Przez te kilka tygodni ruch szedł wyłącznie wewnątrz firmy: ze stacji roboczej na serwer plików, stamtąd na kontroler domeny, czyli serwer przechowujący konta i hasła wszystkich pracowników, a z niego na zasób z kopiami zapasowymi. Firewall stał na brzegu sieci, a nic niepokojącego się do niego nie zbliżało, więc nie miał jak zareagować. Wszystko było w jednym kawałku sieci, bez granicy w środku, a te maszyny rozmawiały ze sobą tak swobodnie jak dwie osoby siedzące przy tym samym biurku.

Segmentacja sieci polega na podzieleniu tej przestrzeni na mniejsze kawałki i pilnowaniu, co może przechodzić między nimi. Traktujemy ją jako punkt wyjścia przy projektowaniu sieci, a nie zabezpieczenie dokładane później. Firewall, Zero Trust i wymagania NIS2 opierają się na założeniu, że w sieci w ogóle istnieją granice. Jeśli ich nie ma, nie ma czego pilnować.

Segmentacja sieci w jednym zdaniu

Segmentacja sieci to podział sieci firmowej na mniejsze, odseparowane części, między którymi ruch przechodzi wyłącznie tam, gdzie świadomie na to pozwoliliśmy.

Druga połowa tej definicji jest w tym przypadku ważniejsza niż pierwsza. Sam podział, bez reguł mówiących co może przejść, a co nie, porządkuje adresację i nic poza tym. Spotykamy się z tym często: sieć ma osiemnaście VLAN-ów, czyli osiemnaście osobnych kawałków, każdy ładnie opisany, a ruch między nimi przechodzi swobodnie, bez jednej reguły filtrującej. Każde urządzenie może się połączyć z każdym innym.

Segmentacja sieci zaczyna działać dopiero wtedy, gdy między tymi kawałkami stoi coś, co ruch sprawdza i decyduje, czy go przepuścić.

Po co dzielić sieć firmową

Powody bywają różne. W ramach ciekawostki: przez ostatnie dwadzieścia lat ich hierarchia zdążyła się odwrócić.

Ograniczenie zasięgu incydentu. Atak ransomware rozkłada się na tygodnie. Po wejściu na stację roboczą atakujący przegląda sieć, szuka folderów współdzielonych, kont technicznych, z których korzystają programy zamiast ludzi, oraz kontrolera domeny, a potem przesuwa się dalej na znalezionych po drodze hasłach. Segmentacja sieci nie powstrzyma samej infekcji, natomiast zamyka atakującego w tej części sieci, do której trafił. Daje też czas: w podzielonej sieci rozpoznanie wymaga przebijania się przez kolejne granice, a każda zablokowana próba zostawia ślad w dzienniku zdarzeń. W płaskiej sieci, czyli takiej bez wewnętrznych granic, te same tygodnie mijają bez jednego ostrzeżenia, bo nie ma go gdzie wygenerować.

Kontrola ruchu wewnętrznego. Ruch do internetu i z powrotem przechodzi przez firewall brzegowy, więc widać go w całości. Ruch między serwerami i stacjami roboczymi wewnątrz firmy nie przechodzi przez nic, a w środowiskach zwirtualizowanych bywa od tego pierwszego wielokrotnie większy. Segmentacja jest jedynym sposobem, żeby w ogóle został skontrolowany.

Wydajność. Dla tego akurat wymyślono kiedyś VLAN-y, a dziś są one najmniej istotne pod tym względem. W płaskiej sieci z tysiącem urządzeń część pasma zjadają komunikaty rozsyłane do wszystkich naraz, w rodzaju pytania “kto z was ma ten adres”. Współczesne przełączniki radzą sobie z tym bez trudu, więc jeśli ktoś sprzedaje segmentację sieci argumentem o wydajności, sprzedaje rozwiązanie problemu sprzed dwudziestu lat.

Audytowalność. Regułę wpisaną w firewall audytor zobaczy i sprawdzi. Politykę bezpieczeństwa musi przyjąć na słowo. Przy NIS2 ta różnica zaczyna mieć wymiar finansowy.

Jak faktycznie dzieli się sieć

VLAN, czyli podział na przełączniku

VLAN to sieć wydzielona na przełączniku programowo, bez ciągnięcia osobnego kabla. Przełącznik dokłada do każdej porcji danych mały znacznik z numerem VLAN-u i przekazuje ją dalej wyłącznie do gniazd przypisanych do tego samego numeru. Dwa komputery wpięte obok siebie w to samo urządzenie, ale w różnych VLAN-ach, w ogóle się nie widzą. Odpowiada za to standard 802.1Q.

