--- id: CP-228 slug: segmentacja-sieci-vlan-mikrosegmentacja lang: pl title: Segmentacja sieci i VLAN a ransomware description: Podział sieci na strefy (VLAN, wewnętrzne zapory, mikrosegmentacja) ogranicza ransomware. Co robi pracownik, by ten podział działał. canonical_url: https://startbrain.io/cyberpedia/pl/articles/segmentacja-sieci-vlan-mikrosegmentacja/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/segmentacja-sieci-vlan-mikrosegmentacja.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Segmentacja sieci i VLAN a ransomware”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/segmentacja-sieci-vlan-mikrosegmentacja/ (CC BY 4.0) wing: 3 theme: browse_safely reflex: cr-079 schema: G3 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/segmentacja-sieci-vlan-mikrosegmentacja/ fr: https://startbrain.io/cyberpedia/fr/articles/segmentation-reseau-vlan-micro-segmentation/ en: https://startbrain.io/cyberpedia/en/articles/network-segmentation-vlan-micro-segmentation/ de: https://startbrain.io/cyberpedia/de/articles/netzwerksegmentierung-vlan-mikrosegmentierung/ es: https://startbrain.io/cyberpedia/es/articles/segmentacion-red-vlan-microsegmentacion/ it: https://startbrain.io/cyberpedia/it/articles/segmentazione-rete-vlan-microsegmentazione/ nl: https://startbrain.io/cyberpedia/nl/articles/netwerksegmentatie-vlan-microsegmentatie/ pt: https://startbrain.io/cyberpedia/pt/articles/segmentacao-rede-vlan-microssegmentacao/ sources: - "n": 1 title: Data Encrypted for Impact, Technique T1486 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1486/ accessed: "2026-11-03" - "n": 2 title: "#StopRansomware Guide | CISA" publisher: CISA url: https://www.cisa.gov/stopransomware/ransomware-guide accessed: "2026-11-03" - "n": 3 title: Network Segmentation, Mitigation M1030 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1030/ accessed: "2026-11-03" - "n": 4 title: Zero trust architecture design principles publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles accessed: "2026-11-03" - "n": 5 title: SP 800-207, Zero Trust Architecture | CSRC publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/207/final accessed: "2026-11-03" - "n": 6 title: Remote Services, Technique T1021 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1021/ accessed: "2026-11-03" - "n": 7 title: "Remote Services: SMB/Windows Admin Shares, Sub-technique T1021.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1021/002/ accessed: "2026-11-03" - "n": 8 title: Exploitation of Remote Services, Technique T1210 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1210/ accessed: "2026-11-03" - "n": 9 title: Lateral Tool Transfer, Technique T1570 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1570/ accessed: "2026-11-03" --- # Segmentacja sieci i VLAN a ransomware Ransomware rzadko poprzestaje na pierwszym zainfekowanym komputerze. Według MITRE ATT&CK oprogramowanie szyfrujące może rozprzestrzeniać się w sieci na wzór robaka, aby zaszyfrować dane na wielu maszynach i zwiększyć szkody [1]. Podział sieci na szczelne strefy jest jedną z odpowiedzi na to ryzyko. Ta strona wyjaśnia, co oznaczają pojęcia VLAN, wewnętrzna zapora sieciowa i mikrosegmentacja, co pracownik może zrobić, aby ten podział działał, oraz jakie pułapki czynią go nieskutecznym. ## W 30 sekund - Gdzie to się zdarza: w wewnętrznej sieci firmy, gdy stanowisko lub konto zostanie przejęte. - Czego chce atakujący: przechodzić z jednej maszyny na kolejne, aby zaszyfrować jak najwięcej danych [1]. - Jeśli już się stało: proszę od razu powiadomić dział IT lub bezpieczeństwa, który odizoluje stanowisko; na prośbę tego działu proszę