Сегментация сети: что это, методы, микросегментация

Сегментация сети — это архитектурный приём, при котором единую сеть компании разбивают на несколько изолированных друг от друга участков (сегментов), а трафик между сегментами проходит только через контролируемую точку с проверкой правил — чаще всего межсетевой экран. Цель не в том, чтобы полностью запретить связь между частями сети (это парализовало бы работу бизнеса), а в том, чтобы каждый переход между сегментами оставлял след и мог быть заблокирован или ограничен по заданной политике.

Сегментация — одна из базовых архитектурных практик информационной безопасности, а не функция конкретного продукта.

Практический эффект сегментации проявляется в двух вещах. Во-первых, она сдерживает латеральное перемещение — если злоумышленник получил доступ к одному узлу, без сегментации он может свободно двигаться по всей сети в поисках ценных данных; сегментация превращает это в серию отдельных препятствий, каждое из которых можно обнаружить и остановить.

Во-вторых, она сокращает поверхность атаки: система, вынесенная в отдельный, изолированный сегмент с минимально необходимым набором разрешённых соединений, физически недоступна для большей части потенциальных источников угроз внутри сети.

Базовый набор методов сегментации — от физического разделения оборудования до логического разделения трафика на общей физической сети: VLAN, отдельные подсети, DMZ для публичных сервисов, списки контроля доступа (ACL) и межсетевые экраны на границах между сегментами.

На практике эти методы почти всегда используются вместе, а не по отдельности: VLAN и подсети задают логическую структуру сети, DMZ выносит публичные сервисы в отдельный контур, ACL добавляет базовую фильтрацию, а межсетевой экран на границах между крупными сегментами делает основную работу по инспекции трафика и блокировке нежелательных соединений.

Микросегментация сети — это сегментация, доведённая до уровня отдельной рабочей нагрузки: сервера, контейнера или виртуальной машины, — где по умолчанию два соседних узла даже в одном физическом сегменте не могут обращаться друг к другу без явно разрешённого правила. В отличие от классической сегментации, которая делит сеть на крупные зоны (например, «бухгалтерия», «DMZ», «разработка»), микросегментация действует на уровне отдельного узла и почти всегда реализуется программно — на гипервизоре, агентом на хосте или через сервис-меш в контейнерной инфраструктуре, — а не физическими VLAN или отдельным оборудованием.

Микросегментация — один из практических способов реализовать принцип модели Zero Trust («никому не доверяй по умолчанию, проверяй каждый запрос») на уровне сети: вместо одной большой зоны доверия, внутри которой любой скомпрометированный узел получает широкий доступ ко всему сегменту, каждое соединение между узлами явно разрешается или запрещается отдельно, независимо от того, находятся ли узлы в одной физической сети.

На практике сегментацию строят вокруг зон доверия — групп систем со схожим уровнем критичности и схожими требованиями к доступу, — а не произвольно: гостевая сеть, офисная сеть, серверный сегмент, DMZ и технологический контур АСУ ТП обычно живут в разных сегментах с разной строгостью правил между ними.

• Изоляция ИТ- и ОТ-контуров. Технологическая сеть АСУ ТП (SCADA, ПЛК, АРМ операторов) отделяется от корпоративной ИТ-сети отдельным сегментом с промышленным межсетевым экраном или однонаправленным шлюзом на границе — компрометация офисной сети не должна давать прямого пути к управлению технологическим процессом на производстве или инфраструктурном объекте.
• Гостевые сети. Подключения посетителей и личных устройств сотрудников выносятся в отдельный сегмент без доступа к внутренним ресурсам компании — стандартная и почти повсеместная практика для офисного Wi-Fi.
• Контроль сетевого доступа (NAC). NAC проверяет устройство и пользователя в момент подключения к сети (обычно по стандарту 802.1x/RADIUS) и на основании результата проверки помещает узел в соответствующий сегмент — например, устройство без актуальных обновлений безопасности автоматически попадает в карантинный сегмент с ограниченным доступом, а не сразу во внутреннюю сеть.
• Обнаружение аномалий на границах сегментов. Системы класса IDS/IPS устанавливаются именно на границах между сегментами — там, где сегментация уже локализовала потенциальную угрозу, обнаружение аномального трафика между сегментами становится дополнительным сигналом о попытке латерального перемещения, характерного для APT-атак.

Прямая единая норма «сегментировать сеть именно так» в общем виде в российском законодательстве не сформулирована, но требование к сегментации фактически заложено в отраслевые приказы ФСТЭК — отдельно для значимых объектов критической информационной инфраструктуры и отдельно для государственных информационных систем.

Для значимых объектов КИИ приказ ФСТЭК №239 включает защиту периметра и сегментацию сети значимого объекта от внешних и внутренних угроз в состав организационных и технических мер защиты — конкретная глубина сегментации (число сегментов, их границы) определяется субъектом КИИ самостоятельно исходя из модели угроз и категории значимого объекта, единой обязательной схемы деления закон не задаёт.

Для государственных информационных систем действующий приказ №117 (с 1 марта 2026 года заменяет приказ №17) прямо включает сегментацию и межсетевое экранирование в перечень из 17 групп мер защиты информации — эта мера идёт наравне с обнаружением и предотвращением вторжений, защитой от DDoS и защитой каналов передачи данных.