Network Segmentation Membatasi Ruang Gerak Serangan Siber.
Network Segmentation membantu perusahaan membagi jaringan menjadi beberapa zona dengan fungsi, tingkat risiko, dan aturan komunikasi yang berbeda. Dengan pendekatan ini, administrator tidak memberikan jalur komunikasi bebas kepada seluruh perangkat hanya karena perangkat tersebut berada di dalam jaringan perusahaan. Sebaliknya, administrator menentukan sistem mana yang boleh saling berkomunikasi dan layanan apa yang boleh mereka gunakan.
Pendekatan tersebut menjadi penting ketika serangan siber berhasil menembus satu perangkat. Penyerang biasanya tidak berhenti pada endpoint pertama yang berhasil mereka kuasai. Mereka dapat mencari server lain, mencoba memperoleh credential tambahan, mengakses file sharing, menemukan database, atau bergerak menuju sistem yang memiliki nilai lebih tinggi.
Karena itu, Network Segmentation tidak hanya membantu administrator merapikan arsitektur jaringan. Strategi ini juga membatasi dampak ketika satu bagian jaringan mengalami kompromi.
Jaringan Datar Memperbesar Ruang Gerak Penyerang.
Jaringan yang terlalu datar memberikan jalur komunikasi luas antarperangkat.
Sebagai contoh, sebuah workstation pengguna mungkin dapat berkomunikasi langsung dengan server, printer, perangkat CCTV, storage, dan perangkat lain tanpa pembatasan yang berarti. Konfigurasi tersebut memang mempermudah konektivitas, tetapi kondisi yang sama juga dapat membantu penyerang ketika mereka berhasil mengambil alih salah satu endpoint.
Penyerang dapat melakukan reconnaissance dari perangkat yang sudah mereka kuasai. Selanjutnya, mereka dapat mencari host lain, port yang terbuka, shared folder, remote service, atau sistem yang menggunakan credential yang sama.
Akibatnya, kompromi terhadap satu endpoint dapat berkembang menjadi serangan terhadap bagian jaringan yang lebih luas.
Network Segmentation mengubah kondisi tersebut dengan menambahkan batas komunikasi. Administrator dapat memisahkan kelompok perangkat berdasarkan fungsi dan hanya membuka jalur yang benar-benar mereka perlukan.
Dengan demikian, kompromi pada satu segmen tidak otomatis memberikan akses menuju seluruh infrastruktur.
Segmentasi Perlu Mengikuti Fungsi dan Risiko.
Administrator dapat membagi jaringan berdasarkan fungsi operasional.
Sebagai contoh, perusahaan dapat memisahkan jaringan pengguna, server, management, CCTV, VoIP, IoT, guest Wi-Fi, printer, database, serta berbagai sistem lainnya.
Namun, administrator tidak sebaiknya membuat segmentasi hanya berdasarkan jenis perangkat. Mereka juga perlu mempertimbangkan risiko, tingkat sensitivitas data, pola komunikasi, serta dampak bisnis ketika suatu sistem berhenti bekerja.
Server database, misalnya, memiliki kebutuhan keamanan yang berbeda dengan printer kantor. Demikian pula, management interface pada switch dan hypervisor membutuhkan perlindungan berbeda dengan jaringan pengguna.
Karena itu, desain segmentasi perlu menjawab beberapa pertanyaan penting. Administrator perlu mengetahui perangkat apa yang berada pada suatu zona, layanan apa yang mereka jalankan, sistem mana yang perlu mereka hubungi, dan siapa yang membutuhkan akses.
Setelah memahami hubungan tersebut, administrator dapat membuat batas komunikasi yang sesuai dengan kebutuhan operasional.
VLAN Membentuk Pemisahan Logis.
VLAN menjadi salah satu teknologi yang paling umum untuk membentuk segmentasi pada jaringan lokal.
Administrator dapat menggunakan VLAN untuk memisahkan perangkat ke dalam broadcast domain yang berbeda tanpa harus membangun jaringan fisik terpisah untuk setiap kelompok perangkat.
Sebagai contoh, administrator dapat menempatkan workstation pada VLAN pengguna, access point pada VLAN management, kamera pada VLAN CCTV, dan server pada VLAN tersendiri.
Namun, VLAN saja tidak menyelesaikan kontrol keamanan.
