Что такое сегментация ЛВС Cato

Обзор

По мере того как организации переходят на гибридные архитектуры, облачные приложения и распределенные рабочие модели, внутренняя сеть все чаще становится хранилищем конфиденциальных данных и критически важных операционных потоков, которые должны защищаться с той же тщательностью, что и трафик WAN и Интернета. Сегментация ЛВС является ключевым архитектурным компонентом для снижения риска и улучшения операционного контроля в современных корпоративных сетях.

В этом разделе описывается, как Cato реализует сегментацию ЛВС как часть своей более широкой архитектуры SASE и универсальной архитектуры сети с нулевым доверием (UZTNA).

Сегментация ЛВС в современных корпоративных сетях

Основная цель сегментации ЛВС – ограничение неявного доверия в локальной сети. Разделяя ЛВС на сегменты с явным контролем доступа, организации могут уменьшить боковое перемещение, сдерживать скомпрометированные системы и обеспечивать минимально необходимую связь между устройствами, приложениями и услугами.

Сегментация ЛВС также улучшает оперативную прозрачность за счет создания преднамеренных и поддающихся рецензии путей доступа. Вместо использования плоских сетей и широкой соединенности, администраторы определяют, какие системы могут общаться и при каких условиях.

Трафик ЛВС как недостаток безопасности и видимости

В гибридных и облачно-ориентированных средах средства безопасности часто сосредоточены на границе сети, защищая трафик, входящий или выходящий из организации. В результате восточно-западный трафик ЛВС может не получать должного внимания и соблюдения, создавая слепую зону для боковых угроз.

Без сегментации единственный скомпрометированный конечный узел может получить доступ ко многим внутренним ресурсам. Сегментация ЛВС устраняет этот пробел, применяя постоянную инспекцию и реализацию политики к внутренним потокам трафика, улучшая как уровень безопасности, так и видимость внутри локальной сети.

Взаимосвязь между сегментацией ЛВС, нулевым доверием и SASE

Сегментация ЛВС является практическим расширением принципов нулевого доверия в локальной сети. Нулевое доверие не предполагает неявного доверия на основе местоположения сети и требует явной оценки политики для каждой попытки доступа.

В платформе Cato SASE Cloud сегментация ЛВС применяет эти принципы локально, обеспечивая управление на основе политики на каждом уровне. Это позволяет организациям последовательно расширять нулевое доверие на ЛВС, WAN и интернет-трафик, используя единую плоскость управления.

Компоненты решения Cato по сегментации ЛВС

Сегментация ЛВС Cato реализуется через следующие основные компоненты:

• Сокеты — обеспечивают сегментацию ЛВС локально на каждом объекте за счет контроля и инспекции восточно-западного трафика.

• Межсетевой экран ЛВС — определяет и обеспечивает соблюдение политик сегментации для трафика между сегментами, включая возможности на уровне 7.

• Микросегментация — изолирует хосты в одном VLAN с использованием адресации /32 и направляет внутрисегментный трафик через сокет для инспекции.

• Приложение управления Cato (CMA) и Cato Cloud — предоставляют единую консоль для определения и управления политиками и настройками, которые реализуют сегментацию ЛВС. Политики успешно развернуты по глобальной магистрали Cato Cloud.

Определение сегментации ЛВС на платформе Cato

Cato реализует сегментацию ЛВС как средство контроля безопасности на основе политики, управляя движением по восток-запад за защитой сокета. Местная сегментация трафика обеспечивается совокупностью политик межсетевого экрана ЛВС и управлением микросегментации, которые определяют, какие пользователи, устройства, приложения и службы могут взаимодействовать в пределах ЛВС. Сокет локально сегментирует и защищает трафик ЛВС на физическом объекте, контролируя восток-западное общение с минимальной задержкой.

Логическая сегментация против физической сегментации

Сегментация ЛВС Cato реализована в виде логической сегментации, обеспеченной сокетом. Она не зависит от физически отдельных сетей или специального сегментационного оборудования.

