Mikrosegmentierung ist eine Sicherheitsarchitektur, die Netzwerke in granulare, isolierte Vertrauenszonen bis hin zu einzelnen Workloads, Benutzern oder Geräten unterteilt, um zu verhindern, dass sich Angreifer nach einer ersten Kompromittierung lateral bewegen. Im Vereinigten Königreich haben 43 % der Unternehmen, etwa 612.000 Organisationen, in den vorangegangenen 12 Monaten in den Jahren 2025/2026 eine Cybersicherheitsverletzung oder einen Angriff erlebt, was die Schadenseindämmung eher zu einer betrieblichen Notwendigkeit als zu einer theoretischen Designpräferenz macht (UK-Cybersicherheitsdaten).
Der wichtige Unterschied besteht darin, dass Mikrosegmentierung nicht einfach aus "mehr VLANs" besteht. Sie wendet eng gefasste Zugriffsrichtlinien zwischen Systemen an, die sich bereits dasselbe Netzwerk, Rechenzentrum, dieselbe Wireless-Infrastruktur oder Cloud-Umgebung teilen. Ein kompromittierter Laptop kann zwar immer noch die benötigten Dienste erreichen, sollte aber nicht automatisch auf einen Finanzserver, eine Gebäuesteuerung, einen Domänencontroller oder das Gerät eines anderen Benutzers zugreifen können.
Dieser Unterschied ist in historisch gewachsenen und gemischt vertrauenswürdigen Infrastrukturen in Großbritannien von großer Bedeutung. Unternehmen betreiben häufig moderne Cloud-Workloads neben Altanwendungen, nicht verwalteten Geräten, Betriebstechnologie, Auftragnehmer-Zugängen und Gast-WiFi. Eine Perimeter-Firewall kann kontrollieren, was in die Infrastruktur gelangt, aber sie kann nicht von sich aus jede Ost-West-Verbindung regeln, sobald ein Angreifer gültige Anmeldedaten erlangt oder einen internen Endpunkt kompromittiert hat.
Warum Mikrosegmentierung für Netzwerke in Großbritannien unverzichtbar geworden ist
Die jüngste Sicherheitsumfrage der britischen Regierung schätzt, dass 43 % der Unternehmen, was etwa 612.000 Organisationen entspricht, in den letzten 12 Monaten eine Sicherheitsverletzung oder einen Angriff erlebt haben, während rund 19 %, also etwa 267.000 Unternehmen, Opfer von mindestens einer Cyberkriminalität wurden (UK-Zahlen zu Sicherheitsverletzungen und Angriffen). Dieselbe Quelle verzeichnet Cyberkriminalität in jeder Unternehmensgrößenklasse, von 17 % der Kleinstunternehmen bis hin zu 48 % der Großunternehmen. Eindämmung ist heute eine betriebliche Notwendigkeit für Organisationen jeder Größe und keine Sorge, die auf Finanzinstitute oder Regierungsbehörden beschränkt ist.
Ein Perimetermodell konzentriert Sicherheitsentscheidungen am Rand des Netzwerks. Firewalls, Intrusion-Detection-Systeme am Netzwerkrand, Remote-Access-Gateways und grobe VLAN-Grenzen spielen weiterhin eine wichtige Rolle, können jedoch nicht jede Verbindung zwischen einzelnen Workloads innerhalb einer Infrastruktur überprüfen oder steuern. Sobald Phishing, gestohlene Anmeldedaten, ein exponierter Dienst oder ein anfälliger Endpunkt Zugriff gewähren, bietet ein flaches internes Netzwerk einem Angreifer Raum für Erkundungen und laterale Bewegungen.
Das Problem des Schadensradius
Historisch gewachsene Infrastrukturen in Großbritannien sind oft nach Abteilungen, Gebäuden oder technischen Funktionen organisiert. Diese breiten Zonen bleiben für die Verwaltung nützlich, doch ihre Grenzen können für eine moderne Zugriffskontrolle zu ungenau sein. Ein Gerät in einem Mitarbeiter-Subnetz kann Dateidienste, Drucksysteme, Verwaltungsschnittstellen, Anwendungsserver und andere Endpunkte erreichen, ohne dass für jeden Pfad eine spezifische geschäftliche Rechtfertigung vorliegt.
