Netzwerksegmentierung
Netzwerksegmentierung teilt ein Netz in abgegrenzte Zonen mit kontrollierten Übergängen, sodass ein kompromittiertes System nicht automatisch Zugriff auf alle anderen hat. Umgesetzt wird sie über VLANs, getrennte Routing-Domänen, Firewalls zwischen den Zonen und Zugangskontrolle am Port. Der BSI-IT-Grundschutz-Baustein NET.1.1 fordert als Basis-Anforderung, das Gesamtnetz mindestens in die drei Zonen internes Netz, DMZ und Außenanbindungen physisch zu separieren und die Übergänge per Firewall nach Allowlist-Prinzip abzusichern.
Netzwerksegmentierung in der Praxis
Flache Netze sind der Grund, warum aus einem infizierten Notebook ein Totalausfall wird: Ohne Grenzen zwischen Client-, Server-, Management- und Produktionsnetz breitet sich Schadsoftware ungehindert aus, und Backups sind aus demselben Segment erreichbar wie die Produktivdaten. Segmentierung setzt dem Zonen entgegen. Der BSI-IT-Grundschutz-Baustein NET.1.1 verlangt in der Basis-Anforderung A4 eine physische Trennung des Gesamtnetzes in internes Netz, DMZ und Außenanbindungen, abgesichert durch eine mindestens zweistufige Firewall-Struktur, die ausschließlich explizit erlaubte Kommunikation weiterleitet; Anforderung A5 verlangt zusätzlich, Clients und Server in unterschiedliche Netzsegmente zu legen.
Technische Basis ist meist IEEE 802.1Q: Die VLAN-Kennung ist 12 Bit breit, woraus sich 4.094 nutzbare VLANs je Layer-2-Domäne ergeben, da 0 und 4095 reserviert sind. Am Port entscheidet IEEE 802.1X, welches Gerät überhaupt in welches Segment darf. In OT-Umgebungen beschreibt IEC 62443 dasselbe Prinzip als Zones and Conduits. Eine typische Mindeststruktur umfasst Clients, Server, Management und Out-of-Band, Backup, Gäste-WLAN, Produktion beziehungsweise OT sowie DMZ.
Der Backup-Bereich verdient besondere Aufmerksamkeit, weil er das letzte Sicherungsnetz gegen Ransomware ist. Feiner wird es mit Mikrosegmentierung, die bis auf einzelne Workloads herunterreicht. Segmentierung ist zugleich eine Leistungsfrage: Ohne ausreichende Bandbreite an den Zonenübergängen wird die Firewall zum Flaschenhals. Alendris plant Segmentierung deshalb gemeinsam mit dem Netzwerk-Upgrade — in einem Fertigungsprojekt hat die Serverumgebung im Ergebnis keinen direkten Internetzugang mehr, Zugriffe laufen identitätsbasiert statt über offene Netzwerkpfade.