Sam VLAN niczego nie zabezpiecza, on tylko rozdziela. Jego numer zapisany jest na dwunastu bitach, więc możliwych VLAN-ów jest 4094 i w naprawdę dużym środowisku ta pula zadziwiająco szybko się wyczerpuje. Przy niechlujnej konfiguracji da się go też obejść: kiedy przełączniki mają włączone automatyczne dogadywanie się co do ustawień gniazd (mechanizm DTP), atakujący potrafi podszyć się pod przełącznik i przeskoczyć między segmentami. U nas DTP jest wyłączony, a gniazda, do których wpinają się użytkownicy, mają przypisanie ustawione na sztywno albo nadawane po uwierzytelnieniu.

Podsieci i routing, czyli miejsce, w którym powstaje polityka

Skoro VLAN-y się nie widzą, to żeby księgowość dostała się do systemu ERP, ruch musi zostać przekazany między nimi przez urządzenie, które zna drogę. Nazywa się to routingiem i w tym właśnie miejscu rozstrzyga się, czy segmentacja cokolwiek daje.

Jeśli ruch między VLAN-ami przepuszcza przełącznik rdzeniowy, czyli centralne urządzenie, przez które przechodzi ruch całej firmy, i robi to bez żadnej kontroli po drodze, każdy nadal dociera do każdego, tylko z dodatkowym przystankiem po drodze. Segmentacja sieci pojawia się dopiero wtedy, gdy na tej drodze stoi coś, co ruch ogląda.

To najczęstsze nieporozumienie, na jakie trafiamy. W rozmowie “mamy segmentację” i “mamy VLAN-y” znaczą zwykle to samo, a technicznie są to dwie różne rzeczy.

Strefy bezpieczeństwa, czyli język, którym mówi firewall

Ponad VLAN-ami leży podział zrozumiały dla ludzi, a nie tylko dla przełączników. Strefa to zbiór segmentów o wspólnym poziomie zaufania i wspólnych regułach: strefa użytkowników, serwerowa, zarządzania, gości, urządzeń niezarządzanych.

Nazwy stref znaczą więcej, niż się wydaje, bo stają się językiem, w którym firma rozmawia o dostępach. Na pytanie “czy dział handlowy ma dostęp do strefy serwerowej” odpowie zarząd. Na pytanie “czy VLAN 240 ma trasę do 10.20.30.0/24” odpowie wyłącznie administrator i dlatego nikt takiego pytania nie zada.

Jak układamy to w praktyce, opisujemy przy okazji projektowania i wdrażania sieci LAN: podział sieci na rdzeń, dystrybucję i warstwę dostępową, do której wpinają się użytkownicy, segmentacja VLAN per dział i system oraz uwierzytelnianie 802.1X, czyli standard, w którym urządzenie musi się przedstawić, zanim w ogóle dostanie dostęp do sieci. Dzięki niemu o przynależności do segmentu decyduje tożsamość urządzenia, a nie gniazdko, do którego ktoś się wpiął.

Co to jest mikrosegmentacja

Mikrosegmentacja to segmentacja sieci doprowadzona do poziomu pojedynczej aplikacji albo maszyny wirtualnej. Reguła nie brzmi już “strefa serwerowa może rozmawiać ze strefą baz danych”, tylko “ta konkretna aplikacja może odpytać tę konkretną bazę”.

Jednostką przestaje być cała podsieć, a staje się pojedyncza maszyna wirtualna albo kontener, czyli jej odchudzona, lekka odmiana. Reguła trzyma się etykiety przypisanej do maszyny, nie jej adresu, więc maszyna oznaczona jako “produkcja/płatności” ma swoje uprawnienia niezależnie od tego, na którym serwerze fizycznie stoi. Sprawdzany jest przy tym ruch, który nigdy nie opuszcza serwera. Dwie maszyny wirtualne uruchomione na tej samej maszynie fizycznej rozmawiają przez wirtualny przełącznik, czyli programowy odpowiednik przełącznika działający w środku serwera, a firewall stojący w szafie obok nie zobaczy tego ruchu nigdy, bo nie dociera on nawet do kabla.

Stąd wzięła się mikrosegmentacja. Wirtualizacja przeniosła większość ruchu wewnętrznego do wnętrza serwerów i wyprowadziła go poza zasięg fizycznej sieci.

Jest przy tym droga i pracochłonna, a koszt siedzi w utrzymaniu, nie w licencjach. Żeby napisać regułę dla pojedynczej aplikacji, trzeba wiedzieć, które aplikacje z którymi faktycznie rozmawiają, a w firmie z piętnastoletnią infrastrukturą tej wiedzy zwykle nie ma. Widzieliśmy projekty, które utknęły na rozrysowywaniu tych zależności i skończyły regułą “pozwól na wszystko, tylko zapisuj”, czyli kosztem pełnego wdrożenia bez jego efektu.