odłączyć kabel lub wyłączyć Wi-Fi [2]. - Odruch: proszę nie podłączać żadnych nieautoryzowanych urządzeń ani nośników, korzystać z sieci przeznaczonej do swojej pracy i szybko zgłaszać stanowisko, które zachowuje się dziwnie, aby można je było odizolować. ## Pytania wprost ### Czym jest segmentacja sieci? To podział sieci na mniejsze, odizolowane segmenty, aby kontrolować ruch między urządzeniami, systemami i aplikacjami. MITRE ATT&CK wskazuje, że zmniejsza to powierzchnię ataku, spowalnia przemieszczanie się atakującego i chroni zasoby krytyczne [3]. ### Czym są VLAN i wewnętrzna zapora sieciowa? MITRE ATT&CK opisuje separację składającą się z granic fizycznych, logicznego rozdziału za pomocą VLAN oraz reguł dostępu egzekwowanych przez urządzenia takie jak zapory sieciowe i routery [3]. VLAN jest więc rozdziałem logicznym, a wewnętrzna zapora kontroluje, co przechodzi z jednego segmentu do drugiego. ### A mikrosegmentacja? To ta sama zasada, zastosowana na poziomie każdego obciążenia roboczego. MITRE ATT&CK zaleca narzędzia sieci definiowanej programowo, aby segmentować na tym poziomie i zapobiegać ruchowi bocznemu [3]. ### Dlaczego dotyczy to pracownika? Ponieważ segmentację może obejść błąd użytkownika. CISA zaznacza, że może ona stać się nieskuteczna, gdy nie przestrzega się zasad organizacji, na przykład przez podłączenie nośnika wymiennego lub innych urządzeń do kilku segmentów [2]. ## Jak to działa Zasada polega na grupowaniu systemów według funkcji, wrażliwości i ryzyka. MITRE ATT&CK podaje jako przykłady systemy płatności, bazy danych HR, systemy produkcyjne i serwery wystawione do Internetu [3]. Serwery WWW, DNS i poczty dostępne z zewnątrz umieszcza się w strefie zdemilitaryzowanej (DMZ), z surowymi regułami filtrowania w stronę sieci wewnętrznej [3]. Reguły opierają się na zasadzie domyślnej odmowy: listy kontroli dostępu na urządzeniach sieciowych oraz zapory, które ograniczają zarówno ruch między światem zewnętrznym a siecią wewnętrzną, jak i ruch między maszynami wewnętrznymi [3]. MITRE ATT&CK zaleca też rozdzielenie sieci Wi-Fi i przewodowej, zwłaszcza gdy sieć przewodowa daje dostęp do wrażliwych zasobów [3]. CISA zaleca rozdzielenie usług lub działów organizacji oraz oddzielenie klasycznej informatyki od systemów przemysłowych. Jej poradnik przedstawia schemat sieci „płaskiej” (niesegmentowanej) i schemat sieci segmentowanej [2]. Brytyjskie NCSC idzie dalej z modelem „zero trust”: zaufanie wynikające z samej sieci zostaje usunięte, sieć uznaje się za wrogą, a każde żądanie jest weryfikowane według polityki dostępu [4]. Według NIST takie podejście przenosi obronę z statycznych perymetrów na użytkowników, aktywa i zasoby [5]. NIST podkreśla, że zero trust chroni zasoby, a nie segmenty sieci [5]. ## Co Pan/Pani robi - Proszę nie podłączać nieautoryzowanych urządzeń, ani do gniazda sieciowego, ani do komputera. CISA wymienia podłączanie nośników wymiennych lub urządzeń do kilku segmentów jako przyczynę porażki segmentacji [2]. - Proszę korzystać z sieci przeznaczonej do swojej pracy. MITRE ATT&CK zaleca rozdzielenie środowisk Wi-Fi i przewodowego, gdy to drugie daje dostęp do wrażliwych zasobów [3]. - Proszę szybko zgłosić podejrzane stanowisko do działu IT lub bezpieczeństwa, który w skoordynowany sposób izoluje zaatakowane systemy. Na prośbę tego działu proszę odłączyć kabel sieciowy lub wyłączyć Wi-Fi: CISA przedstawia odłączenie urządzeń jako rozwiązanie zastępcze, gdy nie można ich od razu wyłączyć z sieci [2]. - Proszę nie wyłączać komputera na własną rękę bez polecenia. CISA wskazuje, że odcięcie zasilania powoduje utratę śladów w pamięci i stosuje się je tylko