Традиционную сеть можно сравнить с квартирой, где входная дверь закрыта на замок, но межкомнатных дверей нет. Снаружи может стоять мощный межсетевой экран, но внутри виртуальные машины могут взаимодействовать без посредников. Это создает риски, особенно если речь идет о машинах с критическими данными или тех, которые агрессивно потребляют трафик и создают «шум» вокруг себя. Микросегментация позволяет исправить ситуацию, обеспечивая изоляцию на уровне каждой виртуальной машины.

Без микросегментации ответственность за безопасность фактически перекладывается на плечи администратора конкретной виртуальной машины. Даже если на ней установлен собственный брандмауэр, он должен быть правильно сконфигурирован и, в конце концов, включен. Таким образом, если хакер получит доступ к одной машине, он сможет захватить и соседние, распространив атаку на весь сегмент.

Межсетевые экраны, сфокусированные на входящем и исходящем из сети трафике, технически не могут зафиксировать «горизонтальное перемещение» (lateral movement) внутри сегмента сети. Кроме того, у них есть ограничения производительности: если дополнительно направить на межсетевые экраны внутресетевой трафик, то количество пакетов, подлежащих немедленной обработке, может вырасти кратно. Задержки в проверке будут расти, что замедлит работу бизнес-приложений.

Микросегментация меняет саму архитектуру доверия внутри сети. Она позволяет разделить сеть на атомарные сегменты и централизованно прописывать доступы к каждой виртуальной машине или их группам.

Благодаря микросегментации реализуется принцип «нулевого доверия» (Zero Trust): «соседи» по сети теперь не считаются априори безопасными и также должны проходить проверку перед взаимодействием — причем эту проверку невозможно отменить, так как она настроена на уровне архитектуры. Разрешается и запрещается только тот трафик, который явно прописан соответствующими правилами. Если серверу по регламенту нужно общаться только с базой данных по конкретному порту, любая попытка этого сервера просканировать соседний файловый сервер будет мгновенно пресечена на уровне гипервизора, еще до того, как пакет покинет физический узел.

Таким образом, даже если злоумышленник взломает отдельную машину, он не сможет просканировать соседние серверы или распространить вредоносное ПО. Путь хакера усложняется в десятки раз: чтобы захватить несколько виртуальных машин, придется взламывать каждый отдельный сегмент. На это потребуется гораздо больше времени и действий, а повышенную активность ИБ-служба заметит быстрее и оперативно устранит инцидент.

Для департамента информационной безопасности внедрение этой технологии дает несколько преимуществ:

• Централизованная политика нулевого доверия. Все виртуальные машины покрыты едиными правилами. Человеческий фактор при ручной настройке портов на отдельных серверах исключен.
• Препятствие горизонтальному перемещению. Даже если один узел скомпрометирован, распространение угрозы по сети существенно осложняется. Вредоносное ПО не может «перепрыгнуть» на соседнюю машину.
• Низкая стоимость контроля. Специалисты по кибербезопасности получают контроль над трафиком без снижения производительности сети. За счет распределенного исполнения проверок и развитой политики кэширования задержки при фильтрации минимальны.
• Интеграция с ИБ-средствами. SDN позволяет организовать зеркалирование трафика и его передачу для анализа внешним системам (NTA/IDS, песочницам, SIEM).

Пример реализации микросегментации средствами сети демонстрирует zVirt SDN — компонент платформы виртуализации zVirt. Это решение позволяет разделить сеть на строго изолированные сегменты и прописать, кто, по каким протоколам, портам и IP-адресам может получить доступ к каждой виртуальной машине, реализуя «белые списки» взаимодействия. Решение подходит для высоконагруженных инфраструктур, позволяет создать до 65 000 правил микросегментации, обеспечивает возможности журналирования, сэмплирования и централизованной отладки политик.

Для крупной компании, в инфраструктуре которой работает порядка 3000 виртуальных машин, закупка межсетевых экранов для внутренней сети потребовала бы 40–60 млн рублей дополнительных инвестиций. Микросегментация на базе zVirt SDN позволяет сдерживать рост CAPEX на информационную безопасность, так как работает «из коробки» как встроенный компонент виртуализации.

zVirt SDN также реализует механизм зеркалирования трафика, который необходим для глубокого анализа угроз. Если говорить простым языком, микросегментация — это замок на двери, но ИБ-службе нужно видеть, кто пытается в эту дверь зайти. SDN-контроллер позволяет «на лету» создавать SPAN-порты или туннелировать копии сетевых пакетов (например, через протокол ERSPAN) с любого виртуального интерфейса на выделенные виртуальные машины с аналитическим ПО. Это важно для расследования инцидентов: не останавливая работу виртуальной машины, специалист может получить полную копию трафика подозрительного узла.

В zVirt SDN обеспечена интеграция с системой поведенческого анализа трафика PT NAD. Специалисты Orion soft и Positive Technologies обеспечили глубокую интеграцию решений, которая позволяет копировать и анализировать трафик между виртуальными машинами независимо от установленного ПО. В результате ИБ-специалисты могут просматривать сетевые взаимодействия между виртуальными машинами в рамках одного гипервизора, что помогает выявлять хакерские техники горизонтального перемещения, используемые для распространения атаки.

Результат внедрения SDN с микросегментацией — не только в снижении вероятности успешного взлома. Это экономия на капитальных затратах (CAPEX) за счет отказа от парка дорогостоящего сетевого оборудования, сокращение времени на аудит соответствия (compliance) и, главное, минимизация ущерба от потенциальных атак.

В случае инцидента компания получает не полную остановку бизнеса и шифрование данных по всей сети, а локализованное событие, которое обнаруживается и купируется за минуты, а не за недели. В условиях кадрового голода на рынке кибербезопасности и усложнения ландшафта угроз такая защита внутреннего периметра становится не опцией, а базовым требованием к современной инфраструктуре.