En meget anvendt teknik til at forbedre sikkerheden i virksomhedsnetværk er at opdele dem i mindre segmenter efter afdeling. Kommunikationen mellem disse subnet overvåges, kontrolleres og logges af firewall-routere. Angribere og malware, der har held til at trænge ind i et af subnettene, forhindres i at sprede sig yderligere af pakkefiltre. En måde at øge sikkerheden yderligere på er målrettet isolering af individuelle systemer og funktionsenheder i deres eget netværkssegment. Det beskytter effektivt selv meget sårbare enheder.

Segmentering: Opdeling i sikre undernet

Internetprotokollen (IP) gør det muligt at udveksle data på tværs af netværksgrænser. De oplysninger, der er indkapslet i IP-pakker, sendes til deres destination gennem forskellige routere.

Netværksadministratorer udnytter denne routingegenskab til at opdele virksomhedsnetværk i undernetværk, som er forbundet med hinanden. De administrative computere er tildelt management-subnettet, og selv produktionsmaskinerne får deres eget netværkssegment, ligesom desktop-maskinerne i R&D-afdelingen.

Hvert af disse netværkssegmenter er forbundet til det omgivende virksomhedsnetværk via en router. Al kommunikation mellem subnettene går gennem routerne.

Pakkefiltre giver større sikkerhed

Det giver mening at analysere de forbipasserende datapakker i routeren og kun sende tilladte datapakker videre.

Det kan f.eks. være i virksomhedsledelsens interesse at give medarbejdere i administrationsafdelingen fri adgang til hjemmesider på internettet, men samtidig lade deres følsomme data, som f.eks. lønsedler eller kontrakter, forblive utilgængelige på virksomhedens netværk og internet. Disse gøres tilgængelige i Windows-netværket via fil- og printerdeling.

Et pakkefilter installeret på routeren analyserer, om den forbipasserende netværkstrafik indeholder forbindelser, der kan bruges til fil- og printerdeling. Det er TCP-forbindelser til port 139 og 445. Hvis pakkefilteret opdager IP-pakker, der indeholder TCP-kommunikation med disse porte, sendes de ikke videre, men afvises. Mens fil- og printerdeling fortsat fungerer inden for subnettet til administration, kan det ikke krydse segmentgrænser.

Der er heller ikke adgang til filer som f.eks. lønsedler fra andre netværkssegmenter.

En router, der filtrerer datastrømmen på denne måde, kaldes en firewall-router eller bare en firewall.

Ø-organisering: Målrettet segmentering af individuelle systemer

Firewall-reglerne for store subnet kan hurtigt blive forvirrende og komplicerede. Hvis de er for generøst dimensionerede, kan de udnyttes af angribere. Hvis de laves for smalle, kan det medføre funktionsbegrænsninger. Hver terminalenhed i et segment er også en mulig kilde til uønsket adgang.

Især enheder og systemer med et stort behov for beskyttelse – såsom værktøjsmaskiner, medicinsk udstyr, men også ældre kontrolcomputere eller dem med forældet software – har ofte kendte, udnyttelige sikkerhedshuller, som ikke længere opdages af regler.

Islandization betyder, at disse særligt sårbare systemer i netværket identificeres og ved hjælp af firewalls som Microwall isoleres i deres eget netværkssegment – en sikker ø. De nødvendige forbindelser mellem systemerne på øen og det omgivende netværk er fastlagt på forhånd og beskrevet ved hjælp af en positivliste over regler. Kun udtrykkeligt tilladte datapakker sendes videre, alle andre afvises og logges om nødvendigt. Isolerede systemer er derfor effektivt beskyttet mod angreb fra hackere eller malware såvel som mod menneskelige fejl.

Kun et lille antal systemer er placeret på disse sikre øer. Fordi de er beskyttet af et snævert beskrevet og opgavebestemt regelsæt, sikrer islandization en markant forbedret sikkerhed.

Islandization med Microwall er let at implementere og øger effektivt sikkerhedsniveauet i virksomhedens netværk. Det er især en fordel for mindre virksomheder, hvor den besværlige segmentering efter afdeling ikke er besværet værd.