wtedy, gdy rozłączenie jest inaczej niemożliwe [2]. ## Pułapki Sieć płaska. Gdy wszystko komunikuje się ze wszystkim, jedno przejęte stanowisko otwiera dostęp do reszty. MITRE ATT&CK zauważa, że mając ważne dane uwierzytelniające domeny, atakujący może łączyć się z wieloma maszynami przez protokoły zdalnego dostępu, takie jak SSH czy RDP [6]. VLAN bez filtrowania. Samo rozdzielenie nie wystarcza, jeśli nic nie kontroluje przepływu. MITRE ATT&CK wymaga reguł zapory blokujących ruch RDP między strefami bezpieczeństwa oraz domyślnej odmowy na listach kontroli dostępu [3]. Zaleca też regularny przegląd reguł, monitorowanie przepływów i testowanie segmentacji okresowymi testami penetracyjnymi [3]. Zbyt szerokie reguły. MITRE ATT&CK zaleca zezwalać tylko na niezbędne porty i ruch [3]. Reguła, która przepuszcza wszystko, odbiera strefie sens. Administracja bez wydzielenia. Ukryte udziały administracyjne Windows (C$, ADMIN$, IPC$) umożliwiają zdalne kopiowanie plików i inne funkcje administracyjne, a atakujący może z nich korzystać na ważnym koncie administratora [7]. W przypadku WinRM MITRE ATT&CK radzi izolować krytyczne enklawy za pomocą osobnej infrastruktury i ograniczać dostęp do wskazanych urządzeń [3]. Podatne serwery dostępne zewsząd. Znane luki występują w popularnych usługach, takich jak SMB i RDP, a także w aplikacjach wewnętrznych, takich jak MySQL [8]. MITRE ATT&CK zaleca segmentację, aby ograniczyć dostęp do systemów krytycznych do metod kontrolowanych [3]. Kopiowanie narzędzi z maszyny na maszynę. Atakujący może kopiować pliki między systemami wewnętrznymi za pomocą protokołów udostępniania, takich jak SMB, lub uwierzytelnionego połączenia RDP [9]. ## Rzeczywiste przypadki ### 2016: atak na ukraińską sieć energetyczną Według MITRE ATT&CK podczas ataku na ukraińską sieć energetyczną w 2016 roku grupa Sandworm Team użyła polecenia net use do połączenia z udziałami sieciowymi [7]. Cytowane tu źródła nie podają więcej szczegółów tego epizodu. ### Kampania APT28 „Nearest Neighbor” MITRE ATT&CK podaje, że podczas kampanii „Nearest Neighbor” APT28 użyło SMB do przesyłania plików i przemieszczania się bocznego [7]. Cytowane tu źródła nie podają daty tej kampanii. ## Źródła 1. MITRE ATT&CK, „Data Encrypted for Impact, Technique T1486 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1486/ (dostęp 3 listopada 2026) 2. CISA, „#StopRansomware Guide | CISA”. https://www.cisa.gov/stopransomware/ransomware-guide (dostęp 3 listopada 2026) 3. MITRE ATT&CK, „Network Segmentation, Mitigation M1030 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/mitigations/M1030/ (dostęp 3 listopada 2026) 4. NCSC (Royaume-Uni), „Zero trust architecture design principles”. https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles (dostęp 3 listopada 2026) 5. NIST, „SP 800-207, Zero Trust Architecture | CSRC”. https://csrc.nist.gov/pubs/sp/800/207/final (dostęp 3 listopada 2026) 6. MITRE ATT&CK, „Remote Services, Technique T1021 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1021/ (dostęp 3 listopada 2026) 7. MITRE ATT&CK, „Remote Services: SMB/Windows Admin Shares, Sub-technique T1021.002 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1021/002/ (dostęp 3 listopada 2026) 8. MITRE ATT&CK, „Exploitation of Remote Services, Technique T1210 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1210/ (dostęp 3 listopada 2026) 9. MITRE ATT&CK, „Lateral Tool Transfer, Technique T1570 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1570/ (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/segmentacja-sieci-vlan-mikrosegmentacja/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.