Интернетмагазин

Глава 
10
Сегментация сети 
В предыдущей главе мы начали оборонительную стратегию, подчеркнув важ-
ность наличия сильной и эффективной политики безопасности. Теперь при-
шло время продолжить реализацию этого видения, обеспечив безопасность 
сетевой инфраструктуры. Первое, что мы должны сделать, – это убедиться, 
что сеть сегментирована, изолирована и обеспечивает механизмы для ней-
трализации вторжений. Синяя команда должна быть полностью осведомлена 
о различных аспектах сегментации сети: от физической сети до виртуальной 
и удаленного доступа. Даже если компании не полностью основаны на исполь-
зовании облачных вычислений, им все равно нужно подумать о возможности 
подключения к облаку в гибридном сценарии. Это означает, что для повыше-
ния общей безопасности среды должны быть также предусмотрены отдельные 
меры, а безопасность сетевой инфраструктуры является основанием для этого.
В этой главе мы рассмотрим следующие темы:

концепция глубоко эшелонированной защиты;

сегментация физической сети;

обеспечение удаленного доступа к сети;

сегментация виртуальной сети;

безопасность гибридной облачной сети.
г
лубоко
 
эшелонированная
 
защита
 
Хотя вы, вероятно, подумаете, что это старый метод, не относящийся к сегод-
няшним требованиям, реальность такова, что он все еще действует, хотя вы 
и не будете использовать те же технологии, которые использовали в прошлом. 
Вся идея подхода глубоко эшелонированной защиты заключается в том, чтобы 
гарантировать вам наличие нескольких уровней защиты, а также свой набор 
элементов управления безопасностью для каждого уровня. В итоге это будет 
задерживать атаку, а датчики, доступные на каждом уровне, будут предупреж-
дать вас, происходит что-то или нет. Другими словами, речь идет о разрыве 
жизненного цикла атаки до того, как миссия будет полностью выполнена.
Но для реализации подхода с использованием глубоко эшелонированной 
защиты для современных нужд необходимо абстрагироваться от физическо-

---

198  Сегментация сети 
го уровня и думать только об уровнях защиты в зависимости от точки входа. 
Давайте используем приведенную ниже диаграмму в качестве примера, чтобы 
продемонстрировать, как сегодня реализуется этот подход (рис. 10.1).
Инфраструктура и службы
Документы
в процессе передачи
Конечные точки
IPhone Телефон
на базе ОС 
Android
Локальные ре
сурсы 
Рис. 10.1
Злоумышленники обладают обширным доступом к различным ресурсам. 
Они могут атаковать инфраструктуру и службы, документы в процессе переда-
чи и конечные точки, а это означает, что вам нужно увеличивать «стоимость» 
злоумышленника в каждом возможном сценарии. Давайте разберем эту диа-
грамму в следующих разделах.