A micro-segmentação é uma arquitetura de segurança que divide as redes em zonas de confiança granulares e isoladas, até ao nível de cargas de trabalho individuais, utilizadores ou dispositivos, para evitar que os atacantes se movam lateralmente após uma violação inicial. No Reino Unido, 43% das empresas, cerca de 612.000 organizações, registaram uma violação ou ataque de segurança cibernética nos 12 meses anteriores em 2025/2026, tornando a contenção um requisito operacional e não uma mera preferência de design teórica (UK cyber security data).
A distinção importante é que a micro-segmentação não se resume a "mais VLANs". Esta aplica políticas de acesso de âmbito estreito entre sistemas que já podem partilhar a mesma rede, centro de dados, infraestrutura wireless, ou ambiente cloud. Um portátil comprometido pode ainda alcançar os serviços de que necessita, mas não deve alcançar automaticamente um servidor de finanças, um controlador de gestão de edifícios, um controlador de domínio, ou o dispositivo de outro utilizador.
Essa diferença é crucial em infraestruturas legadas e de confiança mista no Reino Unido. As organizações operam frequentemente cargas de trabalho modernas na cloud ao lado de aplicações antigas, dispositivos não geridos, tecnologia operacional, acessos de prestadores de serviços e WiFi de convidados. Uma firewall de perímetro pode controlar o que entra na infraestrutura, mas não consegue, por si só, governar cada ligação este-oeste assim que um atacante obtenha credenciais válidas ou comprometa um endpoint interno.
Por que razão a Micro Segmentação se Tornou Essencial para as Redes do Reino Unido
O inquérito mais recente do governo do Reino Unido sobre violações estimou que 43% das empresas, aproximadamente 612.000 organizações, sofreram uma violação ou ataque nos últimos 12 meses, enquanto cerca de 19%, cerca de 267.000 empresas, foram vítimas de pelo menos um cibercrime (Dados de violações e ataques no Reino Unido). A mesma fonte regista cibercrimes em todas as dimensões de empresas, desde 17% das microempresas a 48% das grandes empresas. A contenção é agora um requisito operacional para organizações de todas as dimensões, e não uma preocupação exclusiva de instituições financeiras ou departamentos governamentais.
Um modelo de perímetro concentra as decisões de segurança na periferia. As firewalls, a deteção de intrusões na periferia, as gateways de acesso remoto e os limites amplos de VLAN continuam a desempenhar funções importantes, mas não conseguem inspecionar ou governar cada ligação de carga de trabalho para carga de trabalho dentro de uma infraestrutura. Após o phishing, credenciais roubadas, um serviço exposto ou um endpoint vulnerável facultarem o acesso, uma rede interna plana dá a um atacante espaço para sondar e pivotar.
O problema do raio de ação de um ataque
As infraestruturas legadas no Reino Unido estão frequentemente organizadas por departamentos, edifícios ou funções técnicas. Essas zonas amplas continuam a ser úteis para a administração, mas os seus limites podem ser demasiado genéricos para o controlo de acessos moderno. Um dispositivo numa sub-rede de funcionários pode aceder a serviços de ficheiros, sistemas de impressão, interfaces de gestão, servidores de aplicações e outros endpoints sem que cada rota receba uma justificação de negócio específica.
A microsegmentação cria zonas de confiança mais pequenas e aplica políticas às relações dentro delas. Uma regra pode permitir que um terminal de ponto de venda contacte o seu serviço de pagamento, que um dispositivo clínico aceda a uma plataforma de gestão designada ou que uma camada de aplicação consulte a sua base de dados. Os caminhos não relacionados podem ser recusados, mesmo quando os sistemas partilham a infraestrutura de switching.
O inquérito do Reino Unido também estimou cerca de 8,58 milhões de crimes cibernéticos a afetar empresas do Reino Unido no ano de inquérito mais recente, enquanto a prevalência de violações relatadas permaneceu em 43% tanto em 2024/2025 como em 2025/2026, após ter registado 50% em 2023/2024 (UK cyber security statistics). A exposição persistente faz com que os controlos exclusivamente perimetrais sejam desadequados para ambientes de confiança mista.