Mikrosegmentierung schafft kleinere Vertrauenszonen und wendet Richtlinien auf die Beziehungen innerhalb dieser Zonen an. Eine Regel kann beispielsweise einem Kassenterminal erlauben, seinen Zahlungsdienst zu kontaktieren, einem medizinischen Gerät, eine bestimmte Management-Plattform zu erreichen, oder einer Anwendungsebene, ihre Datenbank abzufragen. Nicht zusammenhängende Pfade können blockiert werden, selbst wenn Systeme dieselbe Switching-Infrastruktur nutzen.
Die britische Umfrage schätzte zudem etwa 8,58 Millionen Cyber-Straftaten, die britische Unternehmen betrafen, im jüngsten Umfragejahr, während die gemeldete Häufigkeit von Sicherheitsverletzungen sowohl 2024/2025 als auch 2025/2026 bei 43 % lag, nachdem sie 2023/2024 noch bei 50 % gelegen hatte (UK-Cybersicherheitsstatistiken). Die anhaltende Bedrohungslage macht reine Perimeter-Kontrollen für Umgebungen mit gemischtem Vertrauensstatus ungeeignet.
Praktische Regel: Gehen Sie davon aus, dass ein Angreifer irgendwann internen Zugriff erlangt. Definieren Sie, wie viel der Infrastruktur dieser Zugriff erreichen kann, und reduzieren Sie diese Reichweite durch getestete Richtlinien.
Zero Trust liefert das strategische Prinzip, dass der Zugriff verifiziert und eingeschränkt werden muss, anstatt vom Netzwerkstandort geerbt zu werden. Mikrosegmentierung ist die Durchsetzungsebene, die dieses Prinzip in Traffic-Entscheidungen umsetzt. Die Netzwerkrichtlinien für den öffentlichen Sektor im Vereinigten Königreich fordern granulare, isolierte Zonen basierend auf Funktion, Datensensibilität, Benutzergruppen und Service-Kritikalität, einschließlich der Trennung zwischen Produktions-, Entwicklungs-, Test- und Schulungsumgebungen (UK zero-trust network guidance).
Die Bereitstellung ist dann erfolgreich, wenn Teams vor der Durchsetzung Abhängigkeiten erfassen. In Legacy-Umgebungen kann ein nicht dokumentierter Dienstaufruf oder eine Managementverbindung einen kritischen Prozess unterstützen. Richtlinien sollten daher im Beobachtungsmodus beginnen, über ein begrenztes Pilotprojekt fortgesetzt und erweitert werden, sobald Ausnahmen verifiziert sind. Für den architektonischen Kontext erklärt Netzwerksegmentierung für britische Unternehmen breitere Grenzen, bevor Kontrollen auf Workload-Ebene eingeführt werden.
Der drahtlose Zugriff gehört in denselben Entwurf. Mitarbeiter, externe Dienstleister und Gäste nutzen zwar dieselbe Gebäudeinfrastruktur, aber identitätsbasierte WiFi-Plattformen - wie in einem enterprise WiFi security guide beschrieben - können Benutzer- und Gerätekontexte in Segmentierungsentscheidungen einspeisen. Dies hilft dabei, unterschiedliche Zugriffsrichtlinien anzuwenden, ohne WiFi als separaten Sicherheitsbereich zu behandeln.
Wie Mikrosegmentierung tatsächlich funktioniert
Ein nützlicher Vergleich ist ein sicheres Bürogebäude. Die Perimeter-Firewall ist die Eingangstür. Sie kontrolliert, wer das Gebäude von außen betritt. VLANs sind die Etagen, die große Gruppen wie Mitarbeiter, Gäste, Server oder Gebäudetechnik voneinander trennen. Mikrosegmente sind die einzelnen Räume, jeder mit eigenem Schloss und einer Richtlinie, die festlegt, wer oder was eintreten darf.
