Cosa si intende per segmentazione della rete?

I vantaggi della segmentazione della rete

Qualunque sia lo schema utilizzato da un'organizzazione, una rete segmentata offre alcuni evidenti vantaggi rispetto a una rete piatta senza gerarchia o sottoreti. Questi vantaggi includono:

• Dati sensibili protetti da una sicurezza informatica più efficace: questo vantaggio comprende la prevenzione delle violazioni (movimento nord-sud), un controllo più rigoroso degli accessi e controlli di sicurezza specifici per ogni segmento.
• Minori difficoltà nel soddisfare i requisiti di conformità: limitando chi può accedere a determinati dati e i luoghi in cui i dati possono passare, è possibile agevolare l'attestazione della conformità e le verifiche dell'ottemperanza alle normative di settore e governative, come PCI DSS e RGPD.
• Semplificazione dell'analisi del rischio e della gestione dei danni: se i criminali informatici non sono in grado di muoversi liberamente su tutta la rete, è più facile individuare le loro tecniche e identificare i punti deboli nella sicurezza.
• Endpoint e utenti più sicuri: in una rete segmentata, sia gli utenti finali che i dispositivi sono più sicuri, perché le minacce non possono diffondersi facilmente sugli endpoint e, al tempo stesso, i segmenti sono protetti dagli attacchi che partono da questi dispositivi.
• Riduzione della congestione della rete: l'attività che si verifica in un segmento non danneggia indirettamente un'altra parte della rete. Ad esempio, in un negozio di rivendita al dettaglio, l'utilizzo del Wi-Fi da parte dei clienti non rallenterà le transazioni con le carte di credito.

Le best practice della segmentazione della rete

Per implementare e mantenere un modello di segmentazione della rete efficace, ecco cinque best practice da seguire:

1. Non effettuare una segmentazione eccessiva

All'inizio, molte organizzazioni tendono a effettuare una segmentazione eccessiva delle loro reti. Ciò può ridurre la visibilità complessiva sulla rete e rendere la gestione ancora più difficile. Al contempo è anche importante non ridurre eccessivamente la segmentazione, altrimenti la superficie di attacco potrebbe rimanere troppo estesa, danneggiando il profilo di sicurezza.

2. Eseguire verifiche periodiche

La segmentazione è ottima per migliorare la sicurezza della rete, ma è efficace solo se abbinata a un controllo costante per verificare che le vulnerabilità siano azzerate, che le autorizzazioni siano limitate e che gli aggiornamenti siano installati. In particolare, la verifica dei segmenti assicura che non vi siano gap sfruttabili nella copertura e che qualsiasi rischio associato alla rete sia stato mitigato, per far sì che l'azienda anticipi sempre gli aggressori.

3. Applicare il principio dei privilegi minimi

L'accesso a privilegi minimi può determinare le sorti della gestione generale degli accessi, ed è fondamentale quando si effettua la segmentazione della rete. Applicando questo principio a tutti i segmenti della rete, si garantisce agli utenti, agli amministratori di rete e al team di sicurezza che l'accesso sarà consentito solo quando necessario. Questo è il motivo per cui l'accesso a privilegi minimi è fondamentale per l'approccio ZTNA.

4. Limitare l'accesso di terzi

L'accesso di utenti terzi comporta già di per sé un rischio elevato, ed è importante autorizzarlo solo quando è strettamente necessario, soprattutto se lo si concede a diversi segmenti della rete. La segmentazione riduce il rischio complessivo associato alla rete, ma questo non equivale a concedere l'autorizzazione a terzi in modo indiscriminato senza considerare l'effetto sul profilo di sicurezza.

5. Estendere l'automazione il più possibile

La segmentazione della rete offre all'organizzazione una serie di preziose opportunità per estendere l'automazione. Oltre ai vantaggi dell'automazione in generale, come l'aumento della visibilità, la riduzione del tempo medio di correzione (MTTR) e il miglioramento della sicurezza, l'automazione della segmentazione della rete consente di identificare e classificare rapidamente nuove risorse e dati, e rappresenta quindi un'altra best practice nell'ambito della segmentazione.

Gli svantaggi della segmentazione tradizionale

Ciò che è evidente è che, nelle architetture di rete complesse di oggi, che sono distribuite su più cloud e data center, i vecchi modelli di segmentazione basati su firewall e VLAN presentano alcuni gravi limiti.

I firewall tradizionali hanno un difetto che è in totale contrasto con l'obiettivo della segmentazione: creano reti piatte che consentono facili spostamenti laterali. Cercare di compensare questa situazione è quasi impossibile dal punto di vista operativo. Nonostante tutte le loro funzionalità aggiuntive, i firewall di nuova generazione continuano a collocare gli utenti sulla rete per farli accedere alle applicazioni. Le VLAN presentano lo stesso limite.

Un approccio tradizionale porta ai seguenti problemi:

• Attendibilità eccessiva: dato che la segmentazione tradizionale basata su firewall è progettata per prevenire gli attacchi esterni, l'azienda resta comunque vulnerabile alle minacce interne.
• Errori di configurazione: nelle architetture moderne è facile configurare le VLAN in modo errato, specialmente se si utilizzano provider di servizi cloud di terze parti, e non è possibile modificare l'infrastruttura in modo autonomo.
• Gestione laboriosa:  le nuove applicazioni, i nuovi dispositivi o le modifiche implicano la necessità di aggiornare le regole firewall, e anche le attività più banali, come la scansione delle vulnerabilità, richiedono più risorse.
• Controlli complessi: i metodi tradizionali non offrono controlli precisi; questo complica la definizione delle policy di segmentazione per lavoratori in remoto, partner, clienti e così via.
• Problemi di scalabilità: per gestire la crescita della rete, è necessario creare segmenti più piccoli o aggiornare quelli esistenti, con conseguenti maggiori costi di scalabilità e manutenzione.
• Prestazioni scadenti: l'aggiunta di altri dispositivi di rete (ad esempio, firewall e router) ha un effetto negativo che danneggia le prestazioni complessive della rete.