Uważamy, że mikrosegmentacja ma sens dopiero wtedy, gdy podstawowa segmentacja sieci jest zrobiona, udokumentowana i przeglądana. Firma z płaską siecią powinna zacząć od pięciu stref i punktu kontroli między nimi.

Co pilnuje granic między segmentami

Podział rysuje się w projekcie, ale pilnuje go sprzęt.

Zacznijmy od nieporozumienia, na które trafiamy najczęściej. Przełączniki potrafią filtrować ruch listami reguł (fachowo: ACL) i bywa to mylone z kontrolą między segmentami. Taki filtr jest bezstanowy, czyli ogląda każdy pakiet osobno i nie wie, czy należy on do połączenia, na które ktoś wcześniej pozwolił. Firewall stanowy na przełączniku zdarza się rzadko, a jeśli już jest, w praktyce służy do ochrony dostępu do zarządzania samym przełącznikiem, nie do kontroli ruchu użytkowników. Listy reguł na przełączniku traktujemy więc jako higienę urządzenia, a nie jako granicę strefy.

Firewall nowej generacji. Kontrolę między strefami stawiamy na NGFW i w zdecydowanej większości wdrożeń jest to jedyne miejsce, w którym ta kontrola faktycznie się odbywa. Ruch z sieci użytkowników do strefy serwerowej trzeba oceniać po tym, jaka aplikacja go generuje, który użytkownik za nim stoi i czy nie próbuje wykorzystać znanej luki w oprogramowaniu. Czym NGFW różni się od klasycznego firewalla, opisaliśmy w osobnym wpisie: co to jest firewall i czym różni się od NGFW.

Różnicowanie zaczyna się na poziomie reguł, nie urządzeń. Ruch do serwerów i baz danych przepuszczamy przez głęboką inspekcję, bo tam warto zajrzeć do środka sesji. Ruch z komputerów do drukarek albo ze stanowiska ochrony do rejestratora monitoringu idzie po regule płytkiej, bo nie ma w nim czego szukać, a każda inspekcja kosztuje przepustowość. Głębokość ustawia się osobno dla każdej reguły i stąd bierze się rozsądny bilans wydajności, a nie z dokładania kolejnych urządzeń po drodze.

Wdrażamy tu Hillstone. StoneOS, czyli system tych urządzeń, pozwala wpiąć firewall w trybie transparentnym, to znaczy wstawić go w istniejącą ścieżkę ruchu bez zmiany adresów w sieci. W firmie, która ma działającą sieć i nie może przeadresować wszystkich urządzeń, bywa to jedyna droga do wprowadzenia kontroli między segmentami bez przestoju. Przydaje się też mechanizm wirtualnych systemów (VSYS): na jednym fizycznym urządzeniu można uruchomić kilka niezależnych firewalli logicznych, z osobnymi regułami i osobnymi administratorami, co ma znaczenie tam, gdzie strefa produkcyjna i biurowa mają różnych właścicieli.

Przy doborze modelu przepustowość liczy się z włączoną analizą ruchu i zapisywaniem zdarzeń, a nie z pierwszej liczby w karcie katalogowej. Ruch wewnątrz serwerowni bywa wielokrotnie większy od ruchu do internetu i to on wyznacza wymagania. Punktem wyjścia jest zmierzony ruch, nie deklarowana liczba użytkowników.

Warstwa wirtualizacji. Tu żyje mikrosegmentacja, a kontrolę sprawuje oprogramowanie zarządzające maszynami wirtualnymi na serwerze fizycznym. Hillstone ma do tego CloudHive, który sprawdza ruch między maszynami wirtualnymi wewnątrz jednego serwera, ale działa on na platformach VMware i OpenStack. W środowiskach XCP-ng, czyli na platformie wirtualizacyjnej, na której budujemy większość naszych wdrożeń, mikrosegmentację robimy inaczej: wydzielamy osobne sieci wirtualne dla grup maszyn i wyprowadzamy ruch między nimi na firewall. Wymaga to więcej dyscypliny przy zmianach i mówimy o tym na etapie projektu, a nie po wdrożeniu.

Dobór punktów kontroli, reguł i monitorowania prowadzimy w ramach zabezpieczeń sieciowych.