Diese Richtlinie beginnt in der Regel mit einer "Deny-by-Default"-Einstellung. Die Plattform beobachtet eine Verbindung zwischen zwei Workloads, Benutzern oder Geräten und lässt sie nur zu, wenn eine definierte geschäftliche Anforderung besteht. Das wichtige Detail dabei ist, dass die Kontrolle zwischen internen Instanzen erfolgt und nicht nur zwischen dem Unternehmensnetzwerk und dem Internet.
Wo Richtlinien durchgesetzt werden
Der Durchsetzungspunkt bestimmt, was das System sehen kann und wie präzise es agieren kann.
- Ein Hypervisor oder virtueller Switch kann den Datenverkehr zwischen virtuellen Maschinen überprüfen, ohne jeden Fluss an eine physische Firewall zu senden. Dies eignet sich für virtualisierte Anwendungsumgebungen.
- Eine Host-Betriebssystem-Firewall wendet Kontrollen direkt am Workload an und kann Systeme schützen, die sich an verschiedenen Netzwerkstandorten befinden.
- Eine Netzwerk-Fabric oder ein softwaredefiniertes Netzwerk setzt Richtlinien an Switches, Routern oder Gateways durch. Dies vermeidet Änderungen an Endpunkten, arbeitet jedoch in der Regel mit breiteren Netzwerkattributen.
- Eine identitätsbasierte Zugriffsplattform kann eine Entscheidung an eine Person, ein Gerät, eine Rolle oder ein Authentifizierungsergebnis binden, anstatt sich nur auf eine Adresse zu verlassen.
Dieser letzte Punkt ist wichtig, da sich IP-Adressen ändern. Virtuelle Maschinen migrieren, DHCP-Leases laufen ab, Geräte wechseln zwischen Access Points und Cloud-Ressourcen werden neu erstellt. Eine Regel, die nur an eine Adresse gebunden ist, kann ungenau werden. Eine Regel, die an die Workload-Identität, die Anwendungsrolle, den Gerätestatus oder den authentifizierten Benutzerkontext gebunden ist, hat eine bessere Chance, dem Element zu folgen, das sie schützen soll.
Ost-West-Traffic ist das entscheidende Merkmal
Nord-Süd-Verkehr durchbricht die Peripherie, wie etwa ein Benutzer, der im Internet surft, oder ein externer Client, der auf eine freigegebene Anwendung zugreift. Ost-West-Verkehr bewegt sich innerhalb der Infrastruktur, wie etwa eine Anwendung, die eine Datenbank abfragt, oder ein Endpunkt, der einen Dateiserver kontaktiert. Angreifer sind nach dem Erlangen des Erstzugriffs auf Ost-West-Pfade angewiesen.
Mikrosegmentierung steuert diese internen Kommunikationsflüsse direkt. Sie kann den Datenfluss von Anwendung zu Datenbank zulassen, während sie den Zugriff von Endpunkt zu Datenbank blockiert, selbst wenn sich beide Systeme innerhalb einer breiten Server- oder Campuszone befinden. In drahtlosen Netzwerken hilft ein identitätsbasiertes Design zudem dabei, die Authentifizierung in eine Netzwerkplatzierung zu übersetzen. Tools wie ein iPSK subnet designer können eine gezielte Trennung für Geräte unterstützen, die keine moderne Benutzerauthentifizierung nutzen können.
Die operative Herausforderung besteht darin, die richtige Granularität der Richtlinien zu wählen. Eine zu weit gefasste Regel stellt implizites Vertrauen wieder her. Eine zu enge Regel kann legitime Abhängigkeiten stören. Effektive Bereitstellungen beginnen mit der Beobachtung der Kommunikation und verfeinern anschließend die zulässigen Pfade.
