Das lernst du
Lernziele
- Erkennen, warum flache Netzwerke die Angriffsfläche vergrößern
- Eine einfache Kommunikationsmatrix entwerfen
- Segmentierung validieren, statt Bezeichnungen zu vertrauen
Die Flüsse erfassen, bevor Regeln geschrieben werden
Liste die Anwendungen, Nutzenden, Geräte und Dienste auf, die miteinander kommunizieren müssen. Halte für jeden Fluss Zweck, Protokoll und Verantwortlichen fest. Trenne, wo sinnvoll, Gastzugang, normale Arbeitsplätze, Administration, Server und Wiederherstellungssysteme. Ein VLAN-Name allein ist kein Beleg für Isolation; Routing und Filterung bestimmen, welcher Datenverkehr tatsächlich durchkommt.
Erforderlichen Zugriff erlauben, Ausnahmen prüfen
Nutze explizite Regeln auf Basis des geschäftlichen Bedarfs. Administrativer Zugriff sollte über einen kontrollierten Weg mit starken Identitäts- und Geräteanforderungen laufen. Ausnahmen brauchen einen Verantwortlichen und ein Ablauf- oder Prüfdatum. Vermeide eine pauschale Erlaubnisregel, die unbemerkt alle Segmente wieder verbindet.
Von repräsentativen Standorten aus validieren
Nutze autorisierte Tests, um zu bestätigen, dass erforderliche Anwendungen funktionieren und verbotene Wege scheitern. Prüfe Logs und Paketnachweise im vereinbarten Rahmen. Berücksichtige Abhängigkeiten wie DNS und Zeitdienste. Zero Trust ist ein Ansatz zur fortlaufenden Bewertung von Zugriffen, kein Produktlabel und nicht die Annahme, dass eine interne Adresse vertrauenswürdig ist.
Praxisbeispiel
In den Kontext setzen
Ein fiktives kleines Unternehmen trennt das Gast-WLAN vom Büronetz, stellt aber fest, dass eine breite Routing-Regel weiterhin Serverzugriff erlaubt. Ein kontrollierter Validierungstest deckt die Lücke auf, bevor das Design als abgeschlossen gilt.
Anschauliches Szenario zum Lernen, keine Aussage über einen überprüften Kundenvorfall.Häufige Fehler
- Annehmen, dass VLANs Routing automatisch blockieren
- Jedem internen Gerät vertrauen
- Dauerhafte Ausnahmen ohne Verantwortlichen anlegen
Deine praktische Checkliste
Häkchen in der Checkliste sind vorübergehend und werden nicht als Kontofortschritt gespeichert.
Kurze Zusammenfassung
Segmentierung begrenzt Bewegungen nur dann, wenn Regeln, Routen und Validierungsnachweise zum beabsichtigten Design passen.