Segmentacja sieci a Zero Trust

Zero Trust bywa przedstawiany jako następca segmentacji sieci, co jest nieporozumieniem. Model ten zakłada, że samo miejsce podłączenia nie daje nikomu uprawnień i że każda próba dostępu jest sprawdzana osobno. Żeby to sprawdzanie miało gdzie się odbywać, w sieci muszą istnieć granice, a te tworzy właśnie segmentacja.

We wpisie o błędach we wdrożeniach Zero Trust pisaliśmy, że segmentacja per dział to za mało. Podział na działy odzwierciedla strukturę firmy, a nie ryzyko. W jednym dziale siedzi osoba obsługująca przelewy i osoba drukująca etykiety, a zagrożenia związane z jednym i drugim stanowiskiem nie mają ze sobą nic wspólnego. Granice w sieci powinny iść za rolą i systemem, do którego ktoś sięga.

Nie zmienia tego ZTNA, czyli model, w którym pracownik zdalny dostaje dostęp do pojedynczej aplikacji zamiast do całej sieci firmowej. ZTNA porządkuje pracę zdalną: zamiast wpuszczać pracownika połączeniem VPN do całej podsieci, publikujemy mu jedną aplikację i do reszty nie ma wglądu. Dla ruchu wewnątrz serwerowni nic się przez to nie zmienia.

Segmentacja sieci a NIS2

W dyrektywie NIS2 nie ma słowa “VLAN” ani “mikrosegmentacja”. Jest obowiązek zarządzania ryzykiem, stosowania środków ograniczających skutki incydentów i utrzymania ciągłości działania. Segmentacja odpowiada na wszystkie trzy, a przy tym należy do nielicznych zabezpieczeń, które audytor może zobaczyć na własne oczy. Politykę haseł da się opisać w dokumencie. Reguły na styku stref albo są wpisane w urządzenie, albo ich nie ma.

Polski harmonogram jest już konkretny. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa weszła w życie 3 kwietnia 2026 roku. Podmioty kluczowe i ważne, po przeprowadzeniu samooceny, mają czas do 3 października 2026 roku na złożenie wniosku o wpis do wykazu przez rządowy system S46. Na wdrożenie systemu zarządzania bezpieczeństwem informacji (SZBI, czyli uporządkowanego zestawu procedur i zabezpieczeń wraz z osobami za nie odpowiedzialnymi) jest dwanaście miesięcy od wejścia ustawy w życie, czyli czas do 3 kwietnia 2027 roku. Pierwszy audyt podmiot kluczowy musi przeprowadzić w ciągu dwudziestu czterech miesięcy, do 3 kwietnia 2028 roku, a kolejne co najmniej raz na trzy lata.

Wśród firm utrzymuje się przekonanie, że do 2028 roku i tak nic nie grozi. Ustawa wiąże kary pieniężne z konkretnymi zaniechaniami, między innymi z niewdrożeniem SZBI i z niezarejestrowaniem się w wykazie, a terminy tych obowiązków wypadają wcześniej niż pierwszy audyt.

Nowelizacja zmienia też, kto o tym rozmawia. Za realizację zadań z zakresu cyberbezpieczeństwa odpowiada osobiście kierownik podmiotu, można na niego nałożyć karę i musi przejść szkolenie. Rozszerzył się również katalog objętych sektorów, o produkcję, produkcję i dystrybucję żywności, gospodarowanie odpadami oraz odprowadzanie ścieków. W takich zakładach obok sieci biurowej stoi sieć produkcyjna ze sterownikami maszyn, których zwykle nie da się ani zaktualizować, ani wyposażyć w program ochronny, więc chroni je wyłącznie to, co je otacza.

Dziś, w sierpniu 2026 roku, na rejestrację zostały niecałe dwa miesiące, a na wdrożenie SZBI niespełna osiem. Przebudowa adresacji i ustawienie punktów kontroli w działającej sieci produkcyjnej mieszczą się w tym oknie, ale tylko przy starcie od razu. Jak rozłożyć to na etapy, rozpisaliśmy we wpisie o przygotowaniu do NIS2.