Vergleich von Agenten-basierten, Netzwerk-basierten und Host-basierten Ansätzen
Die Implementierungsmodelle variieren je nach Infrastruktur. Die richtige Wahl hängt von den Betriebssystemen, Eigentumsgrenzen, Anforderungen an die Transparenz und der Toleranz gegenüber Endpunktänderungen ab. In einer gemischten Vertrauensumgebung in UK wiegen diese Einschränkungen oft schwerer als die auf dem Papier bevorzugte Architektur.
Agentenbasierte Kontrollen installieren eine schlanke Komponente auf jedem geschützten Workload. Der Agent kann die Kommunikation auf Prozessebene identifizieren und Richtlinien direkt am Betriebssystem anwenden. Dies eignet sich für Cloud- und virtualisierte Workloads, bei denen sich die Workload-Identität häufiger ändern kann als der physische Netzwerkstandort. Zudem liefert es Sicherheitsteams eindeutigere Nachweise darüber, welcher Prozess eine Verbindung initiiert hat.
Der Kompromiss liegt im Bereitstellungsaufwand. Veraltete Betriebssysteme, nicht unterstützte Appliances, streng kontrollierte Produktionsserver und unverwaltete Geräte akzeptieren möglicherweise keinen Agenten. Teams benötigen Prozesse für das Versionsmanagement, die Zustandsüberwachung, die Ausnahmebehandlung und formelle Genehmigungen, wenn sich Software-Installationen auf die Produktion auswirken.
Netzwerkbasierte Kontrollen wenden Richtlinien an Switches, Routern, Gateways oder einer softwaredefinierten Fabric an. Sie vermeiden Änderungen an jedem einzelnen Endpunkt, was sie für Campus-Netzwerke, IoT, die Infrastruktur für Gäste und Geräte, auf denen kein Agent ausgeführt werden kann, praxistauglich macht. Ihre Einschränkung liegt im Kontext. Sie klassifizieren Datenverkehr möglicherweise nach Adresse, Port, Segment oder Gerätekategorie, ohne den Prozess hinter einem verschlüsselten Ost-West-Datenfluss zu identifizieren.
Hostbasierte Kontrollen nutzen native Firewalls des Betriebssystems und ein zentrales Konfigurationsmanagement. Für eine gemischt vertrauenswürdige Infrastruktur kann dies einen praktischen Ausgangspunkt bieten, ohne dass eine weitere Durchsetzungsplattform hinzugefügt werden muss. Die Kontrolle hängt dennoch von einer disziplinierten Bereitstellung, Überprüfung und Entfernung bei Systemänderungen ab. Eine inkonsistente Konfiguration führt zu Richtlinienabweichungen und erschwert die spätere Fehlerbehebung.
| Kriterien | Agenten-basiert | Netzwerk-basiert | Host-basiert |
|---|---|---|---|
| Durchsetzungsort | Workload oder Endpunkt | Switch, Router, Gateway oder Fabric | Native Firewall des Betriebssystems |
| Sichtbarkeit | Oft prozess- und workload-orientiert | Meist netzwerk- und flussorientiert | Stark auf dem geschützten Host |
| Legacy-Kompatibilität | Kann durch das Betriebssystem oder die Appliance eingeschränkt sein | Geeignet für Geräte, auf denen keine Agenten ausgeführt werden können | Abhängig von den Fähigkeiten des Betriebssystems |
| Betrieblicher Aufwand | Agenten-Rollout, Upgrades und Statusprüfungen | Fabric-Design, Integration und Regelmanagement | Konfigurationskontrolle und Richtlinienkonsistenz |
| Beste Eignung | Rechenzentrums- und Cloud-Workloads | Campus, IoT, Gäste- und unverwaltete Umgebungen | Gemischte Infrastrukturen und schrittweise Programme |
| Hauptschwachstelle | Abdeckungslücken, wo keine Agenten installiert werden können | Geringere Identitäts- und Prozess-Kontexttiefe | Komplexität der Verwaltung bei hoher Skalierung |
Hybride Bereitstellungen spiegeln wider, wie reale Infrastrukturen aufgebaut sind. Ein Unternehmen kann Richtlinien durch Agenten für Anwendungsauslastungen, Netzwerkkontrollen für Kameras und Gebäudesysteme sowie Host-Firewalls für Server durchsetzen, die zwischen beiden Gruppen stehen. Das Design sollte sich an der Zuordnung von Abhängigkeiten und einer schrittweisen Durchsetzung orientieren, anstatt jedes Gerät in ein einziges Modell zu zwingen.
