La segmentazione della rete è la pratica di dividere le reti in sezioni più piccole e isolate per ridurre Spostamento laterale e migliorare le prestazioni della rete.
Dopo aver letto questo articolo sarai in grado di:
Argomenti correlati
Abbonati a theNET, il riepilogo mensile di Cloudflare sulle tematiche più discusse in Internet.
Copia link dell'articolo
La segmentazione della rete è la pratica di dividere una rete* in sezioni più piccole e isolate. Queste partizioni possono essere create e protette tramite hardware o software fisici, ognuno dei quali presenta specifici problemi di implementazione.
Isolando diversi segmenti di una rete, le organizzazioni possono prevenire più facilmente lo spostamento laterale, esercitare un controllo granulare sul traffico di rete e migliorare le prestazioni della rete. Possono anche stabilire criteri per carichi di lavoro e applicazioni individuali, un approccio noto come microsegmentazione.
*Una rete è un gruppo di computer connessi tra loro.
La segmentazione della rete divide una rete in più sezioni, a ognuna delle quali possono quindi essere applicati controlli diversi. In genere, questo processo viene eseguito utilizzando uno dei due metodi: segmentazione fisica e segmentazione logica.
La segmentazione fisica richiede che dispositivi hardware, come router, switch e firewall, separino una rete in sezioni distinte. Questi dispositivi controllano il tipo di traffico che può entrare e uscire da ciascuna sezione tramite criteri di segmentazione, che possono essere configurati in base a criteri specifici (ad es. origine del traffico, destinazione e così via).
La segmentazione fisica (detta anche segmentazione basata sul perimetro) è spesso costosa e laboriosa da configurare e mantenere. Funziona anche partendo dal presupposto che la maggior parte delle organizzazioni mantenga ancora un perimetro di rete fisico.
Con l'avvento del cloud computing, tuttavia, questo perimetro è quasi scomparso, poiché gli utenti possono accedere a dati e applicazioni su Internet, anziché su reti interne gestite dall'IT. Anche le organizzazioni che utilizzano l'infrastruttura locale spesso consentono agli utenti di connettersi alle risorse interne da dispositivi e software esterni.
La segmentazione logica, o segmentazione di rete virtuale, utilizza un software per dividere una rete in sezioni più piccole. Questi segmenti possono essere creati tramite sottoreti, reti locali virtuali (VLAN) e schemi di indirizzamento di rete.
Analogamente alla segmentazione fisica, anche la segmentazione logica utilizza criteri di segmentazione per limitare il flusso di traffico in entrata e in uscita da ciascun segmento di rete.
Poiché la segmentazione logica non dipende dalla configurazione, dalla manutenzione e dall'aggiornamento di più dispositivi hardware, è ampiamente considerata un metodo più flessibile, scalabile e conveniente per separare e proteggere una rete.
Se implementata correttamente, la segmentazione della rete può aiutare le organizzazioni a migliorare la sicurezza, le prestazioni e la conformità con maggiore efficienza. Tra i vantaggi più significativi rientrano i seguenti:
La segmentazione della rete suddivide la rete in sezioni più piccole, alle quali vengono applicati diversi controlli e policy di sicurezza.
La microsegmentazione, al contrario, è un sottoinsieme della segmentazione di rete che consente di applicare controlli ancora più granulari ai singoli carichi di lavoro. (Un carico di lavoro è un programma o un'applicazione, come un server, una macchina virtuale o una funzione serverless, che utilizza una certa quantità di memoria e risorse di elaborazione.) Fa parte di un modello di sicurezza Zero Trust, in cui nessun utente o dispositivo è considerato attendibile per impostazione predefinita.
Per comprendere meglio i vantaggi in termini di sicurezza della segmentazione di rete rispetto alla microsegmentazione, immaginiamo che un re abbia una grande somma di oro e gioielli che desidera proteggere. Potrebbe riporre tutti i suoi tesori in diverse camere segrete, ciascuna delle quali potrebbe essere aperta solo utilizzando una chiave specifica (segmentazione di rete). Se un ladro ruba la chiave di una cassaforte, potrebbe riuscire a rubare il tesoro al suo interno, ma non potrebbe accedere ad altri caveau senza rubare altre chiavi di quelle stanze. Allo stesso modo, un malintenzionato che viola una sottorete può compromettere i dati in essa contenuti, ma non sarà in grado di spostarsi liberamente in un'altra sottorete.
In alternativa, il re avrebbe potuto non solo distribuire il suo tesoro tra più caveau, ma anche riporlo in forzieri chiusi a chiave all'interno di ogni stanza e assicurarsi che ogni forziere potesse essere aperto solo con la propria chiave (microsegmentazione). In questo modo, se un ladro avesse rubato la chiave di uno dei caveau del tesoro, non avrebbe potuto comunque aprire i singoli forzieri senza procurarsi altre chiavi. Allo stesso modo, in una rete microsegmentata, anche se un malintenzionato compromette un carico di lavoro, potrebbe non essere in grado di compromettere (o addirittura accedere) ad altri carichi di lavoro.
Scopri di più su come la microsegmentazione aiuta le organizzazioni a raggiungere uno stato di sicurezza Zero Trust.
La segmentazione della rete migliora la sicurezza suddividendo una rete in segmenti più piccoli e isolati. Questa pratica limita l'accesso di un utente malintenzionato in caso di violazione della rete e consente un maggiore controllo sul traffico di rete.
La microsegmentazione è una forma granulare di segmentazione della rete che applica controlli di sicurezza a singoli carichi di lavoro o applicazioni, consentendo policy di sicurezza specifiche per ciascuna. A differenza di altri tipi di segmentazione della rete, la microsegmentazione si verifica a livello applicazione, anziché a livello di rete.
La segmentazione di rete limita la capacità di un attaccante di spostarsi verso altre sezioni della rete in seguito a una violazione, circoscrivendo il suo accesso al solo segmento compromesso e proteggendo il resto della rete.
La segmentazione fisica utilizza hardware come router e firewall per separare le sezioni di rete. La segmentazione logica utilizza metodi basati su software, come il subnetting e le reti locali virtuali (VLAN), per creare barriere virtuali all'interno di una rete.
La segmentazione può aiutare le organizzazioni a ottimizzare le prestazioni della rete, garantendo che solo il traffico necessario fluisca tra i segmenti e riducendo la congestione della rete.
Il cloud computing ha offuscato i tradizionali perimetri di rete, rendendo i metodi di segmentazione flessibili e basati su software più importanti per proteggere ambienti moderni e distribuiti. La segmentazione di rete basata su hardware non contribuisce significativamente alla protezione delle implementazioni cloud.
Zero Trust è un modello di sicurezza in cui si presume che le minacce siano già presenti all'interno di una rete e nessun utente o dispositivo è considerato attendibile per impostazione predefinita. La segmentazione di rete, in particolare la microsegmentazione, è un principio chiave della sicurezza Zero Trust perché impedisce a queste minacce, già presenti, di violare l'intera rete.