Microsegmentation

Mikrosegmentacja (ang. microsegmentation) to metoda zabezpieczania sieci, w której środowisko dzieli się na drobne, odizolowane strefy. Granica izolacji przebiega na poziomie pojedynczego obciążenia (workloadu) — aplikacji, maszyny wirtualnej, kontenera czy procesu — i każde z nich dostaje własną politykę dostępu. Tradycyjna segmentacja opiera się na podsieciach i sieciach VLAN. Mikrosegmentacja idzie głębiej i kontroluje przede wszystkim ruch wschód–zachód (east–west), czyli komunikację między systemami wewnątrz sieci. Reguły opisuje się tu według tożsamości i cech workloadu, a nie według adresu IP czy fizycznej lokalizacji w infrastrukturze.

Jak działa mikrosegmentacja?

Mikrosegmentacja wciela w życie zasadę najmniejszych uprawnień (least privilege, czyli „tylko tyle dostępu, ile naprawdę potrzeba”) oraz model Zero Trust w warstwie komunikacji między workloadami. Domyślnie blokuje cały ruch (deny by default) i przepuszcza wyłącznie połączenia, które polityka wprost dopuszcza. Wdrożenie zwykle przebiega w kilku krokach:

1. Mapowanie zależności aplikacji — najpierw zbiera się telemetrię przepływów: kto z kim się komunikuje, na jakich portach i protokołach. Na tej podstawie powstaje mapa zależności (application dependency mapping). Bez tego kroku reguły tworzy się po omacku.
2. Definiowanie polityk — dozwolone połączenia opisuje się przez tożsamość i etykiety (np. rola aplikacji, środowisko, właściciel), a nie przez sztywne adresy IP.
3. Egzekwowanie — reguły wchodzą w życie przez agentów na hostach, mechanizmy sieciowe lub wbudowane funkcje chmury.
4. Monitorowanie i strojenie — najpierw obserwuje się ruch bez blokowania (tryb raportowania), wyłapuje połączenia łamiące politykę i stopniowo zaostrza reguły, aż można je przełączyć w tryb egzekucji.

Reguły są przypięte do tożsamości workloadu. Dzięki temu, gdy aplikacja jest przenoszona, skalowana lub odtwarzana w innym miejscu, polityki idą za nią automatycznie — bez ręcznego przepinania adresów.

Jakie są modele wdrożenia mikrosegmentacji?

W praktyce spotyka się trzy podstawowe podejścia. W środowiskach hybrydowych często łączy się je ze sobą:

• Agentowe (host-based) — agent działa w systemie operacyjnym workloadu i programuje lokalną zaporę (np. iptables/nftables w Linuksie czy Windows Filtering Platform). Daje najpełniejszy wgląd w procesy i działa niezależnie od sieci i chmury. Cena to konieczność instalowania i utrzymywania agentów.
• Sieciowe (network-based) — reguły egzekwuje sama infrastruktura: przełączniki, sieci sterowane programowo (SDN), load balancery, zapory wewnętrzne. Tu agenci nie są potrzebni, ale trudniej zejść z izolacją do poziomu pojedynczego workloadu.
• Hipernadzorcze i chmurowe — kontrola odbywa się w warstwie hypervisora (np. rozproszone wirtualne zapory) lub przez wbudowane mechanizmy chmury, takie jak security groups i listy kontroli dostępu (NACL). Wygodne w środowiskach wirtualnych i chmurowych, ale działają tylko w obrębie danej platformy.

Czym mikrosegmentacja różni się od VLAN-ów i tradycyjnych zapór?

Klasyczna segmentacja sieci (VLAN-y, podsieci, zapory brzegowe) pilnuje głównie ruchu północ–południe (north–south) — między klientem a serwerem lub na granicy sieci. Hosty trafiają w niej do szerokich stref. Wewnątrz takiej strefy systemy zwykle rozmawiają ze sobą swobodnie, co ułatwia atakującemu przemieszczanie się w bok.

• Szczegółowość: VLAN izoluje całe podsieci. Mikrosegmentacja schodzi do pojedynczego workloadu, a nawet konkretnej aplikacji czy usługi na hoście.
• Na czym opierają się reguły: tradycyjne zapory patrzą na adresy IP i porty. Mikrosegmentacja wiąże politykę z tożsamością i etykietami, więc zmiana adresu nie psuje reguł.
• Kierunek ruchu: zapora brzegowa pilnuje granicy, mikrosegmentacja pilnuje wnętrza (east–west) — tam, gdzie tradycyjne kontrole nic nie widzą.
• Skala zarządzania: ręczne pisanie reguł VLAN/ACL dla setek aplikacji jest niewykonalne. Mikrosegmentacja czerpie reguły z mapy zależności.

