3.3 Micro-Segmentation Design¶
3.3.1 SGT-Based Segmentation Matrix¶
┌─────────────────────────────────────────────────────────────────────────────┐
│ SGACL ENFORCEMENT MATRIX │
├─────────────────────────────────────────────────────────────────────────────┤
│ │
│ ┌─────────────────────────────────────────────────────────────────────┐ │
│ │ │ EMP │ EXEC │ CONT │ VOICE│ PRNT │GUEST │ IOT │ CAM │SRV-P│ │
│ │ │ (10) │ (11) │ (15) │ (20) │ (30) │ (40) │ (50) │ (70) │ (80)│ │
│ ├────────┼──────┼──────┼──────┼──────┼──────┼──────┼──────┼──────┼─────┤ │
│ │EMP (10)│ ── │ ── │ ── │ VOICE│PRINT │ X │ X │ X │ SRV │ │
│ ├────────┼──────┼──────┼──────┼──────┼──────┼──────┼──────┼──────┼─────┤ │
│ │EXEC(11)│ ── │ ── │ ── │ VOICE│PRINT │ X │ X │ VIEW │ SRV │ │
│ ├────────┼──────┼──────┼──────┼──────┼──────┼──────┼──────┼──────┼─────┤ │
│ │CONT(15)│ X │ X │ ── │ VOICE│PRINT │ X │ X │ X │ DEV │ │
│ ├────────┼──────┼──────┼──────┼──────┼──────┼──────┼──────┼──────┼─────┤ │
│ │VOICE(20│VOICE │VOICE │VOICE │ ── │ X │ X │ X │ X │ UC │ │
│ ├────────┼──────┼──────┼──────┼──────┼──────┼──────┼──────┼──────┼─────┤ │
│ │PRNT(30)│ X │ X │ X │ X │ ── │ X │ X │ X │PRNT │ │
│ ├────────┼──────┼──────┼──────┼──────┼──────┼──────┼──────┼──────┼─────┤ │
│ │GUEST(40│ X │ X │ X │ X │ X │ INET │ X │ X │ X │ │
│ ├────────┼──────┼──────┼──────┼──────┼──────┼──────┼──────┼──────┼─────┤ │
│ │IOT (50)│ X │ X │ X │ X │ X │ X │ ── │ X │ IOT │ │
│ ├────────┼──────┼──────┼──────┼──────┼──────┼──────┼──────┼──────┼─────┤ │
│ │CAM (70)│ X │VIEW │ X │ X │ X │ X │ X │ ── │ NVR │ │
│ ├────────┼──────┼──────┼──────┼──────┼──────┼──────┼──────┼──────┼─────┤ │
│ │QUAR(999│REMED │REMED │REMED │ X │ X │ X │ X │ X │ X │ │
│ └────────┴──────┴──────┴──────┴──────┴──────┴──────┴──────┴──────┴─────┘ │
│ │
│ LEGEND: │
│ ── = Same SGT (no policy needed) │
│ X = DENY ALL (implicit) │
│ VOICE = Voice protocols only (SIP, RTP) │
│ PRINT = Print protocols only (9100, IPP, LPD) │
│ SRV = Server access (HTTP, HTTPS, SSH, RDP) │
│ DEV = Dev servers only (limited) │
│ UC = Unified Comm servers (CUCM, Unity) │
│ INET = Internet only (via proxy) │
│ IOT = IoT platform only │
│ VIEW = RTSP view only │
│ NVR = NVR server only │
│ REMED = Remediation portal only │
│ │
└─────────────────────────────────────────────────────────────────────────────┘
3.3.2 SGACL Definitions¶
SGACL: Employee to Server
! ============================================================
! SGACL: EMPLOYEES-TO-SERVERS
! Source: SGT-EMPLOYEES (10)
! Destination: SGT-SERVERS-PROD (80)
! ============================================================
ip access-list role-based EMPLOYEES-TO-SERVERS
remark Allow standard server access
permit tcp any any eq 22 ! SSH
permit tcp any any eq 443 ! HTTPS
permit tcp any any eq 3389 ! RDP
permit tcp any any eq 445 ! SMB
permit tcp any any eq 1433 ! MSSQL
permit tcp any any eq 3306 ! MySQL
permit tcp any any eq 8443 ! App servers
permit icmp any any ! ICMP for diagnostics
deny ip any any log ! Deny and log all else
SGACL: Voice Endpoints
! ============================================================
! SGACL: VOICE-TO-UC-SERVERS
! Source: SGT-VOICE (20)
! Destination: SGT-SERVERS-PROD (80)
! ============================================================
ip access-list role-based VOICE-TO-UC-SERVERS
remark Allow voice protocols only
permit tcp any any eq 2000 ! SCCP
permit tcp any any eq 2443 ! SCCP Secure
permit tcp any any range 5060 5061 ! SIP
permit udp any any range 5060 5061 ! SIP UDP
permit udp any any range 16384 32767 ! RTP media
permit tcp any any eq 8443 ! CUCM admin
permit tcp any any eq 6970 ! TFTP
permit udp any any eq 69 ! TFTP
deny ip any any log
SGACL: Guest Internet Only
! ============================================================
! SGACL: GUESTS-TO-INTERNET
! Source: SGT-GUESTS (40)
! Destination: UNKNOWN (egress to internet)
! ============================================================
ip access-list role-based GUESTS-TO-INTERNET
remark Allow internet access via proxy
permit tcp any host 10.100.100.10 eq 8080 ! Web proxy
permit tcp any host 10.100.100.10 eq 443 ! HTTPS proxy
permit udp any any eq 53 ! DNS
deny ip any 10.0.0.0 0.255.255.255 log ! Block RFC1918
deny ip any 172.16.0.0 0.15.255.255 log
deny ip any 192.168.0.0 0.0.255.255 log
deny ip any any log
SGACL: Quarantine Remediation
! ============================================================
! SGACL: QUARANTINE-REMEDIATION
! Source: SGT-QUARANTINE (999)
! Destination: Any
! ============================================================
ip access-list role-based QUARANTINE-REMEDIATION
remark Allow remediation only
permit udp any any eq 53 ! DNS
permit udp any any eq 67 ! DHCP
permit tcp any host 10.252.100.50 eq 8443 ! ISE remediation
permit tcp any host 10.252.100.50 eq 8905 ! Posture agent
permit tcp any host 10.100.50.10 eq 443 ! Patch server
deny ip any any log