mikrosegmentacja

Mikrosegmentacja to segmentacja sieci doprowadzona do poziomu pojedynczej maszyny, kontenera albo usługi, w której reguły dopuszczają tylko jawnie opisaną komunikację między konkretnymi zasobami. CERT Polska definiuje ją jako segmentację na poziomie pojedynczych obciążeń (workloads) zamiast całych podsieci ^[1]. CISA nazywa ją filozofią projektowania, która zmniejsza segmenty sieci po to, by łatwiej wykrywać intruza i ograniczyć jego ruch z przejętego urządzenia ^[2]. NIST wymienia ją jako jedno z podejść do budowy architektury Zero Trust ^[3].

Jak działa

Klasyczna segmentacja dzieli sieć na kilka dużych stref, na przykład biuro, serwery i DMZ. CISA opisuje, że w takich sieciach ochrona skupia się na granicy między siecią wewnętrzną a internetem, a przejęte urządzenie staje się dla atakującego punktem wyjścia do rozpoznania i dalszego ruchu po całym środowisku ^[2]. Na przykład wszystkie serwery w centrum danych mogą leżeć w jednym segmencie i być osiągalne z każdego przejętego komputera ^[2].

Mikrosegmentacja zakłada, że serwer rozmawia tylko z tymi serwerami, których potrzebuje do swojej funkcji ^[2]. Między segmentami stoją punkty egzekwowania polityki. NIST opisuje dwa warianty: bramki sieciowe, takie jak inteligentne przełączniki, routery albo zapory nowej generacji (NGFW), chroniące pojedynczy zasób lub małą grupę, oraz mikrosegmentację na hoście, realizowaną przez agenty albo zapory na samych maszynach ^[3].

RYS. 1Ruch w sieci z mikrosegmentacją

Każda strzałka na schemacie to osobna reguła. Wszystko, czego nie opisano, jest zablokowane. CERT Polska zaleca właśnie reguły zapory z polityką domyślnej odmowy ^[1].

Rodzaje

CISA wyróżnia kilka typów mechanizmów, które zwykle trzeba łączyć ^[2].

NIST ostrzega, że część cech mikrosegmentacji da się uzyskać prostszymi urządzeniami, nawet bezstanowymi zaporami, ale koszt administracji i trudność szybkiej zmiany reguł czynią to bardzo złym wyborem ^[3].

W WordPressie

Typowa instalacja WordPressa składa się z serwera WWW z PHP, bazy MySQL lub MariaDB i miejsca na kopie. Mikrosegmentacja na małą skalę oznacza, że baza nie przyjmuje połączeń z internetu, tylko z serwera WWW, a panel bazy i SSH są dostępne z wybranych adresów.

Dokumentacja WordPressa stosuje tę samą logikę ograniczania szkód na poziomie aplikacji. Zaleca, by kilka blogów na jednym serwerze trzymać w osobnych bazach, każdą obsługiwaną przez innego użytkownika; nazywa to strategią ograniczania skutków: gdy intruz złamie jedną instalację, trudniej mu zmienić pozostałe ^[4]. Opisuje też możliwość odebrania użytkownikowi bazy uprawnień do zmiany struktury, takich jak DROP, ALTER i GRANT, bo do codziennej pracy wystarczają SELECT, INSERT, UPDATE i DELETE; zaznacza przy tym, że aktualizacje i niektóre wtyczki mogą wtedy wymagać czasowego przywrócenia uprawnień, więc nie zaleca tego bez sprawdzonej kopii ^[4].

Na hostingu współdzielonym właściciel strony nie steruje siecią. Dokumentacja przypomina, że jeśli inna strona na tym samym serwerze zostanie przejęta, zagrożona może być także nasza ^[4]; zjawisko to opisuje hasło cross-site contamination. Separacja kont i procesów po stronie hostingu jest wtedy jedyną mikrosegmentacją, na jaką można liczyć, a uprawnienia plików ją uzupełniają.

Znaczenie

CISA wymienia korzyści z mikrosegmentacji ^[2]:

• mniejsze pole do lateral movement, czyli ruchu napastnika po przełamaniu zabezpieczeń;
• lepsze ograniczanie skutków złośliwego oprogramowania, błędów, źle skonfigurowanych systemów i zagrożeń wewnętrznych;
• lepsza widoczność sieci i systemów;
• możliwość reguł dopasowanych do ryzyka konkretnego zasobu;
• łatwiejsze celowane środki zaradcze, także wobec konkretnych podatności.

Według CISA mikrosegmentacja dzieli powierzchnię ataku na mniejsze części, z których każdą można ocenić osobno ^[2]. CERT Polska opisuje ten efekt jako ograniczenie promienia rażenia, czyli zasięgu szkód po przejęciu jednego elementu ^[1]. Ma to znaczenie przy atakach ransomware, które po wejściu do sieci próbują zaszyfrować jak najwięcej maszyn.

Jak wdrażać

CISA proponuje cztery fazy: wybór zasobów do segmentacji, ustalenie ich zależności, dobór polityk i wdrożenie zaktualizowanych polityk ^[2]. CERT Polska dla mniejszych organizacji zaleca kolejno: spis urządzeń i przepływów ruchu, zaprojektowanie granic według funkcji i ryzyka, sieci VLAN, reguły zapory z domyślną odmową, rejestrowanie i monitorowanie, dokumentację i regularne audyty ^[1]. Stacje administracyjne i systemy kopii zapasowych powinny trafić do osobnych segmentów ^[1], co chroni kopię zapasową (backup) przed zaszyfrowaniem razem z serwerem.

Pułapką jest zapomniany sprzęt. Niebezpiecznik opisuje drukarki wielofunkcyjne, które według założenia „w tej samej sieci” mogą wszystko, i ostrzega, że pozornie niegroźne urządzenie może stać się furtką do dalszego ruchu po sieci ^[5]. W modelu mikrosegmentacji takie urządzenie komunikuje się tylko z określonym systemem zarządzającym, w jasno zdefiniowanym celu ^[5].

Historia

Pojęcie wyrosło z tradycyjnej segmentacji opartej na zakresach adresów IP, sieciach VLAN i statycznych regułach urządzeń sieciowych ^[2]. NIST w publikacji SP 800-207 z sierpnia 2020 roku opisał mikrosegmentację jako jedno z podejść do budowy architektury zero trust ^[3]. CISA wydała 29 lipca 2025 roku pierwszą część wytycznych o mikrosegmentacji w modelu zero trust ^[2].