W wielu firmach cała infrastruktura pracuje w jednej podsieci. Działa — do momentu, w którym zainfekowany komputer w biurze zaczyna widzieć rejestrator monitoringu i serwer plików.
Co daje podział sieci
Segmentacja ogranicza zasięg problemu. Urządzenie w jednym segmencie nie komunikuje się dowolnie z innym — ruch między segmentami przechodzi przez router lub firewall, gdzie można go opisać regułami i rejestrować. Poza bezpieczeństwem daje to również porządek: adresacja zaczyna coś znaczyć, a diagnostyka staje się szybsza.
Typowy podział w firmie produkcyjnej lub handlowej
- Serwery — dostęp tylko z określonych segmentów i portów.
- Stanowiska pracy — komputery użytkowników.
- Monitoring — kamery i rejestratory, bez dostępu do internetu.
- Urządzenia produkcyjne — sterowniki, wagi, terminale.
- Goście i Wi-Fi otwarte — wyłącznie dostęp do internetu.
- Zarządzanie — interfejsy administracyjne switchy, punktów dostępowych i UPS-ów.
Najczęstszy błąd: segmenty bez reguł
Samo utworzenie VLAN-ów niczego nie zabezpiecza, jeżeli na routerze pozostaje reguła zezwalająca na cały ruch między nimi. Podział ma sens dopiero wtedy, gdy domyślnie ruch między segmentami jest blokowany, a przepuszczane są wyłącznie konkretne, opisane połączenia.
Jak przeprowadzić zmianę bez przestoju
Migrację prowadzi się etapami: najpierw wydzielenie segmentu zarządzania i monitoringu, potem urządzeń produkcyjnych, na końcu stanowisk pracy. Każdy etap warto zaplanować w oknie serwisowym i przygotować sposób szybkiego wycofania zmian — najczęściej jest to kopia konfiguracji urządzeń brzegowych sprzed zmiany.