Segmentation

劃分網路，建立會應得限制潛在攻擊者活動的孤立部分。
主要的型態：

• Physical segmentation 實體分割：
  用 routers，switches 佮 firewalls ka 網路分割成較小的部分，像在城堡內蓋不仝款的房間，逐間房間有伊單一的 access control。
  這一个方法適合有多元網路需求的大企業，用來隔開敏感資料和重要系統。

• Virtual Local Area Networks(VLANs)：
  佇一个 switch 內底建立 logical 網路分割。這一個方法根據功能抑是部門 ka 裝置分組，來降低 broadcast 交通，佮加強網路效率。

• Subnetting：
  ka 一个 IP 網路分割成較小的 subnetworks，逐个 subnetworks 攏有一个 subnet mask。
  Subnet Segmentation 根據 similar 目的抑是資安需求 ka 裝置分組，hō͘ 網路管理變較簡單。
  這一个方法保證有效率使用 IP addresses 佮改進網路效能。

• Micro-segmentation：
  ka 資安政策應用到個人工作量抑是裝置懸頂。
  Micro-segmentation 對雲端環境佮資料中心來講是 chiâⁿ 重要的，伊對 traffic flows 提供細密控制，預防網路威脅者的橫向活動。

使用 segmentation 的原因：

• Enhanced security
• Access control
• Compliance requirements
• Performance optimization
• Isolation of critical systems
• Scalability and agility

Access Control

完成這項工作的兩個因素：

• Access Control List(ACL)
• Permissions

Application Allow List

Application Block List

Isolation

Patching

Encryption

Monitoring

兩个 real-time 監視系統：

• Security Information and Event Management(SIEM)
• Security Orchestration, Automation, and Response

Least Privilege

Configuration Enforcement

方法：

• Standardization
• Vulnerability mitigation
• Compliance adherence
• Automation

Decommissioning

Hardening Techniques

• Encryption
• Endpoint protection solutions
• disabling ports/protocols
• default password changes
• removal of unnecessary software