VLAN и IP-диапазоны могут использоваться для определения области сегментации, но они сами по себе не обеспечивают изоляции. На платформе Cato эти сетевые атрибуты используются в качестве критериев сопоставления в рамках политик межсетевого экрана ЛВС и микросегментации, выполняемых сокетом. Этот подход позволяет администраторам адаптировать сегментацию по мере изменения среды, не внося изменений в топологию сети и не добавляя дополнительного оборудования.

Использование сокетов и CMA для реализации сегментации

Политики сегментации определяются централизованно в CMA и реализуются локально на сокете на каждом объекте. Сокет действует как точка реализации для всего трафика ЛВС, который пересекает определенные границы доверия. Эта модель обеспечивает централизованное управление с локальной реализацией, гарантируя постоянное поведение политик на всех площадках сокетов, сохраняя при этом проверку локального трафика, даже если облачное подключение временно недоступно.

После установления политик сегментации вы можете дополнительно повысить безопасность ЛВС, включив реализацию IPS на сокете. Сокет может инспектировать восточно-западный трафик на наличие угроз, оценивая его по правилам LAN Firewall.

Архитектура сегментации ЛВС

В этом разделе описывается архитектура сегментации ЛВС в Cato.

Роль сокета в локальной реализации

Сокет является точкой реализации для сегментации ЛВС на каждом объекте. Весь трафик ЛВС, который пересекает границу сегментации, инспектируется и контролируется непосредственно на сокете, включая трафик между VLAN. Кроме того, при включенной микросегментации инспектируется трафик между хостами в одном VLAN.

Путем обеспечения сегментации локально сокет гарантирует, что трафик восток-запад оценивается с минимальной задержкой и не зависит от обходных путей к PoP в облаке Cato. Особенно важно это для приложений, чувствительных к задержкам, и сред, где требуется бесперебойное локальное подключение.

Централизованное определение и распределение политик через CMA

Политики сегментации определяются в CMA один раз и автоматически распространяются на все соответствующие сокеты. Администраторы управляют сегментацией с использованием единого фреймворка политик, который легко масштабируется на большое количество объектов и поддерживает постепенноевведение объектов на платформу Cato.

Эта централизованная модель упрощает управление изменениями и аудит. Обновления политик применяются последовательно в среде, снижая риск изменения конфигурации и исключая необходимость в специфических для объектов настройках правил межсетевого экрана.

Межсетевой экран Socket следующего поколения как управляющая плоскость для сегментации

Cato использует межсетевой экран Socket следующего поколения как управляющую плоскость для обеспечения сегментации внутри локальной сети. Межсетевой экран Socket оценит восточно-западный трафик в соответствии с политикой безопасности, предоставляя постоянный механизм инспекции и реализации для трафика ЛВС без отправки трафика в облако.

Проверка уровня 7 для восточно-западного трафика ЛВС

Межсетевой экран Socket ЛВС выполняет проверку уровня 7 на трафике ЛВС, который пересекает политику определенного доверительного границы. Вместо использования только IP-адресов, портов или идентификаторов VLAN, межсетевой экран определяет приложения и протоколы в потоке трафика и оценивает их в соответствии с политикой.

Принятие решений о сегментации на основе идентификации приложений и атрибутов трафика позволяет администраторам обеспечить доступ по принципу минимальных привилегий между системами, сохраняя при этом простоту сетевых дизайнов. Решения о сегментации выражаются в терминах безопасности и последовательно реализуются на сокете, снижая зависимость от сложных ACL и минимизируя риск чрезмерного доступа к боковинам.

Контекст устройств и пользователей

Межсетевой экран Socket ЛВС также поддерживает сегментацию с использованием контекста устройства и пользователя. Вы можете определить правила на основе атрибутов устройства, таких как версия ОС, производитель или тип устройства (например, камеры безопасности или принтеры), и соответственно ограничить доступ. Более того, правила LAN Firewall могут включать условия, основанные на пользователе, такие как удостоверение пользователя или атрибуты, такие как оценка риска, чтобы обеспечить соблюдение политик доступа в зависимости от того, кто запрашивает трафик. Это позволяет политике сегментации сочетать сетевой, контекст устройства и пользователя для более точного управления трафиком восток-запад.

