A microsegmentação é uma arquitetura de segurança que divide as redes em zonas de confiança granulares e isoladas, chegando até cargas de trabalho, usuários ou dispositivos individuais, para evitar que invasores se movam lateralmente após uma violação inicial. No Reino Unido, 43% das empresas, cerca de 612.000 organizações, sofreram uma violação ou ataque de segurança cibernética nos 12 meses anteriores em 2025/2026, tornando a contenção um requisito operacional e não uma preferência de design teórica (dados de segurança cibernética do Reino Unido).
A distinção importante é que a microsegmentação não significa "mais VLANs". Ela aplica políticas de acesso com escopo estreito entre sistemas que já podem compartilhar a mesma rede, data center, infraestrutura de rede sem fio ou ambiente de nuvem. Um notebook comprometido ainda pode alcançar os serviços de que precisa, mas não deve alcançar automaticamente um servidor financeiro, controlador de gerenciamento predial, controlador de domínio ou o dispositivo de outro usuário.
Essa diferença é importante em infraestruturas legadas e de confiança mista no Reino Unido. As organizações geralmente operam cargas de trabalho modernas em nuvem ao lado de aplicativos antigos, dispositivos não gerenciados, tecnologia operacional, acesso de terceiros e guest WiFi. Um firewall de perímetro pode controlar o que entra na infraestrutura, mas não consegue, por si só, governar cada conexão leste-oeste depois que um invasor obtém credenciais válidas ou compromete um endpoint interno.
Por que a Microsegmentação se Tornou Essencial para Redes do Reino Unido
A pesquisa de violação mais recente do governo do Reino Unido estimou que 43% das empresas, aproximadamente 612.000 organizações, sofreram uma violação ou ataque nos últimos 12 meses, enquanto cerca de 19%, cerca de 267.000 empresas, foram vítimas de pelo menos um crime cibernético (números de violações e ataques no Reino Unido). A mesma fonte registra crimes cibernéticos em todas as faixas de tamanho de empresa, desde 17% das microempresas até 48% das grandes empresas. A contenção é agora um requisito operacional para organizações de todos os tamanhos, não uma preocupação limitada a instituições financeiras ou departamentos governamentais.
Um modelo de perímetro concentra as decisões de segurança na borda. Firewalls, detecção de intrusão de borda, gateways de acesso remoto e limites amplos de VLAN ainda desempenham papéis importantes, mas não podem inspecionar ou governar cada conexão de carga de trabalho para carga de trabalho dentro de uma propriedade. Depois que o phishing, credenciais roubadas, um serviço exposto ou um endpoint vulnerável fornecem acesso, uma rede interna plana dá espaço para um invasor sondar e pivotar.
O problema do raio de impacto
As infraestruturas legadas no Reino Unido são frequentemente organizadas por departamentos, edifícios ou funções técnicas. Essas zonas amplas continuam úteis para a administração, mas seus limites podem ser muito amplos para o controle de acesso moderno. Um dispositivo em uma sub-rede de funcionários pode acessar serviços de arquivos, sistemas de impressão, interfaces de gerenciamento, servidores de aplicativos e outros endpoints sem que cada rota receba uma justificativa de negócios específica.
A microsegmentação cria zonas de confiança menores e aplica políticas aos relacionamentos dentro delas. Uma regra pode permitir que um terminal de ponto de venda entre em contato com seu serviço de pagamento, que um dispositivo clínico alcance uma plataforma de gerenciamento nomeada ou que uma camada de aplicativo consulte seu banco de dados. Caminhos não relacionados podem ser negados mesmo quando os sistemas compartilham a infraestrutura de switching.
A pesquisa do Reino Unido também estimou cerca de 8,58 milhões de crimes cibernéticos afetando empresas do Reino Unido no ano de pesquisa mais recente, enquanto a prevalência de violações relatadas permaneceu em 43% tanto em 2024/2025 quanto em 2025/2026, após ficar em 50% em 2023/2024 (estatísticas de segurança cibernética do Reino Unido). A exposição persistente torna os controles apenas de perímetro inadequados para propriedades de confiança mista.