Identitätsdienste fügen eine separate Kontrollkomponente hinzu. Ein Cloud-RADIUS-Anbieter kann Authentifizierungsereignisse mit rollenbasiertem Netzwerkzugriff verknüpfen und so dabei helfen, Richtlinien für Benutzer oder Geräteidentitäten auf der Zugriffsebene zuzuweisen. Das unterstützt die Segmentierung für WiFi und andere gemeinsam genutzte Infrastrukturen, ersetzt jedoch keine Kontrollen auf Workload-Ebene oder Host-Firewalls.
Das stärkste Design akzeptiert in der Regel die Einschränkungen der Infrastruktur, anstatt jedes Gerät wie einen modernen Cloud-Workload zu behandeln.
Praxisnahe Anwendungsfälle von WiFi bis zu mandantenfähigen Umgebungen
Mikrosegmentierung lässt sich leichter rechtfertigen, wenn sie ein sichtbares Zugriffsproblem löst. Gast-WiFi ist das einfachste Beispiel. Ein Besucher benötigt Internetzugang, sollte aber keine Route zu Mitarbeiteranwendungen erben, nur weil beide Netzwerke dieselben Access Points und dieselbe Switching-Infrastruktur nutzen.
Eine identitätsbasierte Plattform kann Benutzer nach der Authentifizierung verschiedenen VLANs oder Vertrauenszonen zuweisen. Mitarbeiter-Anmeldedaten können ein bestimmtes Zugriffsprofil erzeugen, Auftragnehmer ein anderes und Gäste ein eingeschränktes Profil. Das ist sicherer als die Verwendung eines gemeinsam genutzten Gast-Passworts, da ein durchgesickertes Passwort nicht automatisch zum Schlüssel für das interne Netzwerk wird.
IoT- und Gesundheitsumgebungen
IoT-Geräte erfordern ein separates Richtlinienmodell, da sie oft nur über begrenzte Sicherheitsfunktionen und lange Austauschzyklen verfügen. Eine Überwachungskamera muss möglicherweise eine Aufzeichnungsplattform und einen Verwaltungsdienst erreichen, sollte aber keine Verbindungen zu Laptops von Benutzern initiieren. Eine HLK-Steuerung benötigt eventuell einen Pfad für das Gebäudemanagement, während ein Zahlungsterminal ausschließlich mit seinen freigegebenen Zahlungs- und Verwaltungsdiensten kommunizieren sollte.
Gesundheitseinrichtungen weisen eine besondere betriebliche Sensibilität auf. Medizinische Geräte, administrative Endpunkte, patientenorientierte Dienste und Gebäudetechniksysteme können unterschiedliche Eigentümer und Verfügbarkeitsanforderungen haben. Der sinnvolle Ansatz besteht darin, die erforderlichen Datenflüsse zu definieren, die Gerätegruppen zu isolieren und Ausnahmen zu überwachen, anstatt jedes Gerät in ein einziges, zulässiges "vertrauenswürdiges" Netzwerk zu integrieren.
Mandantenfähige Gewerbeimmobilien
Mehrparteiengebäude bringen ein anderes Abgrenzungsproblem mit sich. Ein Vermieter stellt möglicherweise eine gemeinsame physische Konnektivität bereit, während jeder Mieter eine logische Isolierung von jedem anderen Mieter erwartet. Jeder Mieter benötigt seine eigene Zugriffsrichtlinie, administrative Grenze und einen Weg zu genehmigten gemeinsamen Diensten wie dem Internetzugang oder den Einrichtungen des Gebäudes.