Ketika router atau Layer 3 switch melakukan routing antar-VLAN tanpa pembatasan, perangkat dari satu VLAN tetap dapat berkomunikasi dengan VLAN lainnya sesuai routing yang tersedia.
Karena itu, administrator perlu menggabungkan VLAN dengan mekanisme enforcement seperti Access Control List, firewall policy, atau kontrol keamanan lain.
Dengan demikian, VLAN menyediakan struktur segmentasi, sedangkan policy menentukan komunikasi yang benar-benar diizinkan.
Firewall dan ACL Mengendalikan Komunikasi Antarsegmen.
Setelah administrator membentuk beberapa segmen, mereka perlu menentukan trafik yang boleh melintasi batas tersebut.
Firewall dan Access Control List atau ACL dapat menjalankan fungsi tersebut.
Sebagai contoh, jaringan workstation dapat membutuhkan akses HTTPS menuju application server. Namun, workstation tidak membutuhkan akses langsung menuju port database.
Administrator kemudian dapat membuat policy yang mengizinkan komunikasi menuju application server tetapi menolak koneksi langsung menuju database.
Demikian pula, jaringan CCTV mungkin hanya membutuhkan akses menuju NVR, DNS, NTP, atau server management tertentu. Kamera tidak perlu memiliki jalur bebas menuju jaringan pengguna maupun server lain.
Dengan pola tersebut, administrator mengubah aturan dari semua boleh kecuali yang diblokir menjadi hanya komunikasi yang memiliki kebutuhan jelas yang boleh berjalan.
Lateral Movement Menjadi Lebih Sulit.
Lateral movement menggambarkan proses ketika penyerang berpindah dari sistem yang sudah mereka kuasai menuju sistem lain di dalam lingkungan target.
Penyerang dapat menggunakan berbagai jalur untuk melakukan pergerakan tersebut. Mereka dapat mencoba remote administration service, file sharing, credential reuse, aplikasi internal, atau service yang terbuka pada perangkat lain.
Network Segmentation mempersempit jalur tersebut.
Ketika administrator membatasi komunikasi antarsegmen, penyerang tidak dapat melakukan koneksi langsung menuju setiap bagian jaringan hanya dari satu endpoint yang sudah terkompromi.
Dengan demikian, segmentasi tidak menjamin bahwa serangan tidak pernah berhasil masuk. Sebaliknya, segmentasi berusaha memastikan bahwa satu kompromi tidak berkembang dengan mudah menjadi kompromi seluruh jaringan.
Guest, IoT, dan CCTV Memerlukan Batas yang Jelas.
Tidak semua perangkat di jaringan memiliki tingkat kepercayaan dan kemampuan keamanan yang sama.
Laptop perusahaan biasanya menjalankan sistem operasi yang memperoleh update rutin dan memiliki endpoint security. Sebaliknya, kamera CCTV, smart television, sensor, printer, access control, serta berbagai perangkat IoT dapat menggunakan firmware yang lebih terbatas.
Selain itu, perusahaan sering tidak memiliki kontrol penuh terhadap perangkat tamu.
Karena itu, administrator sebaiknya tidak menempatkan seluruh perangkat tersebut pada jaringan yang sama dengan sistem bisnis utama.
Sebagai contoh, guest Wi-Fi dapat menggunakan segmen yang hanya memberikan akses internet. Sementara itu, CCTV dapat menggunakan segmen tersendiri yang hanya memberikan akses menuju NVR dan service yang memang dibutuhkan.
Pendekatan tersebut mengurangi jumlah sistem yang dapat dijangkau apabila salah satu perangkat mengalami kompromi.
Selanjutnya, administrator juga mendapatkan policy yang lebih mudah mereka pahami karena setiap zona memiliki tujuan komunikasi yang jelas.
Server dan Database Membutuhkan Perlindungan Berlapis.
Server sering menjadi target penting karena sistem tersebut menjalankan aplikasi, menyimpan data, atau mendukung layanan utama perusahaan.
Karena itu, administrator dapat membuat beberapa lapisan segmentasi di lingkungan server.
Sebagai contoh, perusahaan dapat menempatkan reverse proxy atau web server pada zona tertentu. Kemudian, application server berada pada zona lain, sedangkan database berada pada segmen yang lebih terbatas.
Administrator selanjutnya hanya mengizinkan komunikasi yang sesuai dengan arsitektur aplikasi.