Regra prática: Assuma que um invasor eventualmente obterá acesso interno. Defina até onde esse acesso pode chegar na infraestrutura e, em seguida, reduza esse alcance por meio de políticas testadas.
O modelo zero trust estabelece o princípio estratégico de que o acesso deve ser verificado e limitado, em vez de ser herdado com base na localização da rede. A microssegmentação é a camada de aplicação que converte esse princípio em decisões de tráfego. As diretrizes de rede do setor público do Reino Unido exigem zonas isoladas e granulares com base na função, sensibilidade dos dados, grupos de usuários e criticidade do serviço, incluindo a separação entre ambientes de produção, desenvolvimento, teste e treinamento (diretrizes de rede zero-trust do Reino Unido).
A implantação é bem-sucedida quando as equipes mapeiam as dependências antes da aplicação. Em ambientes legados, uma chamada de serviço não documentada ou uma conexão de gerenciamento pode dar suporte a um processo crítico, portanto, as políticas devem começar no modo de observação, passar por um piloto limitado e expandir à medida que as exceções forem verificadas. Para contexto arquitetônico, a segmentação de rede para empresas do Reino Unido explica limites mais amplos antes que os controles no nível de carga de trabalho sejam introduzidos.
O acesso sem fio pertence ao mesmo design. Funcionários, prestadores de serviço e convidados podem usar a mesma infraestrutura predial, mas plataformas de WiFi baseadas em identidade, como um guia de segurança de WiFi corporativo, podem fornecer contexto de usuário e dispositivo para decisões de segmentação, ajudando a aplicar diferentes políticas de acesso sem tratar o WiFi como um domínio de segurança separado.
Como a Microsegmentação Realmente Funciona
Uma analogia útil é a de um edifício comercial seguro. O firewall de perímetro é a porta de entrada. Ele controla quem entra no edifício por fora. As VLANs são os andares, separando grandes grupos como funcionários, convidados, servidores ou equipamentos prediais. Os microsegmentos são as salas individuais, cada uma com sua própria fechadura e uma política que descreve quem ou o que pode entrar.
Essa política geralmente começa com uma posição de negação por padrão. A plataforma observa uma conexão entre duas cargas de trabalho, usuários ou dispositivos e, em seguida, a permite apenas quando existe um requisito de negócios definido. O detalhe importante é que o controle opera entre entidades internas, não apenas entre a rede corporativa e a internet.
Onde a política é aplicada
O ponto de aplicação determina o que o sistema pode ver e com que precisão ele pode agir.
- Um hipervisor ou switch virtual pode inspecionar o tráfego entre máquinas virtuais sem enviar todos os fluxos para um firewall físico. Isso se adapta a ambientes de aplicativos virtualizados.
- Um firewall do sistema operacional host aplica controles próximos à carga de trabalho e pode proteger sistemas que residem em diferentes locais da rede.
- Uma malha de rede ou rede definida por software impõe políticas em switches, roteadores ou gateways. Isso evita alterações nos endpoints, mas geralmente funciona com atributos de rede mais amplos.
- Uma plataforma de acesso baseada em identidade pode vincular uma decisão a uma pessoa, dispositivo, função ou resultado de autenticação, em vez de depender apenas de um endereço.
Esse último ponto é importante porque os endereços IP mudam. Máquinas virtuais migram, concessões de DHCP expiram, dispositivos fazem roaming entre pontos de acesso e recursos de nuvem são recriados. Uma regra vinculada apenas a um endereço pode se tornar imprecisa. Uma regra vinculada à identidade da carga de trabalho, função do aplicativo, postura do dispositivo ou contexto do usuário autenticado tem uma chance melhor de acompanhar o elemento que se destina a proteger.
