Was ist Mikrosegmentierung?

Die Mikrosegmentierung ist eine Technik der Netzwerksicherheit, bei der ein Netzwerk in kleine, voneinander isolierte Segmente unterteilt wird und zwischen diesen Segmente detaillierte Zugriffsrichtlinien durchgesetzt werden, die sich eher nach Identität, Gerätestatus oder Workload als nach dem Standort im Netzwerk richten, sodass sich ein Sicherheitsverstoß in einem Segment nicht seitlich auf den Rest des Netzwerks ausbreiten kann.

Die wichtigsten Erkenntnisse

• Durch Mikrosegmentierung werden Ressourcen in kleine, durch Richtlinien gesteuerte Zonen aufgeteilt.
• Sie ersetzt die reine Perimeter-Verteidigung durch eine segmentbezogene Zugriffskontrolle.
• Richtlinien können nicht nur auf IP-Adressen, sondern auch auf Identität, Gerätestatus oder Workload abgestimmt werden.
• Es begrenzt seitliche Bewegungen und beschränkt Brüche auf ein einzelnes Segment.
• Versa wendet dies in seinen Produktreihen ZTNA, SD-LAN und IoT-Sicherheit an.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · Mikrosegmentierung & Versa · Häufig gestellte Fragen

Warum ist Mikrosegmentierung wichtig?

Perimeterbasierte Abwehrmaßnahmen gehen davon aus, dass Datenverkehr, der die Firewall passiert, vertrauenswürdig ist – ein Modell, das versagt, sobald ein Angreifer die Außengrenze überwunden hat, sei es durch Phishing, ein kompromittiertes IoT-Gerät oder gestohlene Zugangsdaten. In einem flachen Netzwerk reicht dieser eine Einstiegspunkt fast überall hin: zu Dateiservern, Domänencontrollern und anderen Endpunkten. Der größte Teil des Schadens durch Sicherheitsverletzungen entsteht nicht durch das Eindringen selbst, sondern durch das, was danach folgt – nämlich dass sich ein Angreifer seitlich ausbreitet und nach hochkarätigen Zielen sucht.

Die Mikrosegmentierung schränkt diese Bewegungsfreiheit ein. Durch die Anwendung detaillierter Richtlinien auf einzelne Ressourcen oder Geräteklassen statt auf das gesamte Netzwerk wird ein Angreifer oder ein kompromittiertes Gerät auf das Segment beschränkt, in das es eingedrungen ist. Ein infizierter Laptop oder ein nicht gepatchter IoT-Sensor kann unter Quarantäne gestellt werden, ohne den Rest des Netzwerks lahmzulegen. Außerdem unterstützt die Microsegmentierung Compliance-Vorgaben zur Isolierung regulierter Daten und ermöglicht es Sicherheitsteams, Zero Trust – jede Verbindung überprüfen, standardmäßig nichts vertrauen – innerhalb des Netzwerks und nicht nur an dessen Peripherie durchzusetzen.

Was ist Mikrosegmentierung?

Um ein Mikrosegment zu erstellen, definiert ein Administrator Übereinstimmungskriterien – also die Attribute, anhand derer ein Benutzer, ein Gerät oder eine Workload diesem Segment zugeordnet wird – und erstellt anschließend eine Richtlinie, die den Datenverkehr zwischen den Segmenten einschränkt oder zulässt. Bei den Kriterien kann es sich um Netzwerkattribute (IP, MAC-Adresse, VLAN) oder Sicherheitsattribute handeln: Identität, Gerätestatus, Fingerprinting oder eine kontinuierlich berechnete Risikobewertung. Die Durchsetzung erfolgt dort, wo der Datenverkehr eine Segmentgrenze überschreitet, in der Regel durch eine Regel einer Next-Generation-Firewall, die den Datenverkehr überprüft und die Richtlinie für dieses Segmentpaar anwendet.

Was die Mikrosegmentierung von einer reinen VLAN-Segmentierung unterscheidet, ist die Granularität. Ein VLAN gruppiert Geräte nach ihrem Standort im Netzwerk und ist weitgehend statisch; die Mikrosegmentierung kann Geräte nach ihrer Identität oder ihrem aktuellen Sicherheitsstatus gruppieren und ein Gerät sofort neu zuordnen, sobald sich sein Risikoprofil ändert – beispielsweise indem ein Endgerät mit veraltetem Virenschutz in ein eingeschränktes Segment verschoben wird, bis das Problem behoben ist, und es anschließend wieder zurückgeführt wird, sobald es die Anforderungen erfüllt.

Arten der Mikrosegmentierung

Die Ansätze unterscheiden sich hauptsächlich darin, woran sie die Grenzen eines Segments festlegen. Bei der netzwerkbasierten Segmentierung wird der Datenverkehr anhand herkömmlicher Attribute wie IP-Subnetz, VLAN oder MAC-Adresse gruppiert – diese sind zwar bekannt, aber statisch und berücksichtigen nicht, was auf dem Gerät geschieht. Bei der identitäts- und zustandsbasierten Segmentierung wird ein Benutzer, ein Gerät oder eine Workload anhand seiner bzw. ihrer Identität sowie des aktuellen Sicherheitszustands einem Segment zugeordnet, unabhängig davon, wo die physische Verbindung hergestellt wird. Die Workload- oder hostbasierte Segmentierung, die in Rechenzentren und Cloud-Umgebungen üblich ist, setzt Richtlinien auf dem einzelnen Server oder der virtuellen Maschine durch, häufig über einen Agenten oder einen Hypervisor-Hook, sodass die Richtlinie der Workload bei deren Bewegung folgt. Die adaptive (dynamische) Mikrosegmentierung ergänzt alle diese Ansätze um eine kontinuierliche Überwachung und verschiebt ein Gerät zwischen Segmenten, sobald sich dessen Risikobewertung ändert, anstatt es einmalig zum Zeitpunkt der Verbindung zuzuordnen.