Dlaczego mikrosegmentacja ogranicza ruch boczny?

Gdy atakujący już wejdzie do sieci (np. przez phishing, skradzione hasło lub podatność), próbuje przemieszczać się w bok (lateral movement). Rozpoznaje otoczenie i nadużywa protokołów takich jak SMB (port 445), RDP (3389), SSH (22), WinRM czy WMI, żeby z jednego przejętego hosta dostać się na kolejne. W płaskiej sieci, gdzie każdy może rozmawiać z każdym, taki ruch trudno odróżnić od zwykłej pracy systemów.

Mikrosegmentacja zmniejsza tzw. blast radius, czyli zasięg szkód po włamaniu. Skoro dozwolone są tylko wprost opisane połączenia, to próba dotarcia z workloadu A do B, dla której nie ma reguły, po prostu nie przejdzie. Atakujący zostaje zamknięty w jednym przejętym segmencie, a samo odrzucone połączenie staje się tropem do dalszej analizy.

Jakie znaczenie ma mikrosegmentacja dla wykrywania i monitorowania?

Dla zespołu bezpieczeństwa (SOC, Security Operations Center) i narzędzi klasy NDR (Network Detection and Response, wykrywanie zagrożeń w ruchu sieciowym) mikrosegmentacja to nie tylko ochrona prewencyjna. To także źródło cennych danych o sieci:

• Widoczność east–west: mapowanie zależności i ciągłe rejestrowanie przepływów odsłaniają komunikację, której monitoring na granicy sieci nie widzi — w tym połączenia ze starymi lub zapomnianymi systemami.
• Odrzucone połączenie jako alert: przy domyślnym blokowaniu każde odrzucone połączenie to wyraźny sygnał anomalii. Workload próbuje czegoś, czego polityka nie przewiduje, co może świadczyć o rozpoznaniu sieci lub rozprzestrzenianiu się ataku.
• Więcej kontekstu: logi z egzekucji polityk (tożsamość, etykieta, port, decyzja) zestawione z danymi o przepływach (NetFlow/IPFIX) i zdarzeniami z systemu SIEM szybciej oddzielają legalną pracę od ruchu bocznego.
• Wsparcie reagowania: podczas incydentu polityki można na bieżąco zaostrzyć i odizolować zaatakowany workload, nie ruszając reszty środowiska.

Mikrosegmentacja i monitoring uzupełniają się więc nawzajem. Segmentacja ogranicza, co w ogóle może się wydarzyć. Telemetria z niej płynąca zawęża obszar, który trzeba obserwować, i sprawia, że każdy alert znaczy więcej.

Gdzie stosuje się mikrosegmentację?

• Izolacja środowisk: oddzielenie produkcji od środowisk testowych i deweloperskich, by ruch z mniej zaufanych stref nie sięgał danych produkcyjnych.
• Zgodność z przepisami: wydzielanie zakresów objętych normami (np. PCI DSS, HIPAA, RODO) i zmniejszanie obszaru, który podlega audytowi.
• Ochrona zasobów krytycznych: otaczanie ścisłą polityką serwerów baz danych, kontrolerów domeny czy systemów przemysłowych (OT/ICS).
• Środowiska chmurowe i kontenerowe: egzekwowanie polityk między mikrousługami, gdzie adresy IP zmieniają się nieustannie, a tożsamość workloadu pozostaje stała.

Dowiedz się więcej

• Monitoring sieci i network visibility – analiza ruchu sieciowego jako podstawa visibility cybersecurity — Pokazuje, jak visibility ruchu pomaga wyznaczać i kontrolować granice mikrosegmentacji.
• Architektura Zero Trust – rola widoczności sieci i mikrosegmentacji w bezpieczeństwie — Opisuje mikrosegmentację jako jeden z filarów architektury Zero Trust.
• Czym jest NetFlow i jak ten protokół jest wykorzystywany w praktyce? — NetFlow daje dane o przepływach, potrzebne do projektowania mikrosegmentacji.
• NDR vs SIEM vs XDR – różnice NDR XDR, NDR vs SIEM i wybór systemu monitoringu sieci — NDR wykrywa ruch między segmentami i wspiera kontrolę mikrosegmentacji.