O tráfego leste - oeste é o diferencial
O tráfego norte - sul cruza o perímetro, como um usuário navegando na internet ou um cliente externo acessando um aplicativo publicado. O tráfego leste - oeste se move dentro do ambiente, como um aplicativo chamando um banco de dados ou um endpoint entrando em contato com um servidor de arquivos. Os invasores dependem dos caminhos leste - oeste após obterem acesso.
A microsegmentação governa essas conversas internas diretamente. Ela pode permitir o fluxo de aplicativo para banco de dados enquanto bloqueia o acesso de endpoint para banco de dados, mesmo quando ambos os sistemas estão dentro de um servidor amplo ou zona de campus. Em ambientes de rede sem fio, o design baseado em identidade também ajuda a traduzir a autenticação em posicionamento de rede. Ferramentas como um iPSK subnet designer podem dar suporte à separação deliberada para dispositivos que não podem usar a autenticação de usuário moderna.
O desafio operacional é escolher a granularidade de política correta. Uma regra muito ampla recria a confiança implícita. Uma regra muito estreita pode quebrar dependências legítimas. Implementações eficazes começam com a observação da comunicação para depois refinar os caminhos permitidos.
Comparando Abordagens Baseadas em Agente, Baseadas em Rede e Baseadas em Host
Os modelos de implementação variam de acordo com a infraestrutura. A escolha correta depende dos sistemas operacionais, limites de propriedade, requisitos de visibilidade e tolerância a alterações nos endpoints. Em um ambiente de confiança mista no Reino Unido, essas restrições geralmente importam mais do que a arquitetura preferida no papel.
Os controles baseados em agente instalam um componente leve em cada carga de trabalho protegida. O agente pode identificar a comunicação no nível do processo e aplicar a política perto do sistema operacional. Isso se adequa a cargas de trabalho em nuvem e virtualizadas, onde a identidade da carga de trabalho pode mudar com mais frequência do que a localização física da rede. Também oferece às equipes de segurança evidências mais claras sobre qual processo iniciou uma conexão.
O ponto de equilíbrio é o esforço de implantação. Sistemas operacionais legados, appliances não homologados, servidores de produção rigidamente controlados e dispositivos não gerenciados podem não aceitar um agente. As equipes precisam de processos para gerenciamento de versões, monitoramento de integridade, tratamento de exceções e aprovação formal onde a instalação do software afeta a produção.
Controles baseados em rede aplicam políticas em switches, roteadores, gateways ou em uma estrutura definida por software. Eles evitam alterações em cada endpoint, tornando-os práticos para redes de campus, IoT, infraestrutura de convidados e equipamentos que não podem executar um agente. Sua limitação é o contexto. Eles podem classificar o tráfego por endereço, porta, segmento ou categoria de dispositivo sem identificar o processo por trás de um fluxo leste - oeste criptografado.
Os controles baseados em host usam firewalls nativos do sistema operacional e gerenciamento de configuração centralizado. Para uma infraestrutura de confiança mista, isso pode fornecer um ponto de partida prático sem a necessidade de adicionar outra plataforma de aplicação de políticas. O controle ainda depende de implantação disciplinada, auditoria e remoção quando os sistemas mudam. Configurações inconsistentes criam desvios de políticas e dificultam a resolução de problemas posteriormente.
| Critério | Baseado em Agente | Baseado em Rede | Baseado em Host |
|---|---|---|---|
| Local de aplicação | Carga de trabalho ou endpoint | Switch, roteador, gateway ou fabric | Firewall nativo do sistema operacional |
| Visibilidade | Geralmente ciente de processos e cargas de trabalho | Normalmente ciente de rede e fluxo | Forte no host protegido |
| Compatibilidade com legados | Pode ser limitada pelo sistema operacional ou appliance | Adequado para dispositivos que não podem executar agentes | Dependente da capacidade do sistema operacional |
| Carga operacional | Implantação, atualizações e verificações de integridade de agentes | Design de fabric, integração e gerenciamento de regras | Controle de configuração e consistência de políticas |
| Melhor adequação | Cargas de trabalho em data-centre e nuvem | Ambientes de campus, IoT, visitantes e não gerenciados | Ambientes mistos e programas incrementais |
| Principal fraqueza | Lacunas de cobertura onde os agentes não podem ser instalados | Contexto de identidade e processo mais genérico | Complexidade de gerenciamento em escala |
Implantações híbridas refletem como as estruturas reais são construídas. Uma empresa pode impor políticas por meio de agentes para cargas de trabalho de aplicativos, controles de rede para câmeras e sistemas prediais, e firewalls de host para servidores que ficam entre os dois grupos. O design deve seguir o mapeamento de dependências e a imposição em fases, em vez de forçar todos os dispositivos em um único modelo.
