A segmentação de rede divide o ambiente em zonas com controles entre elas. O objetivo é simples e poderoso: se um host for comprometido, o invasor não deve alcançar livremente servidores, backups e ambientes sensíveis. Em redes planas, um único equipamento comprometido coloca tudo em risco.
Este guia explica como segmentar de forma prática, quais zonas considerar e como aplicar o menor privilégio entre segmentos sem inviabilizar a operação.
O problema da rede plana
Em uma rede sem segmentação, estações, servidores, impressoras, dispositivos de borda e visitantes convivem no mesmo espaço lógico. Um ataque que comece em uma estação consegue varrer e alcançar sistemas críticos sem barreiras. A segmentação introduz essas barreiras.
A maioria dos ataques de ransomware que param uma empresa inteira depende exatamente disso: um ponto de entrada frágil, como um anexo aberto por engano, e uma rede plana que deixa o código malicioso alcançar os servidores e os backups a partir de qualquer estação. Segmentar não impede a infecção inicial, mas transforma um incidente que pararia tudo em um problema contido a uma zona.
Zonas que costumam fazer sentido
- Servidores e aplicações internas.
- Estações de trabalho dos colaboradores.
- Rede de visitantes, isolada da rede corporativa.
- Dispositivos de borda e IoT, frequentemente menos confiáveis.
- Ambientes sensíveis, com dados regulados ou críticos.
- DMZ para serviços que precisam ser acessados de fora.
Menor privilégio entre segmentos
Segmentar sem regras adequadas não resolve. Entre cada zona, as regras devem permitir apenas o tráfego necessário. Uma estação pode precisar falar com um servidor de aplicação específico, mas não com toda a rede de servidores. Esse desenho depende do contexto e deve ser validado conforme o risco.
DMZ para serviços expostos
Serviços que precisam ser acessados pela internet devem ficar em uma zona desmilitarizada, separada da rede interna. Assim, um comprometimento do serviço exposto não dá acesso direto ao restante do ambiente.
Boas práticas
Boas práticas
- Comece pela separação das zonas mais críticas.
- Aplique regras de menor privilégio entre segmentos.
- Use VLANs para organizar a segmentação lógica.
- Documente o propósito de cada zona e as regras entre elas.
- Monitore o tráfego entre segmentos.
Erros comuns
Atenção
- Criar segmentos, mas liberar tráfego amplo entre eles.
- Manter dispositivos de borda na mesma rede dos servidores.
- Expor serviços sem DMZ.
- Não revisar as regras entre zonas após mudanças.
Quando buscar apoio especializado
Projetar segmentação em um ambiente existente, sem interromper a operação, exige método. A OpenSourceBrasil atua com segurança de redes corporativas e consultoria pfSense para empresas, desenhando segmentação adequada ao risco de cada cliente.