Cyberpediaod Brain
PLDEENESFRITNLPT

Segmentacja sieci i VLAN a ransomware

Podział sieci na strefy (VLAN, wewnętrzne zapory, mikrosegmentacja) ogranicza ransomware. Co robi pracownik, by ten podział działał.

W 30 sekund

Gdzie to się zdarza
W wewnętrznej sieci firmy, gdy stanowisko lub konto zostanie przejęte.
Czego chce atakujący
Przechodzić z jednej maszyny na kolejne, aby zaszyfrować jak najwięcej danych1.
Jeśli już się stało
Proszę od razu powiadomić dział IT lub bezpieczeństwa, który odizoluje stanowisko; na prośbę tego działu proszę odłączyć kabel lub wyłączyć Wi-Fi2.
Odruch
Proszę nie podłączać żadnych nieautoryzowanych urządzeń ani nośników, korzystać z sieci przeznaczonej do swojej pracy i szybko zgłaszać stanowisko, które zachowuje się dziwnie, aby można je było odizolować.

O co chodzi

Ransomware rzadko poprzestaje na pierwszym zainfekowanym komputerze. Według MITRE ATT&CK oprogramowanie szyfrujące może rozprzestrzeniać się w sieci na wzór robaka, aby zaszyfrować dane na wielu maszynach i zwiększyć szkody1. Podział sieci na szczelne strefy jest jedną z odpowiedzi na to ryzyko.

Ta strona wyjaśnia, co oznaczają pojęcia VLAN, wewnętrzna zapora sieciowa i mikrosegmentacja, co pracownik może zrobić, aby ten podział działał, oraz jakie pułapki czynią go nieskutecznym.

Pytania wprost

Czym jest segmentacja sieci?

To podział sieci na mniejsze, odizolowane segmenty, aby kontrolować ruch między urządzeniami, systemami i aplikacjami. MITRE ATT&CK wskazuje, że zmniejsza to powierzchnię ataku, spowalnia przemieszczanie się atakującego i chroni zasoby krytyczne3.

Czym są VLAN i wewnętrzna zapora sieciowa?

MITRE ATT&CK opisuje separację składającą się z granic fizycznych, logicznego rozdziału za pomocą VLAN oraz reguł dostępu egzekwowanych przez urządzenia takie jak zapory sieciowe i routery3. VLAN jest więc rozdziałem logicznym, a wewnętrzna zapora kontroluje, co przechodzi z jednego segmentu do drugiego.

A mikrosegmentacja?

To ta sama zasada, zastosowana na poziomie każdego obciążenia roboczego. MITRE ATT&CK zaleca narzędzia sieci definiowanej programowo, aby segmentować na tym poziomie i zapobiegać ruchowi bocznemu3.

Dlaczego dotyczy to pracownika?

Ponieważ segmentację może obejść błąd użytkownika. CISA zaznacza, że może ona stać się nieskuteczna, gdy nie przestrzega się zasad organizacji, na przykład przez podłączenie nośnika wymiennego lub innych urządzeń do kilku segmentów2.

1Jak to działa1 min

Zasada polega na grupowaniu systemów według funkcji, wrażliwości i ryzyka. MITRE ATT&CK podaje jako przykłady systemy płatności, bazy danych HR, systemy produkcyjne i serwery wystawione do Internetu3. Serwery WWW, DNS i poczty dostępne z zewnątrz umieszcza się w strefie zdemilitaryzowanej (DMZ), z surowymi regułami filtrowania w stronę sieci wewnętrznej3.

Reguły opierają się na zasadzie domyślnej odmowy: listy kontroli dostępu na urządzeniach sieciowych oraz zapory, które ograniczają zarówno ruch między światem zewnętrznym a siecią wewnętrzną, jak i ruch między maszynami wewnętrznymi3. MITRE ATT&CK zaleca też rozdzielenie sieci Wi-Fi i przewodowej, zwłaszcza gdy sieć przewodowa daje dostęp do wrażliwych zasobów3.

CISA zaleca rozdzielenie usług lub działów organizacji oraz oddzielenie klasycznej informatyki od systemów przemysłowych. Jej poradnik przedstawia schemat sieci „płaskiej” (niesegmentowanej) i schemat sieci segmentowanej2.

Brytyjskie NCSC idzie dalej z modelem „zero trust”: zaufanie wynikające z samej sieci zostaje usunięte, sieć uznaje się za wrogą, a każde żądanie jest weryfikowane według polityki dostępu4. Według NIST takie podejście przenosi obronę z statycznych perymetrów na użytkowników, aktywa i zasoby5. NIST podkreśla, że zero trust chroni zasoby, a nie segmenty sieci5.

