Definition Was ist Netzwerksegmentierung (Network Segmentation)?

Netzwerksegmentierung ist ein Architekturprinzip, das Netzwerke in kleinere Einheiten (Segmente) unterteilt. Für die Segmente lassen sich individuelle Richtlinien zur Kontrolle und Steuerung des Datenverkehrs einrichten. Dadurch ergeben sich zum Beispiel Vorteile hinsichtlich der Sicherheit und Leistung des Netzwerks.

Bei der Netzwerksegmentierung (Network Segmentation) handelt es sich um einen Architekturansatz und ein Designprinzip aus dem Netzwerkbereich. Die Netzwerksegmentierung unterteilt Netzwerke in kleinere Einheiten, die physisch oder logisch voneinander getrennt sind und als eigenständige kleine Netze fungieren. Diese werden auch Segmente oder Subnetze genannt.

Der Netzwerkverkehr zwischen den untergliederten Bereichen lässt sich durch die Segmentierung besser steuern und kontrollieren. Es können segmentbezogen individuelle Richtlinien für den ein- und ausgehenden Netzwerkverkehr konfiguriert und durchgesetzt werden. Dadurch lassen sich die in großen, nicht unterteilten Netzwerken für Netzwerkteilnehmer vorhandenen Möglichkeiten zu umfassenden lateralen Bewegungen einschränken.

Die Netzwerksegmentierung bietet zahlreiche Vorteile. Sie erhöht die Sicherheit, verbessert die Leistung, vereinfacht die Administration und hilft, technische Probleme einzugrenzen.

Gründe für die Segmentierung eines Netzwerks

Network Segmentation wird aus verschiedenen Gründen durchgeführt. Einer der wichtigsten Gründe ist die Realisierung eines höheren Sicherheits- und Schutzniveaus des Netzwerks, seiner Netzwerkelemente, Teilnehmer und Daten. Für jedes Netzwerksegment können eigene Sicherheitsrichtlinien definiert und durchgesetzt werden. Für Unbefugte wird es schwieriger, sich Zugang zu einzelnen Netzwerkbereichen zu verschaffen oder sich unbemerkt innerhalb des Netzwerks über Segmentgrenzen hinweg zu bewegen. Das Schadenspotenzial möglicher Sicherheitsvorfälle wird dadurch eingeschränkt.

Die Netzwerksegmentierung reduziert die potenzielle Angriffsfläche und ermöglicht eine genaue Kontrolle und Steuerung der Netzwerkzugriffe und des ein- und ausgehenden Netzwerkverkehrs. Es lassen sich besonders abgesicherte Netzwerkbereiche schaffen, in denen kritische Server oder Dienste bereitgestellt und betrieben werden. Zum Beispiel werden aus Sicherheitsgründen üblicherweise die Netzwerkbereiche der Server und Clients voneinander getrennt.

Ein weiterer Grund für die Netzwerksegmentierung ist die Optimierung der Leistung eines Netzwerks. Die Untergliederung in kleinere Netzwerkeinheiten verhindert, dass sich die Aktivitäten einer Vielzahl von Netzwerkteilnehmern gegenseitig beeinträchtigen oder Verkehre wie Broadcasts überhandnehmen und einzelne Netzwerkbereiche überlasten. Bestimmte Verkehrsarten lassen sich auf definierte Bereiche eines Netzwerks einschränken und bleiben lokal.

Weitere Gründe für die Segmentierung eines Netzwerks sind Erleichterungen bei der Administration und Wartung des Netzwerks, mehr Transparenz im Netzwerkverkehr, die Verbesserung der Verfügbarkeit durch die lokale Beschränkung der Fehlerausbreitung, das schnelleres Eingrenzen von Netzwerkproblemen, die bessere Isolation nicht vertrauenswürdiger Systeme und die Vereinfachung der Einhaltung von rechtlichen Vorgaben hinsichtlich der Datenzugriffsmöglichkeiten und des Datenschutzes.

