Компании вкладывают значительные средства в укрепление периметра сети — ставят межсетевые экраны и системы обнаружения вторжений. Но этого уже недостаточно. Атакующие переместили фокус внутрь корпоративной инфраструктуры, перемещаясь между серверами и получая доступ к конфиденциальным данным. Решение кроется в защите на уровне виртуальной инфраструктуры через микросегментацию — разделение сети на изолированные участки с независимыми политиками доступа.
Почему изолированность внутри сети важна
В традиционной корпоративной сети виртуальные машины в одном L2-домене не разделены друг от друга. Это как многоквартирный дом без звукоизоляции между квартирами. Любой, кто попадет внутрь, может перемещаться по этажам, прослушивать трафик и проверять уязвимости соседних систем.
Разные приложения требуют разного уровня безопасности. Системы с критичными данными нуждаются в полной изоляции — без возможности несанкционированного доступа. Кроме того, изоляция защищает от чрезмерного потребления трафика отдельными компонентами инфраструктуры.
Решить эту задачу через классические VLAN и статические правила ACL на коммутаторах невозможно. Управление тысячами строк правил вручную требует времени и ресурсов, поэтому часто безопасность приносится в жертву скорости развертывания сервисов.
Ограничения классического подхода с межсетевыми экранами
Традиционная схема защиты строится по принципу крепости: периметр прикрывается мощным межсетевым экраном, который должен отсечь внешние угрозы. Проблема в том, что файервол не может фильтровать трафик внутри сети — он создан именно для контроля между отдельными сетями. Это как закрыть входную дверь на несколько замков, оставив окна распахнутыми.
Современные веб-приложения состоят из сотен внешних библиотек, загруженных из интернета. Одна зараженная библиотека — и вредоносный код оказывается внутри периметра. Добавьте к этому подключения к инфраструктуре партнеров и удаленные рабочие места. Путей попадания внутрь защищенного периметра становится множество.
Человеческий фактор усугубляет проблему. Администратор может отключить пакетный фильтр на виртуальной машине для отладки и забыть включить обратно. Опечатка в правилах доступа способна открыть весь протокол вместо конкретного порта. Правила, внесенные в runtime-конфигурацию вместо перманентной, затеряются при перезагрузке. Одна незащищенная машина становится воротами для атаки на весь кластер.
Почему межсетевой экран перед каждой машиной нежизнеспособен
Две виртуальные машины в одном VLAN взаимодействуют напрямую, без промежуточного узла. Чтобы пропустить трафик через проверку, его нужно перенаправить. Это приведет к резкому снижению производительности — вместо одного скачка пакета потребуется два-три.
Сами межсетевые экраны становятся узким местом. Если 80% трафика циркулирует внутри сети, а экраны рассчитаны на 20% трафика между сетями, им придется обрабатывать в четыре раза больше. Задержки растут, приложения деградируют. Решение требует замены оборудования на более мощное, увеличения количества экранов и балансировки нагрузки. С учетом требований к надежности и масштабируемости такой подход становится экономически неоправданным.
Как микросегментация решает задачу
Микросегментация на уровне программно-определяемой сети (SDN) разбивает VLAN на множество изолированных участков вплоть до отдельных портов виртуальной машины. Для каждой машины или группы машин прописывают правила: по каким портам, адресам и протоколам разрешен трафик. Как если бы в каждой комнате дома установили умные двери с пропускными системами.
SDN позволяет виртуализировать путь прохождения пакета и ставить виртуальные пакетные фильтры на выходе из сетевого порта машины. В аппаратном мире это выглядело бы как установка фильтра в разрыв кабеля между коммутатором и компьютером.
Главное преимущество для безопасности — абсолютная независимость от действий внутри самой виртуальной машины. Микросегментацию нельзя отключить. Она работает на уровне инфраструктуры виртуализации, на выходе из сетевого интерфейса. Это реализует принцип Zero Trust: нахождение внутри периметра больше не означает доверие.
Производительность не страдает, потому что код фильтрации исполняется на самом мощном компоненте — сервере виртуализации. Масштабирование происходит естественно: добавляется больше гипервизоров, виртуальные машины распределяются между ними, нагрузка на фильтрацию остается в прежних пределах.
Все разрешения и запреты управляются централизованно и изменяются мгновенно. Можно создавать тысячи правил в неделю и внедрять их без многонедельных циклов согласований. Такая динамика немыслима в традиционных сетях, но для SDN это стандартный процесс.
Почему микросегментация затрудняет атаку
В традиционной сети хакеру нужен один успешный прорыв периметра, и он попадает в зону доверия, где может свободно перемещаться и искать уязвимые узлы. Микросегментация меняет ситуацию. Скомпрометированный сегмент становится ловушкой. Для движения дальше требуется обойти индивидуальную политику каждого целевого сегмента, каждый шаг может привлечь внимание мониторинга.
Микросегментация лишает хакера видимости сети. Сканирование портов, определение структуры инфраструктуры натыкаются на стену. Он не видит, какие сервисы доступны, не понимает, где двигаться. Любая попытка обращения к закрытому сегменту записывается системами мониторинга, что позволяет обнаружить вторжение на самом раннем этапе.
Плоскость управления отделена от плоскости данных. Политики безопасности хранятся на уровне SDN-контроллера и гипервизора. Даже если злоумышленник получит полный контроль над операционной системой с правами root, он не может изменить правила доступа. Он может уничтожить данные в одной машине, но не выйти за ее границы, потому что инструменты управления находятся вне его досягаемости.
Микросегментация становится прочным фундаментом сетевой безопасности, но не заменяет межсетевые экраны. Внешняя и внутренняя защита должны дополнять друг друга. Именно сочетание традиционных средств защиты с SDN обеспечивает высокий уровень безопасности по принципу нулевого доверия и одновременно автоматизирует управление инфраструктурой. Это избавляет компанию от выбора между защищенностью и скоростью развертывания.
