Segmentación de LAN para minimizar el movimiento lateral
Desafortunadamente, muchas organizaciones operan con una topología de red plana, con todos sus equipos conectados en una estructura de un switch común. Esta topología compromete la protección al permitir un movimiento lateral fácil o la propagación de ataques de red dentro de la red de área local, ya que el firewall no tiene visibilidad ni control sobre el tráfico a través del switch.
Una mejor práctica es segmentar la LAN en subredes más pequeñas usando zonas o VLAN y luego conectarlas juntas a través del firewall para permitir la aplicación de protección anti-malware e IPS entre segmentos que pueden identificar y bloquear de manera efectiva las amenazas que intentan moverse lateralmente en la red.
El uso de zonas o VLAN's depende de su estrategia y alcance de segmentación de red, pero ambos ofrecen capacidades de seguridad similares al brindar la opción de aplicar la seguridad y el control adecuados sobre el movimiento del tráfico entre segmentos. Las zonas son ideales para estrategias de segmentación más pequeñas o redes con switches no administrados. Las VLAN's son el método preferido para segmentar redes internas en la mayoría de los casos y ofrecen lo último en flexibilidad y escalabilidad, pero requieren el uso (y configuración) de switches administrados de Capa 3.
Si bien es una práctica recomendada segmentar su red, no existe una "mejor" forma de segmentar una red. Puede segmentar su red por tipo de usuario (interno, contratistas, invitados), por departamento (ventas, marketing, ingeniería), por servicio, dispositivo o tipo de rol (VoIP, Wi-Fi, IoT, computadoras, servidores) o cualquier combinación que tiene sentido para la arquitectura de su red. Pero en general, querrá segmentar las partes menos confiables y más vulnerables de su red del resto, y también segmentar las redes grandes en segmentos más pequeños, todo con el objetivo de reducir el riesgo de penetración y propagación de amenazas.