Regra prática: Assuma que um atacante acabará por obter acesso interno. Defina que parte do ambiente esse acesso consegue alcançar e, em seguida, reduza esse alcance através de políticas testadas.
O zero trust fornece o princípio estratégico de que o acesso deve ser verificado e limitado em vez de herdado da localização na rede. A micro-segmentação é a camada de aplicação que converte esse princípio em decisões de tráfego. As diretrizes de rede do setor público do Reino Unido exigem zonas granulares e isoladas com base na função, sensibilidade dos dados, grupos de utilizadores e criticidade do serviço, incluindo a separação entre ambientes de produção, desenvolvimento, teste e formação (diretrizes de rede zero trust do Reino Unido).
A implementação tem sucesso quando as equipas mapeiam as dependências antes da aplicação das regras. Em ambientes legados, uma chamada de serviço não documentada ou uma ligação de gestão pode suportar um processo crítico, pelo que as políticas devem começar em modo de observação, avançar através de um piloto limitado e expandir-se à medida que as exceções são verificadas. Para contexto arquitetónico, a network segmentation for UK businesses explica limites mais amplos antes de serem introduzidos controlos ao nível da carga de trabalho.
O acesso wireless pertence ao mesmo design. Os funcionários, subcontratados e convidados podem utilizar a mesma infraestrutura do edifício, mas as plataformas de WiFi baseadas em identidade, como um guia de segurança de WiFi empresarial, podem fornecer o contexto do utilizador e do dispositivo para as decisões de segmentação, ajudando a aplicar diferentes políticas de acesso sem tratar o WiFi como um domínio de segurança separado.
Como Funciona Realmente a Micro Segmentação
Uma analogia útil é a de um edifício de escritórios seguro. A firewall de perímetro é a porta de entrada. Controla quem entra no edifício a partir do exterior. As VLANs são os pisos, separando grupos amplos como funcionários, convidados, servidores ou equipamentos de instalações. Os microsegmentos são as salas individuais, cada uma com a sua própria fechadura e uma política que descreve quem ou o que pode entrar.
Essa política começa geralmente a partir de uma posição de recusa por predefinição. A plataforma observa uma ligação entre duas cargas de trabalho, utilizadores ou dispositivos, permitindo-a apenas quando existe um requisito de negócio definido. O detalhe importante é que o controlo opera entre entidades internas, e não apenas entre a rede corporativa e a internet.
Onde a política é aplicada
O ponto de aplicação determina o que o sistema consegue ver e com que precisão consegue agir.
- Um hipervisor ou switch virtual pode inspecionar o tráfego entre máquinas virtuais sem enviar cada fluxo para uma firewall física. Isto adequa-se a ambientes de aplicações virtualizadas.
- Uma firewall do sistema operativo anfitrião aplica controlos perto da carga de trabalho e pode proteger sistemas localizados em diferentes localizações de rede.
- Uma infraestrutura de rede ou rede definida por software impõe políticas em switches, routers ou gateways. Isto evita alterações nos endpoints, mas geralmente funciona com atributos de rede mais amplos.
- Uma plataforma de acesso com reconhecimento de identidade pode vincular uma decisão a uma pessoa, dispositivo, função ou resultado de autenticação, em vez de depender apenas de um endereço.
Este último ponto é importante porque os endereços IP mudam. As máquinas virtuais migram, as concessões DHCP expiram, os dispositivos fazem roaming entre pontos de acesso e os recursos de cloud são recriados. Uma regra vinculada apenas a um endereço pode tornar-se imprecisa. Uma regra vinculada à identidade da carga de trabalho, função da aplicação, postura do dispositivo ou contexto do utilizador autenticado tem uma probabilidade maior de acompanhar o elemento que se destina a proteger.
O tráfego este-oeste é o fator diferenciador
O tráfego norte-sul cruza o perímetro, como um utilizador que navega para a internet ou um cliente externo que acede a uma aplicação publicada. O tráfego leste-oeste move-se dentro do ambiente, como uma aplicação que chama uma base de dados ou um endpoint que contacta um servidor de ficheiros. Os atacantes dependem de caminhos leste-oeste após obterem acesso.