Mikrosegmentierung & Versa

Versa Das Betriebssystem (VOS) implementiert Mikrosegmentierung sowohl für clientbasierte als auch für headless-Geräte. Endgeräte, auf denen der Client „ Versa “ (SASE ) läuft, werden anhand von Endpunkt-Informationsprofilen (EIPs) – also regelmäßigen Statusaktualisierungen wie Patch-Level und Antivirenstatus – in Mikrosegmente eingeteilt; siehe „EIP-basierte Mikrosegmentierung für SD-LAN konfigurieren“. Headless-IoT-Geräte werden stattdessen anhand von Geräte-Fingerabdrücken zugeordnet. Regeln klassifizieren den abgeglichenen Datenverkehr mit einem skalierbaren Gruppentag (SGT), den NPU- und NGFW-Richtlinien anschließend abgleichen, um den Zugriff durchzusetzen – siehe „Mikrosegmentierung konfigurieren“.

Auf der SD-LAN-Seite integriert die Zero-Trust-LAN-Architektur (ZT-LAN) von Versaeine Firewall der nächsten Generation direkt in den Campus-Switch, wodurch ein Umweg über einen Cloud-Präsenzpunkt vermieden wird. Die adaptive Mikrosegmentierung bewertet die Risikobewertung der Geräte kontinuierlich neu und verschiebt nicht konforme Geräte in ein Quarantänesegment, wie unter „Konfigurieren der Mikrosegmentierung für SD-LAN“ ausführlich beschrieben.

Häufig gestellte Fragen

Was ist der Unterschied zwischen Mikrosegmentierung und VLANs?

Ein VLAN unterteilt ein Netzwerk nach physischem oder logischem Standort und wird einmalig, größtenteils statisch, konfiguriert. Die Mikrosegmentierung ergänzt dies um identitäts- und sicherheitsstatusbasierte Richtlinien, die direkt auf Benutzer, Geräte oder Workloads abgestimmt sind und diese bei adaptiven Implementierungen automatisch zwischen Segmenten verschieben, sobald sich das Risiko oder der Sicherheitsstatus ändert.

Wie verhindert Mikrosegmentierung die laterale Bewegung?

Durch die Durchsetzung von Zugriffsrichtlinien an jeder Segmentgrenze – und nicht nur am Netzwerkperimeter – zwingt die Mikrosegmentierung einen Angreifer oder ein kompromittiertes Gerät dazu, einen Kontrollpunkt zu passieren, um eine andere Ressource zu erreichen. Ein Fußhalt in einem Segment bleibt so eingedämmt, anstatt sich ungehindert im Netzwerk auszubreiten.

Ist Mikrosegmentierung dasselbe wie Zero Trust?

Nein. „Zero Trust“ ist ein umfassenderes Sicherheitsmodell – jede Verbindung wird überprüft, standardmäßig wird nichts als vertrauenswürdig angesehen. Die Mikrosegmentierung ist eine Möglichkeit, dieses Modell umzusetzen, indem der Bereich, den eine einzelne verifizierte Verbindung erreichen kann, eingeschränkt wird. „Zero Trust“ umfasst darüber hinaus auch Identitäts-, Geräte- und Anwendungskontrollen, die über die Segmentierung hinausgehen.

Was ist adaptive Mikrosegmentierung?

Bei der adaptiven oder dynamischen Mikrosegmentierung wird der Sicherheitsstatus eines Geräts kontinuierlich neu bewertet, nachdem es bereits einem Segment zugeordnet wurde, anstatt ihn nur einmalig zum Zeitpunkt der Verbindung zu prüfen. Verschlechtert sich der Sicherheitsstatus – beispielsweise durch veraltete Antivirensoftware oder eine neu entdeckte Sicherheitslücke –, wird das Gerät automatisch in ein Segment mit strengeren Sicherheitsanforderungen verschoben, bis das Problem behoben ist.

Ist für die Mikrosegmentierung auf jedem Gerät ein Agent erforderlich?

Nicht unbedingt. Geräte, auf denen ein Client ausgeführt werden kann, wie beispielsweise Laptops mit dem Client „ Versa “ (SASE ), melden ihren Sicherheitsstatus direkt über diesen Client. Headless-Geräte, auf denen kein Agent ausgeführt werden kann, wie beispielsweise IoT-Sensoren, werden stattdessen mithilfe von Device Fingerprinting identifiziert und Segmenten zugeordnet.

Mehr zum Thema Mikrosegmentierung

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit Mikrosegmentierung beschäftigen, sollten Sie sich als Nächstes diese Artikel ansehen.