Os serviços de identidade adicionam uma entrada de controle separada. Um provedor RADIUS na nuvem pode conectar eventos de autenticação com acesso à rede baseado em funções, ajudando a atribuir políticas a identidades de usuários ou dispositivos na camada de acesso. Isso oferece suporte à segmentação para WiFi e outras infraestruturas compartilhadas, mas não substitui os controles em nível de carga de trabalho ou firewalls de host.
O design mais forte geralmente aceita as limitações da infraestrutura existente em vez de tratar cada dispositivo como uma carga de trabalho de nuvem moderna.
Casos de Uso Reais: de WiFi a Ambientes Multilocatários
A micro-segmentação torna-se mais fácil de justificar quando resolve um problema visível de acesso. O WiFi de convidados é o exemplo mais simples. Um visitante precisa de acesso à internet, mas não deve herdar uma rota para as aplicações dos funcionários apenas porque ambas as redes utilizam os mesmos pontos de acesso e switches.
Uma plataforma baseada em identidade pode atribuir usuários a diferentes VLANs ou zonas de confiança após a autenticação. As credenciais dos funcionários podem gerar um perfil de acesso, os prestadores de serviço outro, e os convidados um perfil restrito. Isso é mais seguro do que depender de uma senha de convidado compartilhada, pois uma senha vazada não se torna automaticamente uma chave para a rede interna.
Ambientes de IoT e saúde
Os dispositivos IoT merecem um modelo de política separado porque geralmente possuem capacidade de segurança limitada e ciclos de substituição longos. Uma câmera de CFTV pode precisar acessar uma plataforma de gravação e um serviço de gerenciamento, mas não deve iniciar conexões com laptops de usuários. Um controlador de HVAC pode precisar de um caminho de gerenciamento de instalações, enquanto um terminal de pagamento deve se comunicar apenas com seus serviços de pagamento e gerenciamento aprovados.
As estruturas de saúde acrescentam sensibilidade operacional. Equipamentos clínicos, endpoints administrativos, serviços voltados para pacientes e sistemas prediais podem ter diferentes proprietários e requisitos de disponibilidade. A abordagem sensata é definir os fluxos necessários, isolar os grupos de dispositivos e monitorar as exceções, em vez de colocar todos os dispositivos em uma única rede "confiável" permissiva.
Propriedades comerciais multilocatárias
Edifícios multi-tenant introduzem um problema de limite diferente. Um proprietário pode fornecer conectividade física compartilhada, enquanto cada inquilino espera isolamento lógico de todos os outros inquilinos. Cada inquilino precisa de sua própria política de acesso, limite administrativo e rota para serviços compartilhados aprovados, como acesso à internet ou comodidades do edifício.
Política como código pode tornar a integração repetível. Em vez de alterar manualmente as configurações dos switches para cada novo ocupante, o operador define um perfil de inquilino e o aplica por meio dos sistemas de rede e identidade. O resultado é uma separação que pode se estender por acesso com fio, acesso sem fio e bordas de SD-WAN.
As equipes que avaliam esse modelo devem entender a diferença entre inquilinos isolados e contas meramente separadas. Uma explicação prática de como funcionam os inquilinos SaaS é útil porque o mesmo princípio se aplica aos serviços de rede, ou seja, infraestrutura compartilhada não precisa significar confiança compartilhada.
