Implementando Segmentação de Rede com Zonas de Firewall

Visão Geral

A segmentação de rede divide uma rede plana em zonas de segurança isoladas com limites impostos por firewall para conter violações, restringir o movimento lateral e impor o acesso de menor privilégio entre cargas de trabalho. A segmentação é um controle fundamental exigido pelo PCI DSS, HIPAA, NIST 800-53 e arquiteturas de confiança zero (zero trust). A segmentação moderna combina abordagens tradicionais baseadas em VLAN com microsegmentação no nível da carga de trabalho para controle granular do tráfego leste-oeste. Esta habilidade abrange o projeto de arquiteturas de zona, a configuração de políticas de firewall inter-zona, a implementação de segmentação VLAN em switches e a implantação de microsegmentação para ambientes dinâmicos.

Quando Usar

• Ao implantar ou configurar recursos de implementação de segmentação de rede com zonas de firewall em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Documentação da topologia de rede com inventário de ativos
• Firewall com suporte a políticas baseadas em zonas (Palo Alto, Fortinet, Cisco Firepower)
• Switches gerenciados com suporte a VLAN (trunking 802.1Q)
• Documentação de fluxo de tráfego ou dados NetFlow para análise de linha de base
• Requisitos de conformidade (escopo PCI DSS, limites de ePHI HIPAA)

Conceitos Principais

Níveis de Arquitetura de Zona

Abordagens de Segmentação

Fluxo de Trabalho

Etapa 1: Mapear Fluxos de Tráfego e Definir Zonas

Antes de implementar a segmentação, capture o tráfego de linha de base:

# Capture NetFlow data to understand existing traffic patterns
nfdump -R /var/cache/nfdump/ -s srcip/bytes -n 50

# Identify east-west traffic between subnets
nfdump -R /var/cache/nfdump/ -s record/bytes \
  'src net 10.0.0.0/8 and dst net 10.0.0.0/8' -n 100

# Map application dependencies
# Document which servers need to communicate with which other servers

Etapa 2: Configurar VLANs em Switches

! Core switch VLAN configuration
vlan 10
 name Management
vlan 20
 name Corporate-Users
vlan 30
 name Servers
vlan 40
 name PCI-CDE
vlan 50
 name Guest
vlan 60
 name DMZ
vlan 99
 name Native-Unused

! Trunk port to firewall
interface GigabitEthernet1/0/1
 description Trunk-to-Firewall
 switchport trunk encapsulation dot1q
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30,40,50,60
 switchport trunk native vlan 99
 switchport nonegotiate

! Access port for corporate users
interface range GigabitEthernet1/0/2-24
 switchport mode access
 switchport access vlan 20
 spanning-tree portfast

! Access port for servers
interface range GigabitEthernet1/0/25-36
 switchport mode access
 switchport access vlan 30

! Prevent VLAN hopping
interface range GigabitEthernet1/0/37-48
 switchport mode access
 switchport access vlan 99
 shutdown

Etapa 3: Configurar Políticas de Zona de Firewall

Política baseada em zona do Palo Alto:

# Definir zonas em sub-interfaces do firewall
set network interface ethernet ethernet1/1 layer3 units ethernet1/1.10 tag 10 ip 10.0.10.1/24

…