A micro-segmentação governa diretamente essas conversações internas. Pode permitir o fluxo da aplicação para a base de dados enquanto bloqueia o acesso do endpoint à base de dados, mesmo quando ambos os sistemas se encontram dentro de uma zona ampla de servidor ou de campus. Em ambientes sem fios, o design baseado em identidade também ajuda a traduzir a autenticação em posicionamento na rede. Ferramentas como um iPSK subnet designer podem apoiar a separação deliberada de dispositivos que não conseguem utilizar a autenticação de utilizador moderna.
O desafio operacional consiste em escolher a granularidade de política correta. Uma regra demasiado ampla recria a confiança implícita. Uma regra demasiado estreita pode quebrar dependências legítimas. As implementações eficazes começam com a observação das comunicações e, posteriormente, refinam os caminhos permitidos.
Comparação de Abordagens Baseadas em Agente, Baseadas em Rede e Baseadas em Host
Os modelos de implementação variam consoante o património tecnológico. A escolha correta depende dos sistemas operativos, dos limites de propriedade, dos requisitos de visibilidade e da tolerância a alterações nos endpoints. Num ambiente de confiança mista no Reino Unido, estas restrições costumam importar mais do que a arquitetura preferida no papel.
Os controlos baseados em agentes instalam um componente leve em cada carga de trabalho protegida. O agente consegue identificar a comunicação ao nível do processo e aplicar a política perto do sistema operativo. Isto adequa-se a cargas de trabalho na cloud e virtualizadas, onde a identidade da carga de trabalho pode mudar com mais frequência do que a localização física na rede. Também fornece às equipas de segurança provas mais claras sobre qual o processo que iniciou uma ligação.
O compromisso é o esforço de implementação. Sistemas operativos legados, appliances não suportadas, servidores de produção rigidamente controlados e dispositivos não geridos podem não aceitar um agente. As equipas necessitam de processos para gestão de versões, monitorização de integridade, tratamento de exceções e aprovação formal onde a instalação de software afete a produção.
Os controlos baseados na rede aplicam políticas em switches, routers, gateways ou numa estrutura definida por software. Evitam alterações em cada endpoint, tornando-os práticos para redes de campus, IoT, infraestrutura de convidados e equipamentos que não podem correr um agente. A sua limitação é o contexto. Podem classificar o tráfego por endereço, porta, segmento ou categoria de dispositivo sem identificar o processo subjacente a um fluxo leste - oeste encriptado.
Os controlos baseados no anfitrião utilizam firewalls nativas do sistema operativo e gestão de configuração centralizada. Para uma infraestrutura de confiança mista, isto pode fornecer um ponto de partida prático sem adicionar outra plataforma de aplicação. O controlo continua a depender de uma implementação disciplinada, auditoria e remoção quando os sistemas mudam. Uma configuração inconsistente cria desvios de política e dificulta a resolução de problemas posterior.
| Critérios | Baseado em Agente | Baseado na Rede | Baseado no Host |
|---|---|---|---|
| Local de aplicação | Carga de trabalho ou endpoint | Switch, router, gateway ou fabric | Firewall nativo do sistema operativo |
| Visibilidade | Frequentemente ciente de processos e cargas de trabalho | Geralmente ciente de redes e fluxos | Forte no host protegido |
| Compatibilidade com legados | Pode ser limitado pelo sistema operativo ou equipamento | Adequado para dispositivos que não podem executar agentes | Dependente da capacidade do sistema operativo |
| Carga operacional | Implementação de agentes, atualizações e verificações de integridade | Design do fabric, integração e gestão de regras | Controlo de configuração e consistência de políticas |
| Melhor adequação | Cargas de trabalho de data centre e cloud | Campus, IoT, convidados e ambientes não geridos | Ambientes mistos e programas incrementais |
| Principal fraqueza | Lacunas de cobertura onde os agentes não podem ser instalados | Contexto de identidade e processo mais genérico | Complexidade de gestão à escala |
As implementações híbridas refletem a forma como as propriedades reais são construídas. Uma empresa pode impor políticas através de agentes para cargas de trabalho de aplicações, controlos de rede para câmaras e sistemas de edifícios, e firewalls de host para servidores situados entre ambos os grupos. O design deve seguir o mapeamento de dependências e a aplicação faseada, em vez de forçar cada dispositivo a seguir um único modelo.
