Inizia da qui
Il tuo primo passo utile
Parti dalla lezione gratuita sulla segmentazione, poi usa gli esempi qui sotto per spiegare sia il flusso previsto sia il confine che dovrebbe fermarlo.
Parti dalla risorsa e dal flusso necessario
Elenca la risorsa che vuoi proteggere e il lavoro legittimo che ne dipende. Individua sorgente, destinazione, servizio, responsabile e motivo dell’accesso. “Gli utenti hanno bisogno del database” è troppo generico; un’applicazione può aver bisogno di uno specifico servizio di database mentre i dispositivi degli utenti dovrebbero raggiungere solo l’applicazione.
Un piccolo progetto utile separa i requisiti di business dall’implementazione. Scrivi prima in linguaggio semplice le relazioni consentite. Poi decidi dove debba avvenire l’applicazione delle regole e quali osservazioni dimostrerebbero che funziona. Non iniziare copiando regole da un ambiente non correlato.
Comprendi che cosa fa e che cosa non fa una VLAN
Una VLAN separa un dominio di broadcast logico di livello 2. La comunicazione tra VLAN può comunque essere instradata da un dispositivo autorizzato a farlo. Creare nomi di VLAN o intervalli di sottorete diversi non applica automaticamente una policy di sicurezza a quel traffico instradato.
In un ufficio sintetico, le reti ospiti, del personale e dei server possono essere VLAN diverse. Se la policy di instradamento consente qualsiasi sorgente verso qualsiasi destinazione, il confine degli ospiti continua a non raggiungere il suo scopo. Devi ispezionare il percorso di applicazione e le regole, non solo le etichette del diagramma.
Usa ACL e privilegio minimo con criterio
Una lista di controllo degli accessi esprime il traffico consentito o negato in un punto di applicazione. Ordine delle regole, direzione, protocollo, porte e comportamento del dispositivo contano tutti. Documenta il risultato previsto anziché dare per scontato che una regola copiata su un’interfaccia controlli ogni percorso.
Privilegio minimo significa abilitare l’accesso necessario per il compito autorizzato limitando quello superfluo. Includi nella revisione i servizi di supporto, le esigenze di gestione e un piano di recupero. Un’eccezione di emergenza troppo ampia dovrebbe avere un responsabile, un motivo e un momento di revisione.
| Sorgente fittizia | Destinazione necessaria | Intenzione della revisione |
|---|---|---|
| Dispositivi ospiti | Accesso a internet approvato | Nessun accesso al database interno |
| Servizio applicativo | Servizio di database indicato | Solo la dipendenza documentata |
| Postazione di amministrazione | Percorso di gestione approvato | Gestione limitata e autorizzata |
Distingui la segmentazione dallo Zero Trust
La segmentazione può limitare i percorsi e ridurre la portata di un incidente. Lo Zero Trust è più ampio: le decisioni di accesso non dovrebbero basarsi solo sull’essere all’interno di una rete. Identità, contesto del dispositivo, policy della risorsa e azione richiesta continuano a contare.
Un dispositivo in una VLAN del personale non è automaticamente autorizzato a ogni risorsa del personale. Al contrario, un utente remoto legittimo può aver bisogno di un accesso strettamente controllato a un singolo servizio. Descrivi la decisione di accesso in funzione della risorsa protetta, anziché trattare un indirizzo interno come prova di fiducia.
Verifica sia i casi positivi sia quelli negativi
Un test positivo chiede se una dipendenza approvata funziona. Un test negativo chiede se un percorso esplicitamente vietato viene rifiutato. Servono entrambi: bloccare tutto può sembrare sicuro ma interrompere il servizio, e un test applicativo riuscito non dice nulla sull’accesso indesiderato degli ospiti.
In un laboratorio autorizzato, definisci il risultato atteso prima di testare e registra sorgente, destinazione, servizio, orario e prove. Se il risultato è diverso, ispeziona il percorso effettivo e il punto di applicazione. Non aggiungere una regola di consenso generica solo per far diventare verde il test.
- Conferma che il flusso applicativo documentato funzioni.
- Conferma che a un ospite o a una sorgente non correlata sia negato il servizio protetto.
- Verifica che il percorso approvato per l’amministratore resti utilizzabile.
- Registra un piano di rollback prima di qualsiasi modifica autorizzata.
- Ripeti i controlli pertinenti dopo la modifica di una regola o di una dipendenza.
Trasforma la revisione in una raccomandazione difendibile
Scrivi l’esposizione, il confine previsto, la più piccola modifica proposta alla policy e come verrà verificata. Includi l’incertezza, come una dipendenza non documentata o un percorso alternativo non verificato. Chiedi al responsabile quel contesto mancante prima di raccomandare una modifica in produzione.
Il laboratorio Pro sulla segmentazione, già disponibile, usa una rete fittizia e un pacchetto di prove con revisioni svolte. È un luogo in cui esercitarsi a interpretare le regole e a spiegare i compromessi, non un invito a scansionare o sfruttare una rete reale. La lezione e il quiz gratuiti restano disponibili senza abbonamento.
Fonti e ambito
Questa è una guida didattica originale di BitsSecured. Usa esempi di pratica indipendenti, non domande reali d’esame, e non promette il superamento dell’esame, una certificazione o un impiego. BitsSecured non è affiliata a CompTIA né approvata da CompTIA.