticas para cada dispositivo ou usuário individual pode ser desafiador.

P: Qual é a diferença entre segmentação de rede e microssegmentação?

R: A segmentação de rede e a microssegmentação melhoram a segurança e o desempenho da rede, mas são fundamentalmente diferentes. A segmentação de rede tradicional (às vezes chamada de macrossegmentação) envolve a divisão de uma rede em segmentos maiores com base na função ou localização. Ele normalmente se concentra no tráfego que viaja “norte-sul” (cliente para servidor) para dentro e para fora da rede.

A microssegmentação divide uma rede em segmentos menores e aplica políticas de segurança exclusivas a eles, fornecendo um nível mais granular de controle sobre o acesso de rede leste-oeste, com a capacidade de impor controles de acesso de confiança zero. A microssegmentação aplica políticas de segurança no nível de carga de trabalho ou aplicativo individual, em vez de no nível de rede.

P: O que é uma dependência de aplicativo?

R: Dependência de aplicativo refere-se aos relacionamentos e interações entre diferentes aplicativos e serviços dentro de um ambiente de rede. Entender as dependências de aplicativos é importante para estratégias eficazes de microssegmentação, pois alterações no acesso a um aplicativo ou serviço podem afetar o desempenho ou a segurança de outros aplicativos e serviços. As dependências do aplicativo devem ser mapeadas antes de implementar a microssegmentação.

P: O que são políticas de firewall?

R: As políticas de firewall são regras que definem como os firewalls de uma organização permitem ou negam tráfego entre diferentes segmentos de uma rede ou entre uma rede e a Internet. As políticas de firewall são as regras que determinam como o tráfego é permitido ou negado entre esses segmentos e camadas.

P: Qual a diferença entre firewalls e microssegmentação?

R: Firewalls controlam o acesso a uma rede filtrando o tráfego com base em regras predefinidas. Embora firewalls possam ser usados para controlar o acesso entre segmentos, a microssegmentação divide uma rede em segmentos menores e aplica políticas de segurança exclusivas a cada segmento. Isso fornece um nível mais granular de controle sobre o acesso à rede, permitindo que as organizações limitem o acesso a aplicativos e serviços específicos.

P: O que é uma rede virtual?

R: Uma rede virtual opera dentro de uma infraestrutura de rede física, mas usa software para conectar computadores, VMs e servidores ou servidores virtuais em uma rede segura. Isso se distingue do modelo de rede física tradicional, em que hardware e cabos conectam sistemas de rede. Redes virtuais podem ser usadas para criar ambientes isolados dentro de uma rede maior, permitindo que organizações microssegmentem aplicativos ou serviços específicos.

A microssegmentação pode ajudar as organizações a proteger melhor seus aplicativos e dados em suas redes contra ameaças potenciais, pois limita a superfície de ataque disponível para um invasor. Além disso, a microssegmentação pode fornecer maior visibilidade e controle sobre o tráfego de rede, facilitando a identificação e a resposta a incidentes de segurança.

A F5 oferece produtos e serviços que podem ajudar organizações a implementar e gerenciar microssegmentação e outros controles de segurança em suas redes. Saiba como a F5 oferece conectividade simples e segura em nuvens públicas e híbridas, data centers e sites de ponta. Explore como a F5 fornece rede segura na camada de aplicativo e provisionamento automatizado de rede em nuvem para maior eficiência operacional