Os serviços de identidade adicionam uma entrada de controlo separada. Um provedor RADIUS em cloud pode ligar eventos de autenticação a acessos de rede baseados em funções, ajudando a atribuir políticas a utilizadores ou identidades de dispositivos na camada de acesso. Isso apoia a segmentação para WiFi e outras infraestruturas partilhadas, mas não substitui os controlos ao nível da carga de trabalho ou as firewalls do anfitrião.
O design mais robusto geralmente aceita as restrições do ambiente existente, em vez de tratar cada dispositivo como uma carga de trabalho moderna na nuvem.
Casos de Uso do Mundo Real: do WiFi a Ambientes Multinquilino
A micro-segmentação torna-se mais fácil de justificar quando resolve um problema de acesso visível. O guest WiFi é o exemplo mais simples. Um visitante precisa de acesso à Internet, mas não deve herdar uma rota para as aplicações dos colaboradores apenas porque ambas as redes utilizam os mesmos pontos de acesso e infraestrutura de switching.
Uma plataforma baseada em identidade pode atribuir utilizadores a diferentes VLANs ou zonas de confiança após a autenticação. As credenciais do pessoal podem produzir um perfil de acesso, os subempreiteiros outro e os convidados um perfil restrito. Isso é mais seguro do que depender de uma palavra-passe de convidado partilhada, porque uma palavra-passe exposta não se torna automaticamente numa chave para a rede interna.
Ambientes de IoT e saúde
Os dispositivos IoT merecem um modelo de política separado porque têm frequentemente uma capacidade de segurança limitada e ciclos de substituição longos. Uma câmara de CCTV pode precisar de aceder a uma plataforma de gravação e a um serviço de gestão, mas não deve iniciar ligações para portáteis de utilizadores. Um controlador de AVAC pode necessitar de um caminho de gestão de instalações, enquanto um terminal de pagamento deve comunicar apenas com os seus serviços de pagamento e gestão aprovados.
Os edifícios de cuidados de saúde acrescentam sensibilidade operacional. O equipamento clínico, os endpoints administrativos, os serviços orientados para o doente e os sistemas das instalações podem ter diferentes proprietários e requisitos de disponibilidade. A abordagem sensata consiste em definir os fluxos necessários, isolar os grupos de dispositivos e monitorizar as exceções, em vez de colocar todos os dispositivos numa única rede "confiável" permissiva.
Propriedades comerciais multinquilino
Os edifícios multi-inquilino introduzem um problema de limites diferente. Um senhorio pode fornecer conectividade física partilhada enquanto cada inquilino espera isolamento lógico de todos os outros inquilinos. Cada inquilino necessita da sua própria política de acesso, limite administrativo e rota para os serviços partilhados aprovados, tais como o acesso à internet ou comodidades do edifício.
A política-como-código pode tornar a integração repetível. Em vez de alterar manualmente as configurações dos switches para cada novo ocupante, o operador define um perfil de inquilino e aplica-o através dos sistemas de rede e identidade. O resultado é uma separação que se pode estender ao acesso com fios, acesso sem fios e extremidades de SD-WAN.
As equipas que avaliam este modelo devem compreender a diferença entre inquilinos isolados e apenas contas separadas. Uma explicação prática sobre a compreensão de inquilinos SaaS é útil porque o mesmo princípio se aplica aos serviços de rede, ou seja, infraestrutura partilhada não tem de significar confiança partilhada.