Policy-as-code kann das Onboarding wiederholbar machen. Anstatt Switch-Konfigurationen für jeden neuen Mieter manuell zu ändern, definiert der Betreiber ein Mieterprofil und wendet es über die Netzwerk- und Identitätssysteme an. Das Ergebnis ist eine Trennung, die sich über kabelgebundenen Zugriff, drahtlosen Zugriff und SD-WAN-Ränder erstrecken kann.
Teams, die dieses Modell evaluieren, sollten den Unterschied zwischen isolierten Mandanten und bloß getrennten Konten verstehen. Eine praktische Erklärung zum Verständnis von SaaS-Mandanten ist nützlich, da dasselbe Prinzip für Netzwerkdienste gilt, d. h. eine gemeinsame Infrastruktur muss nicht gleichbedeutend mit gemeinsamem Vertrauen sein.
Purple kann in Identitätsanbieter und RADIUS integriert werden, um den Netzwerkzugriff basierend auf der Benutzer- oder Geräteidentität zuzuweisen - einschließlich dynamischer, rollenbasierter Platzierung und Isolierung für Mandanten-WiFi. In der Praxis wird es dadurch zu einer Komponente einer umfassenderen Segmentierungsarchitektur. Die Access-Plattform entscheidet, wohin eine Verbindung gehört, während Firewalls, Switches, Hosts und Workload-Kontrollen bestimmen, was diese Verbindung erreichen kann.
Wo Mikrosegmentierung das Risiko am meisten reduziert
Mikrosegmentierung ist nicht in erster Linie eine Compliance-Übung für das Rechenzentrum. Sie bietet den größten Wert dort, wo eine Kompromittierung in einer Vertrauensgruppe Systeme mit einer völlig anderen betrieblichen Rolle gefährden könnte.
Die Richtlinien des NCSC für Betriebstechnologie beschreiben die Mikrosegmentierung als die Aufteilung von Zonen in kleinere Einheiten basierend auf Workloads, Anwendungen oder Gerätefunktionen, potenziell bis hin zu einzelnen Geräten, Diensten oder Protokollen (NCSC OT-Leitfaden zur Mikrosegmentierung). Diese Formulierung ist nützlicher, als jede Umgebung als generisches IP-Netzwerk zu behandeln. Eine Industriesteuerung, ein Gebäudemanagementsystem und ein Firmen-Laptop benötigen unterschiedliche Schutzmaßnahmen und unterschiedliche Kommunikationsregeln.
Priorisieren Sie die teuren Ausfallpfade
Ein flaches Campus-Netzwerk schafft unnötige Pfade zwischen Endpunkten, Dateidiensten, Drucksystemen, Sprachplattformen und Verwaltungsschnittstellen. Die Antwort ist nicht immer eine komplette Neugestaltung. Eine gezielte Richtlinie für privilegierte Administration, sensible Server, Zugriffe durch Drittanbieter und Geräteklassen kann die gefährlichsten Pfade zuerst beseitigen.
