Segmentation Testing
Valide se os controles de segmentação de rede estão funcionando como esperado e impedem que um atacante se mova entre zonas críticas.
O que é Segmentation Testing?
O Segmentation Testing é uma avaliação que testa ativamente se os controles de segmentação de rede estão isolando corretamente as diferentes zonas da infraestrutura. Nossos especialistas tentam comunicação entre segmentos que deveriam ser isolados, identificando brechas em regras de firewall, ACLs e políticas de rede.
O Segmentation Testing é o único método confiável de confirmar que controles de isolamento de rede funcionam como projetados, especialmente após mudanças de infraestrutura.
Segmentação de rede que não é testada não pode ser confiada
Firewalls, VLANs e microsegmentação são controles fundamentais de segurança de rede. Mas regras mal configuradas, exceções acumuladas ao longo do tempo e mudanças não documentadas podem abrir brechas inesperadas entre zonas de rede que deveriam ser isoladas. Sem teste ativo, é impossível saber se a segmentação está funcionando como o planejado.
O problema é que organizações assumem que a segmentação de rede está funcionando porque foi configurada corretamente no passado. Mudanças de infraestrutura, exceções de regras e atualizações de equipamentos frequentemente introduzem brechas silenciosamente.
Por que realizar Segmentation Testing?
O Segmentation Testing valida controles que são assumidos, mas raramente verificados:
- Confirmação de que sistemas de cardholder data (PCI DSS) estão isolados da rede corporativa
- Validação de isolamento entre redes de usuários, servidores e sistemas críticos
- Identificação de brechas introduzidas por exceções de regras e mudanças não documentadas
- Teste de microssegmentação em ambientes cloud e on-premises
- Validação de isolamento de redes de OT/IoT de redes corporativas
- Evidência documentada de eficácia dos controles para auditorias de compliance
O PCI DSS exige Segmentation Testing como parte das avaliações periódicas para confirmar que o ambiente de cardholder data está devidamente isolado. A Vantico fornece o relatório necessário para essa demonstração.
Quem se beneficia com esse serviço
O PCI DSS Requirement 11.4.5 exige Segmentation Testing para confirmar o isolamento do ambiente de cardholder data.
Validar que redes de dispositivos industriais e IoT estão isoladas de redes corporativas e da internet.
Após mudanças significativas na infraestrutura de rede, validar que os controles de segmentação foram mantidos.
Validar que políticas de microssegmentação em ambientes cloud isolam os workloads como projetado.
Nosso processo
Por que escolher a Vantico
Verificação real do que está bloqueado e o que passa, não apenas revisão de regras de firewall.
Firewalls físicos e virtuais, VLANs, ACLs de cloud, NSGs do Azure, Security Groups da AWS.
Documentação específica para atender ao Requirement 11.4.5 do PCI DSS.
Descoberta de regras de exceção que criaram brechas não documentadas ao longo do tempo.
Resultados dos testes por par de segmentos, com brechas identificadas e recomendações de correção.
Orientação técnica para correção das brechas identificadas sem impactar a operação.
Auditoria de segurança validada por padrões globais
Nossas práticas seguem metodologias reconhecidas internacionalmente, garantindo que sua empresa esteja em conformidade com normas de segurança e preparada para enfrentar ameaças reais.
Relatórios e entregas
O relatório de Segmentation Testing inclui a matriz de testes realizados (origem, destino, porta/protocolo, resultado esperado, resultado obtido), as brechas identificadas com impacto e recomendações de correção. O relatório é estruturado para atender aos requisitos do PCI DSS quando aplicável.
Modelo de Relatório Carta de Atestado
Perguntas frequentes
Os testes são projetados para minimizar qualquer impacto. Utilizamos técnicas não intrusivas e definimos janelas de manutenção para testes que possam gerar tráfego significativo.
Sim. O relatório é estruturado para atender ao Requirement 11.4.5 do PCI DSS e pode ser apresentado a QSAs em auditorias de conformidade.
O PCI DSS exige pelo menos uma vez por ano e após qualquer mudança significativa no ambiente. Para ambientes dinâmicos, recomendamos frequência maior.