Network Segmentation

Definisi

Network Segmentation adalah praktik membagi jaringan komputer menjadi beberapa segmen atau subnet yang lebih kecil. Setiap segmen berfungsi sebagai security zone dengan kebijakan akses yang berbeda. Tujuan utamanya adalah membatasi pergerakan lateral (lateral movement) attacker dan mengurangi blast radius jika satu segmen berhasil ditembus.

Metode Segmentasi

VLAN (Virtual Local Area Network)

VLAN memisahkan lalu lintas di layer 2 tanpa memerlukan switch fisik terpisah. Perangkat dalam VLAN yang sama dapat berkomunikasi seolah-olah berada di jaringan fisik yang sama, meskipun terpisah secara logis.

Keunggulan VLAN:

• Isolasi lalu lintas broadcast
• Fleksibilitas - pengelompokan berdasarkan departemen, fungsi, atau tingkat kepercayaan
• Konsolidasi infrastruktur tanpa mengorbankan keamanan

Contoh:

• VLAN 10 - IT Department (10.10.10.0/24)
• VLAN 20 - Finance (10.10.20.0/24)
• VLAN 30 - Guest (10.10.30.0/24)

Subnetting

Pembagian jaringan berdasarkan alamat IP dan subnet mask. Subnetting bekerja bersama VLAN - setiap VLAN biasanya memiliki subnet sendiri.

Rumus Dasar:

• /24 = 256 alamat (254 host)
• /25 = 128 alamat (126 host)
• /26 = 64 alamat (62 host)

Firewall Zones

Firewall modern (NGFW) mengorganisir interface dan VLAN ke dalam security zones - tiap zone memiliki tingkat kepercayaan yang berbeda:

Inter-zone policies: Default deny - lalu lintas antar zone harus diizinkan secara eksplisit melalui firewall rules.

Inter-VLAN Routing

Komunikasi antar VLAN terpisah tidak bisa terjadi tanpa router atau Layer 3 switch. Metode inter-VLAN routing:

1. Router-on-a-stick: Satu interface router dengan sub-interface untuk setiap VLAN
2. Layer 3 switch: Switch dengan kemampuan routing - lebih cepat dan efisien
3. Firewall: Firewall melakukan routing antar zone - sekaligus menegakkan security policy

Security best practice: Jangan pernah mengarahkan lalu lintas antar segmen tanpa inspeksi firewall. Gunakan firewall sebagai gateway antar VLAN, bukan Layer 3 switch biasa.

ACL (Access Control List) Antar Segmen

ACL digunakan untuk membatasi lalu lintas antar segmen. Contoh ACL pada router/L3 switch:

! Izinkan Finance akses ke database server (10.10.10.100) port 1433
access-list 100 permit tcp 10.10.20.0 0.0.0.255 host 10.10.10.100 eq 1433
! Izinkan HTTP/HTTPS dari DMZ ke internal (untuk update konten)
access-list 100 permit tcp 10.10.50.0 0.0.0.255 10.10.10.0 0.0.0.255 eq 443
! Deny semua traffic lain
access-list 100 deny ip any any

Prinsip: Whitelist - izinkan hanya lalu lintas yang diperlukan, blokir sisanya.

Separation of Duties dalam Jaringan

Network segmentation mendukung prinsip separation of duties - tidak ada satu entitas pun yang memiliki akses ke semua sumber daya:

• Finance team hanya dapat mengakses server ERP finance
• HR team hanya dapat mengakses sistem payroll dan HRIS
• Developer memiliki akses ke development environment tetapi tidak ke production
• System admin memiliki akses management network untuk administrasi server

PCI DSS Segmentation

PCI Data Security Standard (PCI DSS) mewajibkan segmentasi untuk melindungi data pemegang kartu kredit (cardholder data / CHD). Lingkungan yang disebut CDE (Cardholder Data Environment) harus diisolasi dari jaringan lain.

Manfaat Segmentasi PCI:

• Scope reduction: Hanya CDE yang perlu diaudit oleh QSA - non-CDE di luar scope audit
• Compliance cost: Semakin kecil CDE, semakin murah biaya compliance
• Simplified controls: Lebih mudah mengelola kontrol untuk scope kecil

Contoh: Server payment gateway di isolated VLAN dengan firewall ketat - tidak bisa diakses dari PC HR atau printer.

Benefits - Blast Radius Reduction

Network segmentation yang baik memberikan manfaat keamanan substansial:

1. Blast Radius Reduction

Jika attacker berhasil menembus satu segmen (misal: workstation marketing), ia tidak bisa secara otomatis mengakses server database finance atau HR. Lateral movement dibatasi.

2. Containment of Malware and Ransomware

Ransomware menyebar secara lateral melalui network shares, SMB, dan RDP. Segmentasi membatasi penyebaran - hanya host dalam satu segmen yang terinfeksi, bukan seluruh organisasi.

3. Traffic Isolation

Broadcast storm, ARP spoofing, dan DHCP rogue terbatas pada satu VLAN - tidak memengaruhi segmen lain.

4. Simplified Compliance

Segregasi lingkungan PCI, HIPAA, atau SOX memudahkan compliance audit.

5. Performance Optimization

Batas broadcast domain meningkatkan performa - perangkat hanya memproses broadcast dari segmennya sendiri.

Best Practices

1. Default deny - Tutup semua koneksi antar segmen; buka hanya yang diperlukan secara eksplisit
2. Minimize inter-VLAN routing - Semakin sedikit route, semakin aman
3. Use firewall for routing - Jangan gunakan switch L3 untuk percaya penuh; izinkan firewall mengontrol lalu lintas
4. Document every segment - Setiap VLAN harus memiliki dokumentasi: tujuan, isi, dan policy
5. Audit periodically - Review ACL dan firewall rules secara berkala
6. Log inter-segment traffic anomalies - Pantau lalu lintas yang mencurigakan antar segmen

Kesimpulan

Network segmentation adalah fondasi keamanan jaringan enterprise. Dengan membagi jaringan menjadi segmen-segmen yang terisolasi dan menerapkan kontrol akses ketat antar segmen, organisasi dapat secara drastis mengurangi risiko dari serangan yang berhasil menembus perimeter.