Siedem błędów, które spotykamy najczęściej

1. VLAN-y bez reguł. Podział jest, polityki nie ma. Najczęstszy i najbardziej mylący, bo daje pełne poczucie bezpieczeństwa.
2. Reguła “pozwól na wszystko” wpisana tymczasowo. Ktoś odblokował ruch, żeby zdiagnozować problem w piątek wieczorem. Reguła znajduje się trzy lata później, zwykle na samej górze listy, gdzie unieważnia wszystko poniżej.
3. Sieć zarządzania dostępna z sieci użytkowników. Panele administracyjne przełączników, firewalla i serwerów wystawione tam, gdzie stoi każdy laptop. Przejęcie jednej stacji daje wtedy dostęp do sterowania całą infrastrukturą.
4. Segmentacja per dział zamiast per rola i system. Odwzorowanie schematu organizacyjnego w sieci wygląda porządnie i nie chroni przed niczym konkretnym.
5. Kopie zapasowe w tej samej strefie co produkcja. Repozytorium dostępne z tych samych haseł i tej samej podsieci co serwery jest pierwszym celem atakującego.
6. Urządzenia, o których nikt nie pamięta. Drukarki, kamery, centrale telefoniczne, sterowniki klimatyzacji i systemy kontroli dostępu w sieci biurowej. Rzadko aktualizowane, często z fabrycznym hasłem, z pełnym dostępem do reszty sieci.
7. Brak dokumentacji i przeglądu. Reguł przybywa, nigdy nie ubywa. Po pięciu latach nikt nie wie, po co jest połowa z nich, więc nikt ich nie rusza.

Od czego zacząć

Inwentaryzacja. Nie da się podzielić sieci, w której nie wiadomo, co jest podłączone. Zaczynamy od pełnej listy urządzeń, systemów i osób odpowiedzialnych za każde z nich.

Mapa przepływów, w dwóch podejściach. Jest tu błędne koło: żeby firewall pokazał, co z czym rozmawia, musi już stać między segmentami, a żeby go tam postawić, trzeba wiedzieć, co z czym rozmawia. Rozbijamy to na etapy. Pierwszy podział powstaje z rozmów z właścicielami systemów i z dokumentacji producentów, jest zgrubny i świadomie niedoskonały. Dopiero kiedy NGFW stanie na styku stref i popracuje kilka tygodni w trybie notowania, dostajemy prawdziwe dane i na nich doprecyzowujemy granice. Prawie zawsze wychodzi wtedy kilka zależności, o których nikt w firmie nie wiedział.

Cztery do sześciu stref na start. Nie czterdzieści. Użytkownicy, serwery, zarządzanie, goście, urządzenia niezarządzane. Prosty podział, który da się utrzymać, jest wart więcej niż wyrafinowany, którego po pół roku nikomu nie chce się aktualizować.

Najpierw obserwacja, potem blokowanie. Reguły wchodzą najpierw w trybie notowania, zbierają dane przez kilka tygodni i dopiero potem zaczynają faktycznie blokować. Wdrożenie z dnia na dzień od razu w trybie blokującym kończy się awarią systemu produkcyjnego i utratą zaufania do całego projektu.

Nazewnictwo i dokumentacja od pierwszego dnia. Nazwa strefy, nazwa reguły, właściciel biznesowy, powód powstania i data przeglądu. To pięć minut przy tworzeniu i pięć godzin przy odtwarzaniu po fakcie.

Przegląd kwartalny. Reguły, z których przez kwartał nikt nie skorzystał, są kandydatem do usunięcia. Lista, która tylko rośnie, po kilku latach przestaje komukolwiek służyć.

Krótka samoocena

Jeśli na którekolwiek z pytań odpowiadasz “nie” albo “nie wiem”, masz gotowy punkt startu.

1. Czy ruch między siecią użytkowników a serwerami przechodzi przez urządzenie, które go sprawdza, czy tylko przez takie, które go przekazuje dalej?
2. Czy panele administracyjne infrastruktury są w osobnej strefie, niedostępnej z sieci użytkowników?
3. Czy repozytorium kopii zapasowych jest odseparowane od produkcji siecią i osobnymi hasłami?
4. Czy drukarki, kamery i urządzenia budynkowe mają własny segment?
5. Czy wiesz, ile reguł typu “pozwól na wszystko” jest dziś aktywnych w Twojej sieci?
6. Czy każda reguła ma właściciela i datę ostatniego przeglądu?
7. Czy o przynależności urządzenia do segmentu decyduje jego uwierzytelnienie, czy gniazdko w ścianie?
8. Czy potrafisz w piętnaście minut pokazać audytorowi, kto ma dostęp do systemów krytycznych?

Segmentacja sieci to decyzja projektowa

Segmentacji sieci się nie kupuje. Wynika z tego, jak sieć została zaprojektowana, i z tego, czy przez kolejne lata ktoś pilnuje, żeby reguły odpowiadały rzeczywistości. Firewall ją wykonuje. Zero Trust bez niej nie ma na czym stanąć, a NIS2 wyznacza termin, do którego trzeba to poukładać.

Projektujemy i przebudowujemy sieci firmowe pod kątem segmentacji sieci, od warstwy LAN po kontrolę na styku stref. Jeśli chcesz sprawdzić, jak to wygląda u Ciebie, zadzwoń: +48 12 210 02 82.