2Co Pan/Pani robi1 min
  • Proszę nie podłączać nieautoryzowanych urządzeń, ani do gniazda sieciowego, ani do komputera. CISA wymienia podłączanie nośników wymiennych lub urządzeń do kilku segmentów jako przyczynę porażki segmentacji2.
  • Proszę korzystać z sieci przeznaczonej do swojej pracy. MITRE ATT&CK zaleca rozdzielenie środowisk Wi-Fi i przewodowego, gdy to drugie daje dostęp do wrażliwych zasobów3.
  • Proszę szybko zgłosić podejrzane stanowisko do działu IT lub bezpieczeństwa, który w skoordynowany sposób izoluje zaatakowane systemy. Na prośbę tego działu proszę odłączyć kabel sieciowy lub wyłączyć Wi-Fi: CISA przedstawia odłączenie urządzeń jako rozwiązanie zastępcze, gdy nie można ich od razu wyłączyć z sieci2.
  • Proszę nie wyłączać komputera na własną rękę bez polecenia. CISA wskazuje, że odcięcie zasilania powoduje utratę śladów w pamięci i stosuje się je tylko wtedy, gdy rozłączenie jest inaczej niemożliwe2.
3Pułapki1 min

Sieć płaska. Gdy wszystko komunikuje się ze wszystkim, jedno przejęte stanowisko otwiera dostęp do reszty. MITRE ATT&CK zauważa, że mając ważne dane uwierzytelniające domeny, atakujący może łączyć się z wieloma maszynami przez protokoły zdalnego dostępu, takie jak SSH czy RDP6.

VLAN bez filtrowania. Samo rozdzielenie nie wystarcza, jeśli nic nie kontroluje przepływu. MITRE ATT&CK wymaga reguł zapory blokujących ruch RDP między strefami bezpieczeństwa oraz domyślnej odmowy na listach kontroli dostępu3. Zaleca też regularny przegląd reguł, monitorowanie przepływów i testowanie segmentacji okresowymi testami penetracyjnymi3.

Zbyt szerokie reguły. MITRE ATT&CK zaleca zezwalać tylko na niezbędne porty i ruch3. Reguła, która przepuszcza wszystko, odbiera strefie sens.

Administracja bez wydzielenia. Ukryte udziały administracyjne Windows (C$, ADMIN$, IPC$) umożliwiają zdalne kopiowanie plików i inne funkcje administracyjne, a atakujący może z nich korzystać na ważnym koncie administratora7. W przypadku WinRM MITRE ATT&CK radzi izolować krytyczne enklawy za pomocą osobnej infrastruktury i ograniczać dostęp do wskazanych urządzeń3.

Podatne serwery dostępne zewsząd. Znane luki występują w popularnych usługach, takich jak SMB i RDP, a także w aplikacjach wewnętrznych, takich jak MySQL8. MITRE ATT&CK zaleca segmentację, aby ograniczyć dostęp do systemów krytycznych do metod kontrolowanych3.

Kopiowanie narzędzi z maszyny na maszynę. Atakujący może kopiować pliki między systemami wewnętrznymi za pomocą protokołów udostępniania, takich jak SMB, lub uwierzytelnionego połączenia RDP9.

4Rzeczywiste przypadki1 min

2016: atak na ukraińską sieć energetyczną

Według MITRE ATT&CK podczas ataku na ukraińską sieć energetyczną w 2016 roku grupa Sandworm Team użyła polecenia net use do połączenia z udziałami sieciowymi7. Cytowane tu źródła nie podają więcej szczegółów tego epizodu.

Kampania APT28 „Nearest Neighbor”

MITRE ATT&CK podaje, że podczas kampanii „Nearest Neighbor” APT28 użyło SMB do przesyłania plików i przemieszczania się bocznego7. Cytowane tu źródła nie podają daty tej kampanii.

Karta

Identyfikator
CP-228
Skrzydło
3. Protokoły i obrona
Kompetencja Brain
Bezpiecznie przeglądać sieć (browse_safely)
Odruch Brain
cr-079
Schemat
G3 · Przekrój anatomiczny
Języki
de, en, es, fr, it, nl, pl, pt
Źródła
Źródła sprawdzone 3 listopada 2026: 9
ŹródłaŹródła: 9
  1. MITRE ATT&CK, „Data Encrypted for Impact, Technique T1486 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1486/ (dostęp 3 listopada 2026)
  2. CISA, „#StopRansomware Guide | CISA”. https://www.cisa.gov/stopransomware/ransomware-guide (dostęp 3 listopada 2026)
  3. MITRE ATT&CK, „Network Segmentation, Mitigation M1030 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/mitigations/M1030/ (dostęp 3 listopada 2026)
  4. NCSC (Royaume-Uni), „Zero trust architecture design principles”. https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles (dostęp 3 listopada 2026)
  5. NIST, „SP 800-207, Zero Trust Architecture | CSRC”. https://csrc.nist.gov/pubs/sp/800/207/final (dostęp 3 listopada 2026)
  6. MITRE ATT&CK, „Remote Services, Technique T1021 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1021/ (dostęp 3 listopada 2026)
  7. MITRE ATT&CK, „Remote Services: SMB/Windows Admin Shares, Sub-technique T1021.002 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1021/002/ (dostęp 3 listopada 2026)
  8. MITRE ATT&CK, „Exploitation of Remote Services, Technique T1210 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1210/ (dostęp 3 listopada 2026)
  9. MITRE ATT&CK, „Lateral Tool Transfer, Technique T1570 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1570/ (dostęp 3 listopada 2026)

Zacytuj ten artykuł

Brain, „Segmentacja sieci i VLAN a ransomware”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/segmentacja-sieci-vlan-mikrosegmentacja/

BibTeX 
@misc{brain_cp228_pl_2026,
  author = {Brain},
  title = {Segmentacja sieci i VLAN a ransomware},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pl/articles/segmentacja-sieci-vlan-mikrosegmentacja/},
  note = {CC BY 4.0}
}
Licencja CC BY 4.0