| Risiko-Hotspot | Segmentierungsstrategie | Reduzierung des Explosionsradius |
|---|---|---|
| Gästezugang | Gästeidentität und -datenverkehr von Unternehmensdiensten trennen, mit reiner Internet-Richtlinie, wo angemessen | Eine Kompromittierung des Gastes bleibt innerhalb der Vertrauenszone für Gäste |
| IoT-Geräte | Nur erforderliche Management- und Service-Flüsse zulassen | Ein anfälliges Gerät kann Benutzer- oder Servernetzwerke nicht frei ausspähen |
| Auftragnehmer-Zugang | Zuweisung einer zeitlich begrenzten oder rollenspezifischen Zone mit eingeschränkten Routen | Anmeldedaten von Drittanbietern bieten keinen allgemeinen internen Zugriff |
| Legacy-Anwendungsserver | Host- oder Netzwerkkontrollen nutzen, wenn Agenten nicht machbar sind, dann dokumentierte Abhängigkeiten zulassen | Ein kompromittierter Legacy-Workload hat weniger Pfade zu benachbarten Systemen |
| OT- und Gebäudesysteme | Betriebliche Zonen von der Unternehmens-IT trennen und zonenübergreifende Kommunikation überprüfen | Ransomware in der IT hat einen schwereren Weg in sicherheits- oder verfügbarkeitsrelevante Systeme |
Das NCSC rät dazu, Segmentierungsentscheidungen auf der Grundlage des Schutzbedarfs von Assets, ihrer Notwendigkeit zur Interaktion mit anderen Assets und des Ausmaßes, in dem auf ihre Integrität vertraut wird, zu treffen. Das macht eine risikoorientierte Priorisierung weitaus vertretbarer als eine Segmentierung nach organisatorischen Trends.
Leistungsbedenken sollten dennoch getestet werden. Die Platzierung von Richtlinien, Verschlüsselung, Inspektionsmethoden und Gerätekapazitäten beeinflussen das Ergebnis. Daher ist die allgemeine Leistungsbehauptung eines Anbieters kein Ersatz für ein Pilotprojekt in der Zielumgebung. Der betriebliche Aufwand ist real, aber das gilt auch für die Kosten, die entstehen, wenn man hochwertige Pfade implizit belässt.
Mikrosegmentierung implementieren, ohne Altsysteme zu beeinträchtigen
Das sicherste Programm beginnt mit Beobachtung, nicht mit Blockierung. Erfassen Sie im reinen Überwachungsmodus Flow-Protokolle und Endpunktinformationen, ohne den Produktionsverkehr zu verändern. Netzwerk-TAPs, NetFlow-Kollektoren, Switch-Telemetrie und agentenbasierte Erkennung können aufzeigen, welche Systeme kommunizieren, welche Verbindungen dauerhaft sind und welche "temporären" Ausnahmen zu geschäftlichen Abhängigkeiten geworden sind.
Die Infrastruktur analysieren, bevor Regeln erstellt werden
Eine reine Bestandsaufnahme reicht nicht aus. Ordnen Sie jede Anwendung ihren unterstützenden Diensten, Eigentümern, der Datensensibilität und der betrieblichen Kritikalität zu. Erfassen Sie undokumentierte Dienstaufrufe, Administrationspfade, Backup-Datenverkehr, Monitoring-Verbindungen und Zugriffe von Drittanbietern. Eine Richtlinie, die auf einem Jahre alten Architekturdiagramm basiert, wird scheitern, sobald sie auf die reale Infrastruktur trifft.
Das NCSC empfiehlt zu dokumentieren, wie die Segmentierung geplant, entworfen, durchgesetzt und überwacht wird, damit eine Kompromittierung auf das betroffene Segment beschränkt bleibt (NCSC-Leitfaden zur Segmentierungsplanung). Diese Dokumentation sollte ein Betriebsprotokoll sein und kein einmaliges Designdokument.
Schrittweise zu einer kontrollierten Durchsetzung übergehen
Nutzen Sie einen stufenweisen Ansatz:
- Erkennen: Erfassen Sie den East-West-Datenverkehr und identifizieren Sie Asset-Inhaber, Anwendungen, Protokolle und unbekannte Geräte.
- Planen: Gruppieren Sie Assets nach Geschäftsfunktion, Sensibilität, Vertrauen und Abhängigkeit. Entwerfen Sie Freigaberichtlinien basierend auf den beobachteten Anforderungen.
- Pilotieren: Testen Sie Richtlinien an einer repräsentativen Workload-Gruppe, vorzugsweise im Shadow- oder Staging-Modus. Bestätigen Sie, dass Überwachungs-, Backup-, Administrations- und Supportpfade weiterhin funktionieren.
