Segmentasi jaringan: membatasi ruang gerak penyerang
Jaringan datar membuat satu laptop yang terinfeksi bisa menjangkau semua server. Segmentasi memutus jalur itu.
Di jaringan datar, satu perangkat yang ditembus bisa menjangkau semuanya.
Kelompokkan perangkat menurut fungsi dan tingkat kepercayaan, lalu pisahkan dengan VLAN dan aturan firewall.
Mulai dari yang paling berisiko: Wi-Fi tamu, perangkat IoT, dan server.
Aturan antarsegmen: tolak semua, izinkan hanya yang diperlukan.
Kelompokkan perangkat menurut fungsi dan tingkat kepercayaan, lalu pisahkan dengan VLAN dan aturan firewall.
Mulai dari yang paling berisiko: Wi-Fi tamu, perangkat IoT, dan server.
Aturan antarsegmen: tolak semua, izinkan hanya yang diperlukan.
Setelah mendapat pijakan pertama, penyerang bergerak dari satu mesin ke mesin lain untuk mencari data dan hak akses yang lebih tinggi. Gerakan ini disebut lateral movement. Di jaringan tanpa sekat, tidak ada yang menghalanginya.
Pembagian segmen yang umum
| Segmen | Isi | Boleh mengakses |
|---|---|---|
| Karyawan | Laptop dan PC kerja | Internet, aplikasi internal tertentu |
| Server | Aplikasi, database, file server | Hanya layanan yang dibutuhkan |
| Tamu | Wi-Fi pengunjung | Internet saja |
| IoT | CCTV, printer, mesin absensi | Server pengelolanya saja |
| Manajemen | Antarmuka admin switch, firewall, hypervisor | Diakses hanya dari perangkat admin |
Langkah penerapan
- Inventarisasi. Catat perangkat yang terhubung dan siapa pemiliknya. Hampir selalu ada perangkat yang tidak dikenal.
- Petakan aliran data. Aplikasi apa berbicara ke server mana, lewat port berapa.
- Buat VLAN dan pindahkan perangkat secara bertahap, mulai dari Wi-Fi tamu dan IoT karena dampaknya ke operasional paling kecil.
- Tulis aturan firewall antarsegmen dengan prinsip tolak semua, lalu izinkan yang diperlukan.
- Pantau log penolakan selama beberapa minggu untuk menemukan aliran sah yang terlewat.
Kesalahan yang sering terjadi
- VLAN sudah dibuat, tetapi routing antar-VLAN dibiarkan terbuka sehingga tidak ada pemisahan nyata.
- Aturan "izinkan semua" sementara yang tidak pernah dicabut.
- Printer dan CCTV ditaruh di segmen karyawan karena lebih praktis.
- Antarmuka admin perangkat jaringan bisa dibuka dari segmen mana pun.
Hubungannya dengan Zero Trust
Segmentasi adalah fondasi Zero Trust di lapisan jaringan. Setelah segmen besar tertata, pemisahan bisa diperhalus hingga tingkat aplikasi dan identitas pengguna.