БЕЗ СЕГМЕНТАЦИИ (плоская сеть)
Фишинг открыт менеджером → через 4 часа атакующий в Production DB. Нет контуров на пути. Любой инцидент = масштабный.
С СЕГМЕНТАЦИЕЙ
Фишинг в Corporate → атакующий ищет путь в Management → каждый шаг = алерт → изоляция за 30 минут до Production.
FIREWALL-ПРАВИЛА МЕЖДУ ЗОНАМИ
CorporateManagementТолько через jump-сервер + MFA + сессионная запись
ManagementProductionТолько по утверждённому доступу по запросу (JIT — Just-In-Time / точно в срок)
DMZCorporateТолько определённые приложения через прокси + DPI (Deep Packet Inspection / глубокая инспекция пакетов)
ПАРАЛЛЕЛЬ: ФИЗИЧЕСКАЯ ОХРАНА
Внешний забор → рецепция с пропуском → корпоративный этаж → специальные зоны (бухгалтерия, серверная) → хранилище с двойным контролем.
Каждая зона имеет свои правила входа. Внешний охранник не имеет доступа в хранилище. Сотрудник бухгалтерии не имеет доступа в серверную.
В цифровой инфраструктуре это называется сегментацией. Принцип идентичный.