Netzwerk-Segmentierung und IT-Sicherheit

Kann mittels Netzwerk-Segmentierung die IT-Sicherheit verbessert werden? Welche Angriffstechniken können mitigiert werden? Wir geben einen kurzen Überblick über den aktuellen Stand. 

Von Thomas Hintze

Local Area Networks (VLANs) segmentieren physische Netz in logische Teilnetze. VLANs funktionieren switch-übergreifend. Ursprünglich wurden sie dafür eingesetzt, Broadcast-Domains zu bilden und logische Teilnetze verkabelungsunabhängig zu betreiben. Dabei standen zunächst Performance-Betrachtungen im Mittelpunkt.

Netzwerksegmentierung ist ein einfaches Konzept. Es wird genutzt, um Datenverkehre zu trennen und nur berechtigten Geräten Zugriff zu ermöglichen. VLANs können dazu beitragen, unauthorisierte Kommunikation zu unterbinden, um so bspw. die Ausbreitung von Malware zu verhindern.

Lt. MITRE kann Netzwerksegmentierung gegen folgenden Angriffstechniken eingesetzt werden:

1. Account Manipulation (T1098)
2. Create Account (T1136)
3. Data from Configuration Repository (T1602)
4. Data Manipulation (T1565)
5. Domain Trust Recovery (T1482)
6. Exfiltration Over Alternative Protocol (T1048)
7. Exploit Public-Facing Application (T1190)
8. Exploitation of Remote Services (T1210)
9. Man-in-the-Middle (T1557)
10. Network Service Scanning (T1046)
11. Non-Application Layer Protocol (T1095)
12. Non-Standard Port (T1571)
13. Remote Service Session Hijacking (T1563)
14. Remote Services: Remote Desktop Protocol (T1021)
15. Service Stop (T1489)
16. Software Deployment Tools (T1072)

Um gegen diese Angriffstechniken vorbereitet zu sein, brauchen wir eine individuell passende Netzwerksegmentierung inkl. Zugriffssteuerung (Access Control).