Web server dapat berkomunikasi dengan application server pada port tertentu. Application server kemudian dapat berkomunikasi dengan database. Namun, client dari jaringan pengguna tidak mendapatkan jalur langsung menuju database.
Dengan pola tersebut, penyerang harus melewati beberapa kontrol apabila mereka ingin bergerak dari satu lapisan aplikasi menuju lapisan lainnya.
Management Network Perlu Mendapat Perlindungan Khusus.
Management interface memiliki tingkat akses yang tinggi terhadap infrastruktur.
Router, switch, firewall, hypervisor, wireless controller, server management, storage, dan perangkat lain biasanya menyediakan interface administrasi yang dapat mengubah konfigurasi sistem.
Karena itu, administrator sebaiknya memisahkan trafik management dari trafik pengguna biasa.
Sebagai contoh, hanya workstation administrator atau jump host tertentu yang dapat memperoleh akses menuju management VLAN.
Selanjutnya, administrator dapat membatasi protokol yang digunakan. Perusahaan tidak perlu membuka SSH, HTTPS management, SNMP, WinRM, atau protokol administrasi lainnya kepada seluruh jaringan jika hanya beberapa sistem yang membutuhkannya.
Dengan pendekatan tersebut, kompromi pada workstation biasa tidak langsung membuka jalur menuju seluruh management interface.
Selain itu, perusahaan dapat memonitor aktivitas pada jaringan management secara lebih ketat karena volume dan pola komunikasinya relatif lebih terbatas.
DMZ Memisahkan Layanan yang Menghadap Internet.
Perusahaan sering menjalankan layanan yang harus menerima koneksi dari internet.
Web server, reverse proxy, mail gateway, VPN gateway, atau layanan publik lainnya memiliki exposure yang berbeda dengan server internal.
Karena itu, perusahaan dapat menggunakan Demilitarized Zone atau DMZ untuk memberikan batas antara layanan publik dan jaringan internal.
Server di DMZ tidak seharusnya memiliki akses bebas menuju seluruh jaringan perusahaan.
Sebaliknya, administrator menentukan komunikasi spesifik yang benar-benar dibutuhkan. Sebagai contoh, sebuah frontend mungkin membutuhkan koneksi menuju backend tertentu, tetapi server tersebut tidak membutuhkan akses menuju workstation pengguna atau management network.
Dengan demikian, kompromi pada server yang menghadap internet menghadapi batas tambahan sebelum penyerang dapat menjangkau sistem internal.
Network Segmentation Membutuhkan Pemahaman terhadap Traffic Flow.
Segmentasi yang terlalu longgar tidak memberikan perlindungan yang cukup. Namun, segmentasi yang terlalu ketat tanpa pemahaman terhadap aplikasi juga dapat mengganggu operasional.
Karena itu, administrator perlu memahami traffic flow sebelum menerapkan policy.
Tim IT dapat memetakan komunikasi antara client, application server, database, authentication service, DNS, NTP, monitoring, backup, dan berbagai layanan lainnya.
Selanjutnya, administrator dapat menentukan komunikasi mana yang benar-benar diperlukan.
Pendekatan tersebut menghasilkan rule yang lebih terukur daripada membuka jaringan secara luas hanya karena administrator belum mengetahui dependency sebuah aplikasi.
Selain itu, baseline komunikasi membantu administrator mengenali aktivitas yang keluar dari pola normal.
Sebagai contoh, sebuah kamera CCTV yang tiba-tiba mencoba terhubung ke database internal tentu membutuhkan perhatian jika desain jaringan tidak pernah mengharuskan komunikasi tersebut.
Default Deny Membuat Policy Lebih Terukur.
Administrator dapat menggunakan prinsip default deny untuk membangun segmentasi yang lebih ketat.
Dengan pendekatan tersebut, sistem menolak komunikasi antarsegmen secara default. Kemudian, administrator hanya membuka koneksi yang memiliki kebutuhan operasional.
Sebagai contoh, administrator dapat mengizinkan application server mengakses database melalui port tertentu. Namun, jaringan lain tetap tidak dapat mencapai database tersebut.
Pendekatan tersebut berbeda dengan membuka seluruh komunikasi terlebih dahulu kemudian memblokir beberapa port yang dianggap berbahaya.