A Purple pode se integrar com provedores de identidade e RADIUS para atribuir acesso à rede de acordo com a identidade do usuário ou do dispositivo, incluindo posicionamento dinâmico baseado em funções e isolamento para WiFi multi-tenant. Na prática, isso a torna um componente de uma arquitetura de segmentação mais ampla. A plataforma de acesso decide a que lugar uma conexão pertence, enquanto firewalls, switches, hosts e controles de carga de trabalho determinam o que essa conexão pode alcançar.
Onde a Microsegmentação Reduz Mais os Riscos
A microsegmentação não é principalmente um exercício de conformidade de data center. Ela entrega o maior valor onde uma violação em um grupo de confiança poderia expor sistemas com uma função operacional totalmente diferente.
As orientações de tecnologia operacional do NCSC descrevem a microsegmentação como a divisão de zonas em unidades menores com base em cargas de trabalho, aplicativos ou funções de dispositivos, potencialmente chegando a dispositivos, serviços ou protocolos individuais (orientações de microsegmentação de OT do NCSC). Essa estrutura é mais útil do que tratar cada ambiente como uma rede IP genérica. Um controlador industrial, um sistema de gestão predial e um notebook corporativo precisam de proteções diferentes e regras de comunicação diferentes.
Priorize as rotas de falhas de alto custo
Uma rede de campus plana cria caminhos desnecessários entre endpoints, serviços de arquivos, sistemas de impressão, plataformas de voz e interfaces administrativas. A resposta nem sempre é uma reestruturação completa. Uma política direcionada em torno de administração privilegiada, servidores confidenciais, acesso de terceiros e classes de dispositivos pode remover os caminhos mais perigosos primeiro.
| Ponto de risco | Estratégia de segmentação | Redução do raio de impacto |
|---|---|---|
| Acesso de visitantes | Separar a identidade e o tráfego de visitantes dos serviços corporativos, com política exclusiva para internet onde apropriado | Uma violação de visitante permanece dentro da zona de confiança de visitantes |
| Dispositivos IoT | Permitir apenas os fluxos de gerenciamento e serviço necessários | Um dispositivo vulnerável não pode sondar livremente redes de usuários ou servidores |
| Acesso de prestadores de serviço | Atribuir uma zona com limite de tempo ou específica por função com rotas restritas | As credenciais de terceiros não fornecem alcance interno geral |
| Servidores de aplicações legadas | Usar controles de rede ou host onde os agentes não são viáveis, permitindo então as dependências documentadas | Uma carga de trabalho legada comprometida tem menos caminhos para sistemas adjacentes |
| Sistemas de TO e instalações | Separar as zonas operacionais da TI corporativa e examinar as comunicações entre zonas | O ransomware na TI tem um caminho mais difícil para alcançar sistemas sensíveis à segurança ou disponibilidade |
O NCSC aconselha basear as decisões de segmentação na proteção que os ativos exigem, na necessidade de interagir com outros ativos e na extensão em que sua integridade é confiável. Isso torna a priorização orientada a riscos mais defensável do que a segmentação por tendências organizacionais.
As preocupações com o desempenho ainda merecem testes. A aplicação da política, a criptografia, o método de inspeção e a capacidade do dispositivo afetam o resultado, portanto, a alegação de desempenho genérica de um fornecedor não substitui um projeto piloto no ambiente de destino. A sobrecarga operacional é real, mas o custo de deixar caminhos de alto valor implícitos também é.
Como Implementar a Microsegmentação sem Comprometer Sistemas Legados
O programa mais seguro começa com a observação, não com o bloqueio. No modo apenas monitoramento, colete registros de fluxo e informações de endpoint sem alterar o tráfego de produção. TAPs de rede, coletores NetFlow, telemetria de switch e descoberta baseada em agentes podem revelar quais sistemas se comunicam, quais conexões são persistentes e quais exceções "temporárias" se tornaram dependências de negócios.
