Сегментация сети простыми словами: почему бухгалтерия не должна видеть склад
Сеть и файрвол · 13.02.2026 · обновлено 14.10.2026 · 11 мин чтения · Команда НПП РЕКОРД
В большинстве офисов сеть плоская: каждый компьютер, принтер и камера видят друг друга и серверы. Для вируса это подарок — заразил одну машину, добрался до всех. Разбираем, что такое сегментация сети, какие зоны выделить в типичной компании, как настроить правила между ними, что даёт микросегментация и как внедрить всё поэтапно, не останавливая работу.
Коротко. Сегментация — это разделение сети компании на зоны (сегменты), между которыми трафик проходит только по разрешённым правилам. В плоской сети шифровальщик с одного заражённого компьютера добирается до всех серверов и копий, в сегментированной — упирается в границу зоны. Типичные зоны: серверы, рабочие места по отделам, администрирование, резервные копии, гостевой Wi-Fi, камеры и IoT. Делят сеть виртуальными сетями (VLAN), а правила между зонами задают на межсетевом экране. Начинать стоит с отделения серверов, резервных копий и гостевого Wi-Fi.
В большинстве офисов сеть плоская: все компьютеры, принтеры, камеры и серверы находятся в одной сети и видят друг друга. Так проще настроить, и всё «просто работает». Проблема в том, что для злоумышленника это тоже «просто работает»: захватив компьютер менеджера через фишинговое письмо, он сразу видит сервер 1С, файловое хранилище и резервные копии.
Плоская сеть — рай для вируса. Сегментация делит её на зоны с контролем переходов
Почему плоская сеть опасна
Классический пример — атака NotPetya в 2017 году. Вредоносная программа распространялась по сетям компаний сама, от компьютера к компьютеру, и за считанные часы выводила из строя тысячи машин. Пострадавшие международные компании, в том числе логистический гигант Maersk, оценили ущерб в сотни миллионов долларов. Главным усилителем ущерба была возможность беспрепятственно перемещаться по сети.
Современные вымогатели действуют так же, только руками: после входа они перемещаются между машинами в поисках администраторских учётных записей, серверов и резервных копий. Это называют горизонтальным перемещением, и сегментация — главный способ его затруднить.
Какие зоны выделить
| Зона | Что в ней | Кто и куда имеет доступ |
|---|---|---|
| Серверы | 1С, СУБД, файловые серверы, почта | Рабочие места — только к нужным сервисам по нужным портам |
| Рабочие места по отделам | Компьютеры бухгалтерии, продаж, склада | Друг к другу — нет, к серверам — только к нужным |
| Администрирование | Компьютеры администраторов, серверы управления | Единственная зона, откуда можно управлять серверами |
| Резервные копии | Хранилища копий | Только система копирования, без доступа с рабочих мест |
| Гостевой Wi-Fi | Устройства гостей и личные телефоны | Только интернет, без доступа в рабочую сеть |
| Камеры, принтеры, IoT | Устройства, которые редко обновляются | Только к своим серверам, без доступа к рабочим местам |
| Демилитаризованная зона (DMZ) | Сервисы, опубликованные в интернет: сайт, почтовый шлюз | Из интернета — к ним, из них во внутреннюю сеть — по минимуму |
Совет. Камеры, принтеры и другие «умные» устройства — частая незаметная дверь: их редко обновляют, у них бывают пароли по умолчанию. Вынесите их в отдельную зону, из которой нельзя попасть к рабочим компьютерам и серверам.
Как это устроено технически
- Виртуальные сети (VLAN) на коммутаторах делят одну физическую сеть на несколько логических.
- Межсетевой экран между зонами пропускает только разрешённый трафик: например, из зоны бухгалтерии — только к серверу 1С и только к нужному порту.
- Отдельные сети Wi-Fi (SSID) для сотрудников, гостей и устройств, привязанные к своим VLAN.
- Журналирование трафика между зонами: попытки выйти за разрешённые правила — сигнал о проблеме.
Микросегментация: следующий шаг
Обычная сегментация делит сеть на крупные зоны. Микросегментация идёт дальше: правила задаются для каждого сервера или даже приложения, часто прямо в платформе виртуализации или средствами защиты рабочих станций. Например, сервер 1С может принимать подключения только от серверов приложений и терминальных серверов, а не от всей серверной зоны. Это сложнее в настройке, но почти полностью перекрывает горизонтальное перемещение внутри зон.
Как внедрить без остановки работы
- Составить карту сети: какие устройства есть, какие сервисы кому нужны.
- Начать с самого важного: отделить гостевой Wi-Fi и вынести резервные копии в отдельную зону без доступа с рабочих мест.
- Выделить серверную зону и разрешить к ней только нужные подключения.
- Вынести камеры, принтеры и IoT в отдельную зону.
- Создать зону администрирования и запретить управление серверами из других зон.
- Разделить рабочие места по отделам, если отделам незачем видеть друг друга.
- Включить журналирование и пересматривать правила при изменениях.
Важно. Не включайте строгие правила «одним рубильником». Сначала правила работают в режиме журналирования, чтобы увидеть, какие подключения действительно нужны, и только потом начинают блокировать. Иначе в понедельник утром перестанут печатать принтеры и открываться общие папки.
| Ошибка | Чем опасна |
|---|---|
| VLAN есть, а правил между ними нет — «всё разрешено» | Сегментация только на бумаге |
| Резервные копии в одной сети с рабочими местами | Шифровальщик удалит копии вместе с данными |
| Гостевой Wi-Fi в рабочей сети | Телефон гостя видит серверы |
| Администрирование с любого компьютера | Захват любой машины даёт путь к управлению |
Сегментация не мешает взлому случиться, но не даёт ему стать катастрофой. Один заражённый компьютер в отделе продаж должен оставаться проблемой одного компьютера, а не всей компании.
Частые вопросы
Что такое сегментация сети простыми словами?
Разделение сети компании на зоны, между которыми трафик проходит только по разрешённым правилам. Например, гости видят только интернет, бухгалтерия — только сервер 1С, а резервные копии недоступны с рабочих компьютеров.
Зачем нужна сегментация сети?
Чтобы ограничить распространение атаки. В плоской сети шифровальщик с одного компьютера добирается до всех серверов и резервных копий, а в сегментированной упирается в границу зоны. Сегментация также упрощает контроль и выполнение требований регуляторов.
Чем VLAN отличается от сегментации?
VLAN — технический способ разделить сеть на логические части на коммутаторах. Сегментацией это становится, когда между VLAN настроены правила на межсетевом экране. VLAN без правил «всё разрешено» не защищает.
Какие зоны выделить в сети небольшой компании?
Минимум: серверы, рабочие места, резервные копии, гостевой Wi-Fi и камеры с принтерами. Дальше — зона администрирования, разделение отделов и демилитаризованная зона для сервисов, опубликованных в интернет.
Что такое микросегментация?
Более детальная сегментация, при которой правила задаются для отдельных серверов и приложений, а не для крупных зон. Например, сервер 1С принимает подключения только от определённых серверов. Это почти полностью перекрывает перемещение злоумышленника внутри сети.
Как внедрить сегментацию, не сломав работу?
Поэтапно: составить карту сети, начать с гостевого Wi-Fi, резервных копий и серверов, сначала включать правила в режиме журналирования, чтобы увидеть нужные подключения, и только потом блокировать лишнее.
Теги: сеть, сегментация, VLAN, безопасность, межсетевой экран, шифровальщик