Dengan default deny, setiap rule memiliki alasan yang lebih jelas.
Namun, administrator membutuhkan dokumentasi dan pemetaan dependency yang baik sebelum menerapkannya. Jika tidak, rule yang terlalu ketat dapat memutus aplikasi penting.
Karena itu, tim IT sebaiknya menguji policy secara bertahap, memonitor trafik yang ditolak, kemudian memperbaiki rule berdasarkan kebutuhan aktual.
Microsegmentation Memberikan Kontrol yang Lebih Granular.
Network Segmentation tradisional biasanya membagi jaringan ke dalam zona atau subnet.
Namun, beberapa lingkungan membutuhkan pemisahan yang lebih detail.
Microsegmentation memungkinkan organisasi membentuk kelompok yang lebih kecil dan mengendalikan komunikasi antara workload, aplikasi, service, atau bahkan host tertentu.
Dengan pendekatan tersebut, perusahaan dapat mengurangi attack surface, membatasi lateral movement, dan meningkatkan visibility terhadap kelompok resource yang lebih kecil.
Namun, microsegmentation tidak berarti setiap perangkat harus memiliki segmen terpisah.
Administrator tetap perlu menyeimbangkan granularitas dengan kebutuhan operasional, kemampuan platform, dan kompleksitas pengelolaan.
Karena itu, perusahaan dapat memulai dari sistem yang memiliki risiko tinggi atau hubungan komunikasi yang jelas, kemudian meningkatkan granularitas secara bertahap.
Monitoring Memastikan Segmentasi Tetap Berfungsi.
Network Segmentation bukan konfigurasi yang administrator buat sekali kemudian mereka lupakan.
Aplikasi berubah. Server berpindah. Perusahaan menambah perangkat. Administrator membuka service baru. Selain itu, kebutuhan operasional dapat menghasilkan rule sementara yang kemudian tidak pernah mereka hapus.
Akibatnya, policy dapat mengalami configuration drift.
Karena itu, administrator perlu memonitor komunikasi antarsegmen dan meninjau rule secara berkala.
Tim IT kemudian dapat mencari rule yang terlalu luas, policy yang tidak lagi memiliki pemilik, service yang sudah tidak digunakan, atau komunikasi yang menyimpang dari baseline.
Dengan demikian, monitoring membantu mempertahankan efektivitas segmentasi ketika infrastruktur terus berkembang.
Network Segmentation Mengurangi Dampak Ketika Pencegahan Gagal.
Tidak ada kontrol keamanan yang dapat menjamin bahwa penyerang tidak pernah memperoleh akses ke suatu perangkat.
Pengguna dapat membuka attachment berbahaya. Sebuah aplikasi dapat memiliki vulnerability. Credential dapat bocor. Perangkat IoT dapat menjalankan firmware yang memiliki kelemahan.
Karena itu, perusahaan tidak hanya perlu memikirkan cara mencegah serangan masuk. Perusahaan juga perlu menentukan apa yang akan terjadi setelah satu sistem berhasil mengalami kompromi.
Di sinilah Network Segmentation memberikan nilai utama.
Segmentasi membatasi jalur yang tersedia bagi penyerang. Selain itu, segmentasi membantu perusahaan mengisolasi sistem sensitif, memisahkan perangkat dengan tingkat risiko berbeda, serta memberikan visibility yang lebih jelas terhadap komunikasi antarbagian jaringan.
Namun, perusahaan tetap membutuhkan desain yang tepat.
VLAN memberikan pemisahan logis, tetapi administrator tetap membutuhkan policy untuk mengendalikan komunikasi antarsegmen. Firewall dan ACL memberikan enforcement, tetapi administrator perlu memahami traffic flow agar rule tidak mengganggu aplikasi. Sementara itu, microsegmentation dapat memberikan kontrol lebih granular ketika lingkungan membutuhkan perlindungan yang lebih ketat.
Pada akhirnya, tujuan Network Segmentation bukan membuat jaringan menjadi rumit. Sebaliknya, Network Segmentation membuat setiap bagian jaringan hanya memiliki jalur komunikasi yang memang dibutuhkan.
Dengan pendekatan tersebut, perusahaan dapat membatasi ruang gerak penyerang, melindungi sistem yang lebih sensitif, dan mengurangi kemungkinan satu insiden berkembang menjadi kompromi terhadap seluruh infrastruktur.