Descubra a infraestrutura antes de escrever as regras
O inventário por si só não é suficiente. Mapeie cada aplicação para seus serviços de suporte, proprietários, sensibilidade de dados e criticidade operacional. Registre chamadas de serviço não documentadas, caminhos administrativos, tráfego de backup, conexões de monitoramento e acesso de fornecedores. Uma política baseada em um diagrama de arquitetura de anos atrás falhará assim que encontrar a infraestrutura real.
O NCSC recomenda documentar como a segmentação será planejada, projetada, aplicada e monitorada para que um comprometimento permaneça contido no segmento violado (orientação de planejamento de segmentação do NCSC). Essa documentação deve ser um registro operacional, e não um documento de design único.
Avance por meio de uma aplicação controlada
Use um caminho estruturado por etapas:
- Descobrir: Capturar fluxos leste - oeste e identificar proprietários de ativos, aplicativos, protocolos e dispositivos desconhecidos.
- Planejar: Agrupar ativos por função de negócios, sensibilidade, confiança e dependência. Elaborar políticas de permissão a partir dos requisitos observados.
- Pilotar: Testar as políticas em relação a um grupo de carga de trabalho representativo, de preferência em modo de simulação ou teste. Confirmar se os caminhos de monitoramento, backup, administração e suporte continuam funcionando.
- Aplicar: Começar com restrições de alta confiança, como acesso de convidados à rede corporativa ou caminhos de IoT para o controlador de domínio. Expandir somente depois que os proprietários do serviço validarem o resultado.
Mantenha os procedimentos de reversão práticos. Defina quem pode desativar uma política, qual janela de alteração se aplica, quais evidências acionam a reversão e como a decisão é registrada. Mantenha um registro de exceções para sistemas legados que não suportam agentes ou controles modernos, incluindo um proprietário, controle de compensação, data de revisão e condição de remoção.
Disciplina de implantação: Se ninguém for proprietário de uma exceção, ela não é uma exceção. É um acesso permanente não documentado.
A pesquisa de zero trust do Reino Unido citada pelos relatórios do setor mostra que 92% das organizações atualmente segmentam suas redes, mas distingue essa segmentação ampla da microsegmentação em nível de carga de trabalho (dados de adoção de zero trust no Reino Unido). Essa distinção deve moldar os relatórios do programa. Uma rede segmentada não é necessariamente uma rede de menor privilégio.
Conectando a Microsegmentação à sua Estratégia de Zero Trust
O zero trust se torna aplicável quando a microsegmentação aplica decisões de identidade, contexto do dispositivo, propriedade do aplicativo e menor privilégio ao tráfego interno. Sem esse ponto de aplicação, a verificação geralmente termina no login.
Conecte serviços de diretório, RADIUS, sinais de endpoint, identidade de carga de trabalho e motores de política para que as decisões de acesso afetem os ambientes de WiFi, com fio, nuvem e SD-WAN. Nos ambientes do setor público do Reino Unido, isso apoia a separação entre produção, desenvolvimento, teste e treinamento, acomodando redes de confiança mista.
Trate os controles como uma disciplina operacional. Revise as dependências, remova exceções obsoletas, teste alterações de políticas e reavalie as zonas conforme as aplicações ou a propriedade mudam. Comece com um caminho de alto valor que tenha uma propriedade de negócios clara e, em seguida, expanda após a compreensão de suas dependências.
Audite primeiro o acesso de convidados, a administração privilegiada, dispositivos de IoT e instalações, e as dependências de aplicativos legados. Selecione um método de aplicação que cada área possa suportar, documente os fluxos necessários e distribua os controles em fases de acordo com o risco operacional. Isso torna a pergunta "o que é microsegmentação" útil como uma questão de design e governança.
A Purple conecta o acesso WiFi baseado em identidade com o isolamento de funções e inquilinos por meio de posicionamento de rede orientado por RADIUS e políticas para usuários ou dispositivos. Visite a Purple para avaliar como sua plataforma de rede pode se integrar a um programa mais amplo de microsegmentação e zero trust em ambientes de convidados, funcionários e múltiplos inquilinos.