A Purple pode integrar-se com fornecedores de identidade e RADIUS para atribuir acesso à rede de acordo com a identidade do utilizador ou do dispositivo, incluindo a colocação dinâmica baseada em funções e o isolamento para WiFi multi-tenant. Na prática, isso torna-a um componente de uma arquitetura de segmentação mais ampla. A plataforma de acesso decide onde uma ligação pertence, enquanto as firewalls, switches, hosts e controlos de carga de trabalho determinam o que essa ligação pode alcançar.
Onde a Micro Segmentação Reduz Mais o Risco
A micro-segmentação não é essencialmente um exercício de conformidade de centro de dados. Esta oferece o maior valor quando um comprometimento num grupo de confiança pode expor sistemas com uma função operacional muito diferente.
As orientações de tecnologia operacional do NCSC descrevem a micro-segmentação como a divisão de zonas em unidades mais pequenas com base em cargas de trabalho, aplicações ou funções de dispositivos, potencialmente até ao nível de dispositivos individuais, serviços ou protocolos (Orientação de micro-segmentação OT do NCSC). Essa abordagem é mais útil do que tratar cada ambiente como uma rede IP genérica. Um controlador industrial, um sistema de gestão de edifícios e um portátil empresarial necessitam de proteções diferentes e de regras de comunicação diferentes.
Priorize os caminhos de falha mais dispendiosos
Uma rede de campus plana cria caminhos desnecessários entre endpoints, serviços de ficheiros, sistemas de impressão, plataformas de voz e interfaces administrativas. A resposta nem sempre é uma reformulação completa. Uma política direcionada em torno de administração privilegiada, servidores sensíveis, acesso de terceiros e classes de dispositivos pode remover os caminhos mais perigosos primeiro.
| Ponto crítico de risco | Estratégia de segmentação | Redução do raio de impacto |
|---|---|---|
| Acesso de convidados | Separar a identidade e o tráfego de convidados dos serviços corporativos, com política apenas para a internet, quando apropriado | Uma falha de segurança num convidado permanece dentro da zona de confiança de convidados |
| Dispositivos IoT | Permitir apenas os fluxos de gestão e de serviço necessários | Um dispositivo vulnerável não pode sondar livremente as redes de utilizadores ou servidores |
| Acesso de prestadores de serviços | Atribuir uma zona com limite de tempo ou específica por função com rotas restritas | As credenciais de terceiros não fornecem um alcance interno geral |
| Servidores de aplicações legadas | Utilizar controlos de host ou de rede onde os agentes não sejam viáveis e, em seguida, permitir dependências documentadas | Uma carga de trabalho legada comprometida tem menos caminhos para sistemas adjacentes |
| Sistemas de OT e instalações | Separar as zonas operacionais da TI corporativa e examinar as comunicações entre zonas | O ransomware na TI tem uma rota mais difícil para sistemas sensíveis à segurança ou à disponibilidade |
O NCSC aconselha a basear as decisões de segmentação na proteção que os ativos necessitam, na sua necessidade de interagir com outros ativos e no grau em que a sua integridade é confiável. Isso torna a priorização orientada pelo risco mais defensável do que a segmentação por tendências organizacionais.
As preocupações com o desempenho ainda merecem testes. A colocação de políticas, a encriptação, o método de inspeção e a capacidade do dispositivo afetam o resultado, pelo que a alegação genérica de desempenho de um fornecedor não substitui um projeto-piloto no ambiente de destino. A sobrecarga operacional é real, mas o custo de deixar caminhos de alto valor implícitos também o é.
Como Implementar Micro-segmentação Sem Danificar Sistemas Legados
O programa mais seguro começa com a observação, não com o bloqueio. No modo apenas de monitorização, recolha registos de fluxo e informações de endpoints sem alterar o tráfego de produção. Os TAPs de rede, coletores NetFlow, telemetria de switches e a descoberta baseada em agentes podem revelar quais os sistemas que comunicam, quais as ligações que são persistentes e quais as exceções "temporárias" que se tornaram dependências de negócio.