Микросегментация внутри ЛВС

Cato расширяет сегментацию ЛВС, внедряя модель микросегментации без агентов, которая обеспечивает изоляцию на уровне отдельных хостов. Микросегментация уменьшает атакуемую поверхность в пределах сегмента, предотвращая неявное доверие между устройствами и ограничивая латеральное перемещение, даже если системы используют один и тот же VLAN или подсеть IP.

Микросегментация заставляет внутрисегментный трафик переходить в сокет для инспекции и реализации. Восточно-западный трафик между хостами оценивается межсетевым экраном Socket ЛВС с использованием того же фреймворка политики, применяющегося и к трафику между VLAN.

Решение без агентов

Микросегментация Cato реализуется без внедрения агентов на конечные точки и без использования специализированных сегментационных устройств. Реализация осуществляется сокетом, используя контроль на основе политики, а не программное обеспечение на основе хоста или сложное переработка сети.

Этот подход без агентов позволяет применять микросегментацию одинаково к управляемым, неуправляемым и не-пользовательским устройствам, включая серверы, IoT и OT системы. Он также упрощает операции, избегая управления жизненным циклом конечных точек и ограничений совместимости.

Изоляция на уровне хоста с использованием адресации /32

Когда микросегментация включена, хосты внутри VLAN логически изолированы с использованием адресации /32. Каждое устройство рассматривается как своя собственная изолированная конечная точка, убирая стандартную возможность peer-to-peer взаимодействия в пределах подсети.

Эта модель гарантирует, что устройства не могут напрямую взаимодействовать друг с другом, если это не разрешено политикой. Любая попытка бокового взаимодействия должна быть оценена и разрешена Сокетом, обеспечивая доступ по принципу наименьших привилегий на уровне хоста.

Примеры использования сегментации

Следующие примеры использования показывают, как ограничить ненужное доверие в рамках ЛВС, сохраняя при этом необходимую бизнес-связь.

Сегментация LDAP и Active Directory

Ограничьте доступ к LDAP и серверам Active Directory только для группы пользователей администратора ИТ. Реализуйте это на Сокете, разрешая трафик к серверам LDAP/AD только от назначенных пользователей или устройств администраторов ИТ и блокируя весь другой доступ. Это пример набора правил межсетевого экрана ЛВС, которые позволяют доступ к LDAP/AD для администраторов ИТ с блокировкой доступа для других источников:

Изоляция OT и IoT

Устройства Операционных Технологий (OT) и IoT часто не имеют встроенных средств защиты и не могут поддерживать агенты конечных точек. Cato позволяет изолировать эти устройства, реализуя политики межсетевого экрана ЛВС и микросегментации непосредственно на сокете, позволяя OT и IoT активы размещать в выделенных сегментах с четко управляемыми путями связи.

Например, настройте микросегментацию для VLAN, предназначенного для камер наблюдения, и создайте правило межсетевого экрана ЛВС, которое ограничивает доступ к устройствам типа IP-камер только для сотрудников службы безопасности.

Следующее изображение показывает VLAN для камер наблюдения, настроенный на микросегментацию.

Защита платёжных серверов

Сегментация используется для ограничения доступа к критически важным серверам и нагрузкам, которые содержат конфиденциальные данные или приложения, критически важные для бизнеса. Cato позволяет это, реализуя политики межсетевого экрана ЛВС и микросегментации на сокете, позволяя определять доступ с использованием контролей на основе приложений, где это возможно, и контролей на основе IP на уровне хоста.

Например, ограничьте доступ к серверу обработки платежей только для серверов приложений, которые требуют его. Реализуйте это на сокете, разрешая трафик к платёжному серверу только от обозначенных IP серверов приложений или сегментов и блокируя весь другой доступ.

Это пример набора правил межсетевого экрана ЛВС, которые позволяют доступ к платёжному серверу от конкретного сервера приложений, блокируя доступ для других источников: