Segmentierung interaktiv planen.

Netzwerk-Segmentierung ist eine der wirksamsten Massnahmen für OT- und IT-Sicherheit. Und sie lässt sich zugleich besonders leicht schlecht planen. Zonen, VLANs, Kommunikationsbeziehungen, Firewall-Regeln, ein Betriebsmodell, Zuständigkeiten, eine realistische Roadmap. Die meisten Teams versuchen, all das in einer Tabelle und einem Visio-Diagramm zu führen, die nie dafür gemacht wurden.

Warum ein Tool, keine Tabelle

Ein Segmentierungskonzept ist kein einzelnes Artefakt. Es ist ein Zonenmodell, ein VLAN- und Subnetz-Plan, eine Kommunikationsmatrix, ein daraus abgeleitetes Firewall-Regelwerk, ein Betriebsmodell mit Rollen und Verantwortlichkeiten und eine Umsetzungs-Roadmap, und all das muss zueinander konsistent bleiben. Sobald sich eine Zone ändert, sollten Matrix, Regeln und Roadmap mitziehen. Tabellen und Zeichenwerkzeuge leisten das nicht.

Die narrowin Segmentation Toolbox ist eine browserbasierte Planungsumgebung, die genau dafür gebaut ist. Sie ist dieselbe Toolbox, zu der der Konfig-Parser der Firewall-Regelbereinigung gehört, hier als Ganzes betrachtet. Drei Prinzipien ziehen sich durch:

Drei Bereiche, ein Ziel

Die Toolbox deckt den gesamten Planungsprozess ab: vom technischen Netzwerk-Design über das organisatorische Betriebsmodell bis zur Umsetzungs-Roadmap. Sie ist in drei Bereiche gegliedert, jeder mit eigenem Werkzeugsatz.

Festlegen, was mit was sprechen darf

Sobald die Zonen existieren, ist die zentrale Frage, welche von ihnen kommunizieren dürfen und über welche Protokolle. Die Kommunikationsmatrix macht diese Entscheidung explizit: Jedes Zonenpaar erhält ein bewusstes Urteil, und das Ergebnis ist die massgebliche Referenz, aus der das Firewall-Regelwerk abgeleitet wird.

Die Matrix unten ist ein funktionierendes Beispiel mit acht Purdue-Zonen auf Basis der eigenen Demodaten der Toolbox. Wählen Sie eine Zelle, um die über diese Zonengrenze erlaubten Protokolle zu sehen.

Mehr als ein Netzwerkdiagramm

Segmentierungsprojekte scheitern selten an der Technik. Sie scheitern an der Organisation: niemand hat definiert, wem eine Zone gehört, wer einen neuen Kommunikationspfad genehmigt oder was passiert, wenn ein Gerät ins Netz kommt. Ein sauberes Zonenmodell ohne Betriebsmodell dahinter ist innerhalb weniger Monate veraltet.

Deshalb behandelt die Toolbox das Betriebsmodell als gleichrangigen Bereich, nicht als nachträglichen Zusatz. Sie bildet Rollen und Teams, Prozesse, eine RACI-Matrix und FTE-Kapazität auf die segmentierte Infrastruktur ab, damit das Design einen Verantwortlichen hat, bevor es eine einzige Regel hat.

Eine Roadmap, die sich tatsächlich umsetzen lässt

Ein vollständiges Segmentierungskonzept umfasst selten weniger als dreissig Arbeitspakete über mehrere Quartale: von der Netzwerkdokumentation über Zonendesign und Firewall-Bereinigung bis zu NAC, Monitoring und Compliance. Als ein Block geplant, gerät es ins Stocken.

Der Roadmap-Planer bringt eine Vorlage mit, «Network Security & Resilience», mit 34 Arbeitspaketen in acht Kategorien. Jedes Paket trägt einen Verantwortlichen, eine Bewertung von Aufwand gegen Nutzen, seine Abhängigkeiten und ein Zielquartal. Die Prioritäten folgen Risiko und Aufwand (Quick Wins zuerst), und der Fortschritt wird pro Kategorie verfolgt, nicht nur pro Quartal.

Einstieg in ein gewachsenes Netz

Die meisten Segmentierungsprojekte starten nicht auf der grünen Wiese. Sie starten in Netzen mit organisch gewachsenen VLANs, undokumentierten Kommunikationspfaden und geerbten Firewall-Regeln. Die Toolbox ist genau dafür gebaut: nicht als Greenfield-Designer, sondern als Planungswerkzeug, das den Bestand ernst nimmt, in drei Schritten.

Was es praxistauglich macht

Die Toolbox ist bewusst leichtgewichtig, wo sie es sein kann, damit Planungsarbeit nie an Installation, Lizenzen oder einem Server hängenbleibt.

Häufig gestellte Fragen