A maior parte dos prejuízos após uma intrusão não surge no ponto de entrada, mas no que vem depois: o movimento lateral pela rede. Uma vez tomado um computador de trabalho, é a arquitetura de rede que decide se o intruso permanece nesse único dispositivo — ou se, em horas, alcança os servidores, os backups e a produção. Numa rede plana, em que todos os dispositivos podem falar com todos, um portátil infetado torna-se rapidamente uma perda total.
Por isso, a segmentação é a medida isolada mais eficaz que a maioria das redes das médias empresas ainda tem pela frente. E não é uma questão de «tudo ou nada».
Porque é que as redes planas saem tão caras
As redes que cresceram ao longo do tempo são quase sempre planas: uma VLAN, todos os dispositivos em pé de igualdade, partilhas por todo o lado. Isso é cómodo e funciona — até ao primeiro incidente. Então percebe-se que contabilidade, controlo da produção, Wi-Fi de visitantes e servidores estão na mesma sala, sem porta entre eles. São precisamente essas portas ausentes que os intrusos e o ransomware automatizado exploram.
Começar pequeno: os três primeiros cortes
A segmentação não exige um grande projeto de meses. Três separações já trazem a maior parte do efeito:
- Servidores longe dos postos de trabalho. O segmento mais importante: quem está num posto de trabalho precisa de acesso a determinados serviços de servidor — não à administração dos servidores. Esta única separação trava consideravelmente a propagação típica do ransomware.
- Visitantes e o desconhecido para fora. Wi-Fi de visitantes, convidados, dispositivos pessoais, muitas vezes também IoT e automação de edifícios: tudo o que não é gerido pertence a um segmento próprio, sem caminho até à rede central.
- Encapsular os acessos de administração. As interfaces de gestão de firewalls, switches e servidores pertencem a uma rede separada e rigorosamente filtrada — inacessível a partir do posto de trabalho comum e nunca a partir da internet.
A segmentação não é um produto, mas manutenção
O erro de raciocínio é considerar a segmentação uma instalação única. Um conjunto de regras que não é mantido desfia-se em poucos meses: as exceções para um projeto permanecem, as autorizações temporárias tornam-se permanentes. A segmentação só continua eficaz com um conjunto de regras bem mantido, alterações documentadas e verificação regular de que as portas ainda estão onde deveriam estar. É por isso que a segmentação pertence à operação corrente, e não a um projeto encerrado.
Como a implementamos
Como casa de engenharia certificada pelos fabricantes (Juniper, Cisco, HPE, F5, Fortinet, Palo Alto Networks), planeamos e operamos redes segmentadas em médias empresas — do primeiro corte limpo entre servidor e posto de trabalho até à arquitetura em múltiplos níveis com firewalls de nova geração. Construímo-las de modo a poderem ser mantidas, documentamos cada regra e mantemos o conjunto de regras atualizado na operação corrente — por uma mensalidade fixa previsível, no âmbito das nossas soluções de Netzwerk & Connectivity e Cyber-Security. O melhor momento para a primeira separação foi antes do incidente. O segundo melhor é agora.