A segmentação de rede divide o ambiente em zonas com controles entre elas. O objetivo é simples e poderoso: se um host for comprometido, o invasor não deve alcançar livremente servidores, backups e ambientes sensíveis. Em redes planas, um único equipamento comprometido coloca tudo em risco.
Este guia explica como segmentar de forma prática, quais zonas considerar e como aplicar o menor privilégio entre segmentos sem inviabilizar a operação.
O problema da rede plana
Em uma rede sem segmentação, estações, servidores, impressoras, dispositivos de borda e visitantes convivem no mesmo espaço lógico. Um ataque que comece em uma estação consegue varrer e alcançar sistemas críticos sem barreiras. A segmentação introduz essas barreiras.
Zonas que costumam fazer sentido
- Servidores e aplicações internas.
- Estações de trabalho dos colaboradores.
- Rede de visitantes, isolada da rede corporativa.
- Dispositivos de borda e IoT, frequentemente menos confiáveis.
- Ambientes sensíveis, com dados regulados ou críticos.
- DMZ para serviços que precisam ser acessados de fora.
Menor privilégio entre segmentos
Segmentar sem regras adequadas não resolve. Entre cada zona, as regras devem permitir apenas o tráfego necessário. Uma estação pode precisar falar com um servidor de aplicação específico, mas não com toda a rede de servidores. Esse desenho depende do contexto e deve ser validado conforme o risco.
DMZ para serviços expostos
Serviços que precisam ser acessados pela internet devem ficar em uma zona desmilitarizada, separada da rede interna. Assim, um comprometimento do serviço exposto não dá acesso direto ao restante do ambiente.
Boas práticas
Boas práticas
- Comece pela separação das zonas mais críticas.
- Aplique regras de menor privilégio entre segmentos.
- Use VLANs para organizar a segmentação lógica.
- Documente o propósito de cada zona e as regras entre elas.
- Monitore o tráfego entre segmentos.
Erros comuns
Atenção
- Criar segmentos, mas liberar tráfego amplo entre eles.
- Manter dispositivos de borda na mesma rede dos servidores.
- Expor serviços sem DMZ.
- Não revisar as regras entre zonas após mudanças.
Quando buscar apoio especializado
Projetar segmentação em um ambiente existente, sem interromper a operação, exige método. A OpenSourceBrasil atua com segurança de redes corporativas e consultoria pfSense para empresas, desenhando segmentação adequada ao risco de cada cliente.