Implementando Microsegmentação com Guardicore

Quando Usar

• Ao implementar controles de tráfego leste-oeste para prevenir movimento lateral dentro de data centers
• Ao precisar de visibilidade em nível de aplicação dos padrões de comunicação de rede antes de escrever políticas de segmentação
• Ao segmentar cargas de trabalho em ambientes heterogêneos (VMs, contêineres, bare metal, nuvem)
• Quando frameworks de conformidade (PCI DSS, HIPAA) exigem validação de segmentação de rede
• Ao implementar confiança zero na camada de rede com granularidade em nível de processo

Não use para segurança apenas de perímetro (use firewalls tradicionais), para ambientes com menos de 50 cargas de trabalho onde VLANs/grupos de segurança são suficientes, ou quando a equipe de rede não tem capacidade para gerenciamento contínuo de políticas.

Pré-requisitos

• Licença Akamai Guardicore Segmentation (Enterprise ou Premium)
• Servidor de Gerenciamento Guardicore implantado (on-premise ou SaaS)
• Acesso de implantação de agente às cargas de trabalho de destino (Linux, Windows, Kubernetes)
• Visibilidade de rede: portas SPAN/TAP ou logs de fluxo VPC para coleta sem agente
• Engajamento do proprietário da aplicação para validação de dependências

Fluxo de Trabalho

Etapa 1: Implantar Agentes Guardicore nas Cargas de Trabalho

Instale agentes para coletar dados de comunicação de rede em nível de processo.

# Linux agent installation
curl -sSL https://management.guardicore.com/api/v3.0/agents/download/linux \
  -H "Authorization: Bearer ${GC_API_TOKEN}" \
  -o gc-agent-installer.sh
chmod +x gc-agent-installer.sh
sudo ./gc-agent-installer.sh \
  --management-url=https://management.guardicore.com \
  --site-id=datacenter-east \
  --label="web-tier"

# Windows agent installation (PowerShell)
# Invoke-WebRequest -Uri "https://management.guardicore.com/api/v3.0/agents/download/windows" `
#   -Headers @{"Authorization"="Bearer $GC_API_TOKEN"} `
#   -OutFile gc-agent-installer.exe
# Start-Process -FilePath .\gc-agent-installer.exe `
#   -ArgumentList "--management-url=https://management.guardicore.com","--site-id=datacenter-east" `
#   -Wait

# Kubernetes DaemonSet deployment
cat > gc-daemonset.yaml << 'EOF'
apiVersion: apps/v1
kind: DaemonSet
metadata:
  name: guardicore-agent
  namespace: guardicore
spec:
  selector:
    matchLabels:
      app: gc-agent
  template:
    metadata:
      labels:
        app: gc-agent
    spec:
      hostNetwork: true
      hostPID: true
      containers:
      - name: gc-agent
        image: guardicore/agent:latest
        securityContext:
          privileged: true
        env:
        - name: GC_MANAGEMENT_URL
          value: "https://management.guardicore.com"
        - name: GC_API_KEY
          valueFrom:
            secretKeyRef:
              name: gc-credentials
              key: api-key
        volumeMounts:
        - mountPath: /host
          name: host-root
      volumes:
      - name: host-root
        hostPath:
          path: /
EOF
kubectl apply -f gc-daemonset.yaml

# Verify agent enrollment
curl -s "https://management.guardicore.com/api/v3.0/agents?status=active" \
  -H "Authorization: Bearer ${GC_API_TOKEN}" | python3 -m json.tool

Etapa 2: Mapear Dependências de Aplicação com Reveal

Use o Guardicore Reveal para descobrir e visualizar padrões de comunicação de aplicação.

# Query discovered application flows via API
curl -s "https://management.guardicore.com/api/v3.0/connections" \
  -H "Authorization: Bearer ${GC_API_TOKEN}" \
  -d '{
    "time_range": {"from": "2026-02-17T00:00:00Z", "to": "2026-02-24T00:00:00Z"},
    "filter": {
      "source_label": "web-tier",
      "destination_label": "app-tier"
    },
    "aggregation": "process",
    "limit": 1000
  }' | python3 -m json.tool

# Export application dependency map
curl -s "https://management.guardicore.com/api/v3.0/maps/export" \
  -H "Authorization: Bearer ${GC_API_TOKEN}" \
  -d '{
    "format": "json",
    "labels": ["web-tier", "app-tier", "db-tier"],
    "time_range": "7d"
  }' -o app-dependency-map.json

# Typical discovery findings:
# web-tier -> app-tier: TCP 8080, 8443 (expected)
# app-tier -> db-tier: TCP 5432, 3306 (expected)
# web-tier -> db-tier: TCP 5432 (UNEXPECTED - should be blocked)
# app-tier -> internet: TCP 443 (verify if needed)

Etapa 3: Criar Rótulos e Políticas de Segmentação

Defina rótulos e crie políticas de "ring-fence" (cerca de proteção) em torno das aplicações.

# Criar rótulos para tiers de aplicação
curl -X POST "https://management.guardicore.com/api/v3.0/labels" \
  -H "Authorization: Bearer ${GC_API_TOKEN}" \
  -H "Content-Type: application/json" \

…