Materi
Jaringan yang aman tidak diperlakukan sebagai satu ruangan besar. Perangkat dikelompokkan ke dalam zona, yaitu kelompok dengan tingkat kepercayaan dan kebutuhan keamanan yang sama. CISA menyebut langkah ini segmentasi dan segregasi: segmen dipisahkan menurut peran dan fungsinya, sehingga penyusup yang sudah masuk ke satu segmen tidak bisa langsung berpindah ke host di segmen lain. Perpindahan itu disebut gerakan lateral. Rancangan segmen mengikuti hak minimum dan perlu-tahu.
Zona yang paling dikenal adalah DMZ. NIST SP 800-41 menggambarkannya sebagai antarmuka tersendiri pada firewall, tempat peladen yang harus bisa dibuka dari internet, seperti peladen web dan surel. Lalu lintas dari DMZ ke jaringan internal tetap melewati firewall dan aturannya, sehingga peladen web yang dibobol tidak otomatis membuka jalan ke basis data internal.
Kelas Jaringan Lanjutan sudah membahas cara membuat VLAN dan routing antar-VLAN. Dari sisi keamanan, VLAN baru menjadi batas kepercayaan bila perpindahan antar-VLAN melewati titik yang menerapkan aturan, misalnya firewall atau ACL VLAN. CISA merekomendasikan ACL VLAN yang menolak paket mengalir ke VLAN lain, dan SP 800-41 memberi contoh firewall di antara access point tamu dan jaringan internal agar tamu tidak mendapat hak seperti karyawan.
| Zona | Contoh isi | Boleh menjangkau (kebijakan contoh) |
|---|---|---|
| DMZ | Peladen web, peladen surel | Satu peladen internal, pada port yang disebut aturan |
| Internal staf | Laptop dan PC staf | Internet, DMZ, dan peladen internal yang dibutuhkan |
| Peladen internal | Basis data, peladen berkas | Hanya peladen pembaruan |
| Tamu | Ponsel dan laptop tamu | Internet saja |
| Manajemen | Antarmuka admin router, switch, firewall | Dijangkau hanya dari host admin |