Descubra o ambiente antes de escrever regras
O inventário por si só não é suficiente. Mapeie cada aplicação para os seus serviços de suporte, proprietários, sensibilidade de dados e criticalidade operacional. Registe chamadas de serviço não documentadas, caminhos administrativos, tráfego de cópias de segurança, ligações de monitorização e acessos de fornecedores. Uma política baseada num diagrama de arquitetura de há anos falhará assim que se deparar com a realidade da infraestrutura.
O NCSC recomenda a documentação de como a segmentação será planeada, concebida, aplicada e monitorizada, para que um comprometimento permaneça contido no segmento violado (NCSC segmentation planning guidance). Essa documentação deve ser um registo operacional e não um documento de design pontual.
Avance através de uma aplicação controlada
Utilize um percurso faseado:
- Descobrir: Capturar fluxos leste-oeste e identificar proprietários de ativos, aplicações, protocolos e dispositivos desconhecidos.
- Planear: Agrupar ativos por função de negócio, sensibilidade, confiança e dependência. Elaborar políticas de permissão a partir dos requisitos observados.
- Pilotar: Testar políticas num grupo representativo de cargas de trabalho, de preferência em modo de simulação ou staging. Confirmar que os caminhos de monitorização, cópia de segurança, administração e suporte continuam a funcionar.
- Aplicar: Começar com restrições de alta confiança, tais como o acesso de convidados a redes corporativas ou caminhos de IoT para controladores de domínio. Expandir apenas após os proprietários dos serviços validarem o resultado.
Mantenha os procedimentos de reversão práticos. Defina quem pode desativar uma política, qual a janela de alteração que se aplica, que evidências desencadeiam a reversão e como a decisão é registada. Mantenha um registo de exceções para sistemas legados que não suportem agentes ou controlos modernos, incluindo um proprietário, controlo de compensação, data de revisão e condição de remoção.
Disciplina de implementação: Se ninguém for proprietário de uma exceção, não se trata de uma exceção. É um acesso permanente não documentado.
A investigação de zero-trust no Reino Unido citada pelos relatórios do setor indica que 92% das organizações segmentam atualmente as suas redes, mas distingue essa segmentação geral da micro-segmentação ao nível da carga de trabalho (dados de adoção de zero-trust no Reino Unido). Essa distinção deve moldar os relatórios do programa. Uma rede segmentada não é necessariamente uma rede de menor privilégio.
Ligar a Micro Segmentação à sua Estratégia Zero Trust
O zero trust torna-se aplicável quando a micro-segmentação aplica decisões de identidade, contexto de dispositivo, propriedade de aplicação e privilégio mínimo ao tráfego interno. Sem esse ponto de aplicação, a verificação termina frequentemente no início de sessão.
Ligue os serviços de diretório, RADIUS, sinais de endpoint, identidade de carga de trabalho e motores de política para que as decisões de acesso afetem ambientes sem fios, cablados, cloud e SD-WAN. Nos ambientes do setor público do Reino Unido, isto suporta a separação entre produção, desenvolvimento, teste e formação, ao mesmo tempo que acomoda redes de confiança mista.
Trate os controlos como uma disciplina operacional. Reveja as dependências, remova exceções obsoletas, teste as alterações de políticas e reavalie as zonas à medida que as aplicações ou a propriedade mudam. Comece com um caminho de alto valor que tenha uma propriedade de negócio clara e, em seguida, expanda após a compreensão das suas dependências.
Audite primeiro o acesso de convidados, a administração privilegiada, IoT e dispositivos de instalações, e as dependências de aplicações legadas. Selecione um método de aplicação que cada área possa suportar, documente os fluxos necessários e faseie os controlos em torno do risco operacional. Isto torna o conceito de micro-segmentação útil como uma questão de design e governação.
A Purple associa o acesso WiFi baseado em identidade ao isolamento de funções e inquilinos através de posicionamento de rede e políticas baseadas em RADIUS para utilizadores ou dispositivos. Visite a Purple para avaliar de que forma a sua plataforma de rede se pode enquadrar num programa mais amplo de microsegmentação e zero-trust em ambientes de convidados, funcionários e multi-inquilino.