- Durchsetzen: Beginnen Sie mit Einschränkungen, die ein hohes Vertrauen genießen, wie dem Zugriff von Gästen auf das Unternehmensnetzwerk oder IoT-zu-Domain-Controller-Pfaden. Erweitern Sie diese erst, nachdem die Service-Inhaber das Ergebnis validiert haben.
Halten Sie die Rollback-Verfahren praxisnah. Definieren Sie, wer eine Richtlinie deaktivieren kann, welches Änderungsfenster gilt, welche Nachweise ein Rollback auslösen und wie die Entscheidung dokumentiert wird. Führen Sie ein Ausnahmeregister für Altsysteme, die keine Agenten oder modernen Kontrollmechanismen unterstützen, einschließlich eines Verantwortlichen, einer kompensierenden Maßnahme, eines Überprüfungsdatums und einer Bedingung für die Entfernung.
Disziplin bei der Bereitstellung: Wenn niemand der Eigentümer einer Ausnahme ist, ist es keine Ausnahme. Es ist ein dauerhafter, undokumentierter Zugriff.
Die in den Sektorberichten zitierte britische Zero-Trust-Studie zeigt, dass 92 % der Unternehmen derzeit ihre Netzwerke segmentieren, unterscheidet jedoch diese grobe Segmentierung von der Mikrosegmentierung auf Workload-Ebene (UK zero-trust adoption data). Diese Unterscheidung sollte die Berichterstattung des Programms prägen. Ein segmentiertes Netzwerk ist nicht automatisch ein Netzwerk mit den geringsten Rechten (Least Privilege).
Mikrosegmentierung mit Ihrer Zero Trust-Strategie verknüpfen
Zero trust wird durchsetzbar, wenn Mikrosegmentierung Identität, Gerätekontext, Anwendungseigentum und Least-Privilege-Entscheidungen auf den internen Datenverkehr anwendet. Ohne diesen Durchsetzungspunkt endet die Überprüfung oft schon bei der Anmeldung.
Verbinden Sie Verzeichnisdienste, RADIUS, Endpunktsignale, Workload-Identitäten und Richtlinien-Engines, sodass sich Zugriffsentscheidungen auf kabellose, kabelgebundene, Cloud- und SD-WAN-Umgebungen auswirken. In britischen Behördennetzwerken unterstützt dies die Trennung zwischen Produktion, Entwicklung, Test und Schulung, während gleichzeitig Netzwerke mit gemischtem Vertrauensstatus berücksichtigt werden.
Betrachten Sie die Kontrollen als operative Disziplin. Überprüfen Sie Abhängigkeiten, entfernen Sie veraltete Ausnahmen, testen Sie Richtlinienänderungen und bewerten Sie Zonen neu, wenn sich Anwendungen oder Zuständigkeiten ändern. Beginnen Sie mit einem wertvollen Pfad, der eine klare geschäftliche Verantwortung hat, und expandieren Sie, sobald dessen Abhängigkeiten verstanden wurden.
Überprüfen Sie zuerst den Gastzugriff, die privilegierte Administration, IoT- und Gebäudegeräte sowie Abhängigkeiten von Altsystemen. Wählen Sie eine Durchsetzungsmethode, die jeder Bereich unterstützen kann, dokumentieren Sie die erforderlichen Datenflüsse und führen Sie Kontrollen phasenweise basierend auf dem betrieblichen Risiko ein. Dies macht die Frage what is micro segmentation als Design- und Governance-Frage nützlich.
Purple verbindet identitätsbasierten WiFi-Zugang mit Rollen- und Mandantenisolation durch RADIUS-gesteuerte Netzwerkplatzierung und Richtlinien für Benutzer oder Geräte. Besuchen Sie Purple, um zu prüfen, wie sich diese Netzwerkplattform in ein umfassenderes Mikrosegmentierungs- und Zero-Trust-Programm in Gast-, Mitarbeiter- und Multi-Tenant-Umgebungen integrieren lässt.
