Микросегментация
Деление сети на очень мелкие изолированные зоны — вплоть до отдельных рабочих нагрузок и серверов — с детальными правилами трафика между ними, чтобы атакующий, взломавший одну систему, не мог свободно добраться до остальных.
Традиционная защита сети смотрит на периметр (трафик «север–юг», внутрь и наружу), а внутри сеть часто плоская: проникнув туда, злоумышленник свободно движется вбок — это трафик «восток–запад» между серверами. Микросегментация применяет принцип наименьших привилегий к внутреннему трафику: каждая нагрузка может общаться ровно с тем, что ей нужно (например, «веб-сервер ходит в базу на порт 5432, и больше никуда»). Реализуется хостовыми файрволами, политиками гипервизора и SDN (VMware NSX) или сетевыми политиками Kubernetes. Скомпрометированный сервер превращается в изолированный островок, а не в плацдарм для всей сети, — «радиус поражения» резко сокращается. Это ядро модели zero trust. От грубой VLAN-сегментации отличается детализацией: границы проходят по рабочим нагрузкам, а не по подсетям. См. также ZTNA и латеральное перемещение.