Die prinzipielle Funktionsweise und die verschiedenen Arten der Netzwerksegmentierung

Network Segmentation unterteilt ein Netzwerk in Abschnitte, in denen hinsichtlich der Verkehrsarten, Verkehrsquellen und Verkehrsziele unterschiedliche Kontroll- und Steuerungsmöglichkeiten angewandt werden können. Diese Unterteilung kann grundsätzlich auf zwei Arten erfolgen:

1. physisch mithilfe von Netzwerkgeräten wie Switches, Router, Firewalls und andere
2. logisch beziehungsweise virtuell per Software

In welche Arten von Abschnitten die Netze unterteilt werden, ist nicht fix vorgegeben. Der Begriff Segmentierung kann sich auf verschiedene Ebenen des OSI-Schichtenmodells beziehen. So kann ein Segment beispielsweise eine Kollisionsdomäne, eine Broadcast-Domäne oder ein IP-Subnetz sein.

Für die physische Segmentierung werden Hardwaregeräte wie Switches, Router, Firewalls und andere verwendet. Sie sind zwischen den zu trennenden Netzwerksegmenten platziert. Dort kontrollieren und steuern sie nach verschiedenen Kriterien den ein- und ausgehenden Verkehr der einzelnen Segmente.

Die logische oder virtuelle Segmentierung basiert auf Software. Per Software werden beispielsweise VLANs (Virtual Local Area Networks), Subnetze oder Netzwerkbereiche mit speziellen Adressierungsschemata gebildet. Die Netzwerkgeräte, auf denen die Software für die Segmentierung der Netze ausgeführt wird, müssen nicht an den Segmentgrenzen installiert sein. Sie werden segmentübergreifend genutzt und können prinzipiell beliebig platziert werden. Die virtuellen Segmentgrenzen lassen sich bei Bedarf auch völlig unabhängig von der zugrundeliegenden physischen Topologie abbilden. Die Segmentierung findet virtualisiert und verteilt statt.

Das Software-Defined Networking, kurz SDN, ist eine moderne Netzwerktechnologie, die eine sehr flexible und fein steuerbare logische Segmentierung ermöglicht. Mit ihr lässt sich beispielsweise auch die so genannte Mikrosegmentierung umsetzen.

Die Mikrosegmentierung ist eine Unterkategorie beziehungsweise spezielle Form der Netzwerksegmentierung. Sie ermöglicht noch präzisere Kontrollen des Netzwerkverkehrs bis auf Anwendungs- oder Benutzerebene. Per Mikrosegmentierung lassen sich Richtlinien für Netzwerkzugriffe und Datenverkehre nicht nur bezogen auf einzelne Netzwerkbereiche, sondern bis auf Workload-Ebene definieren und durchsetzen.

Als Workload wird eine von einem Server, einer Anwendung, einem Benutzer oder einem Prozess in Anspruch genommene Rechen- oder Speicherressource bezeichnet. Durch die Mikrosegmentierung ist eine fein granulare Kontrolle auch des so genannten Ost-West-Verkehrs zwischen Servern und Ressourcen innerhalb eines Netzwerkabschnitts möglich. Während die Netzwerksegmentierung den Nord-Süd-Verkehr auf Netzwerkebene kontrolliert und steuert, begrenzt die Mikrosegmentierung den Ost-West-Verkehr auf der Workload-Ebene.

Mikrosegmentierung wird per Software konfiguriert und durchgesetzt. Sie benötigt ein umfassendes Identitätsmanagement und bildet die Basis für das Zero-Trust-Sicherheitsmodell. Das Zero-Trust-Sicherheitsmodell stuft alle Nutzer und Geräte zunächst grundsätzlich als nicht vertrauenswürdig ein. Per Mikrosegmentierung werden sämtliche Zugriffe und Datenverkehre der zuvor authentifizierten Netzwerkentitäten kontrolliert und gesteuert.

(ID:50312180)