| name | configuring-microsegmentation-for-zero-trust |
| description | 为零信任架构配置微隔离（Microsegmentation），在应用层对工作负载之间实施最小权限访问，防止横向移动，替代传统 VLAN 分段方式。 |
| domain | cybersecurity |
| subdomain | security-operations |
| tags | ["cybersecurity"] |
| version | 1.0 |
| author | mahipal |
| license | Apache-2.0 |
为零信任配置微隔离
domain: cybersecurity
subdomain: zero-trust-architecture
author: mahipal
tags: [zero-trust, microsegmentation, network-access, lateral-movement, network-security]
difficulty: advanced
estimated_time: 4-6 hours
prerequisites:
- 理解零信任原则（NIST SP 800-207）
- 了解网络分段概念
- 熟悉防火墙和 SDN 技术
- 具备 VMware NSX、Illumio、Guardicore 或 Cisco ACI 使用经验
概述
微隔离（Microsegmentation）将网络划分为细粒度安全区域，在应用层对工作负载之间执行最小权限访问，而非依赖传统的基于 VLAN 的分段方式。在零信任架构中，微隔离消除了同一网段内工作负载之间的隐式信任，即使攻击者获得初始访问权限后也能阻止横向移动。
本技能涵盖使用工作负载身份设计微隔离策略、实施基于主机和基于网络的执行，以及使用 Illumio Core 和 VMware NSX 等工具验证分段有效性。
架构
微隔离模型
- 基于网络（VMware NSX、Cisco ACI）：在 hypervisor 或网络结构层面执行的分布式防火墙规则
- 基于主机（Illumio、Guardicore）：使用 iptables/WFP 规则在操作系统层面基于 Agent 执行
- 基于容器（Calico、Cilium）：在 Kubernetes 的 Pod/容器层面执行网络策略
- 基于应用（Zscaler Workload Segmentation）：基于软件身份而非 IP 地址的身份分段
执行点
传统分段 微隔离
┌─────────────────┐ ┌──────────────────────┐
│ VLAN 10 │ │ 工作负载 A ←策略→ │
│ ┌───┐ ┌───┐ │ │ 工作负载 B ←策略→ │
│ │ A │ │ B │ │ │ 工作负载 C ←策略→ │
│ └───┘ └───┘ │ │ 工作负载 D ←策略→ │
│ （互信） │ │ （每对之间零信任） │
└─────────────────┘ └──────────────────────┘
关键概念
应用依赖映射
在创建分段策略之前，使用流量遥测发现工作负载之间的实际通信流。Illumio、Guardicore 和 AppDynamics 等工具提供应用依赖映射，显示哪些工作负载在哪些端口上进行通信以及通信频率。
策略建模
在执行前以监控/可见性模式起草策略。这允许验证建议的规则不会中断合法流量，同时识别不必要或有风险的通信路径。
基于标签的策略
现代微隔离使用标签（角色、应用、环境、位置）而非基于 IP 的规则。基于标签的策略在不同环境之间可移植，并在迁移期间 IP 变更时仍然有效。
环形隔离（Ring-Fencing）
对关键应用（PCI 持卡人数据环境、SWIFT 金融系统、医疗 PHI）使用严格的允许列表策略进行隔离，拒绝所有未明确允许的流量。
流程
阶段 1：发现与映射
-
部署可见性 Agent
- 在所有工作负载（服务器、虚拟机、容器）上安装轻量级 Agent
- 配置 Agent 向管理控制台报告实时流量遥测
- 允许 2-4 周的流量收集以构建全面的流量图
-
构建应用依赖映射
- 在管理控制台中审查自动发现的通信流
- 识别应用层次：Web 服务器、应用服务器、数据库、中间件
- 映射合法通信路径并标记意外连接
- 为合规范围记录数据流（PCI、HIPAA）
-
分配标签
- 创建标签分类体系：角色（Web、App、DB）、应用（ERP、CRM）、环境（生产、开发、预发布）、位置（dc1、aws-east）
- 通过管理控制台或 API 为所有工作负载应用标签
- 根据 CMDB 和应用负责人输入验证标签准确性
阶段 2：策略设计
-
定义分段区域
- 环境隔离：生产环境无法与开发环境通信
- 层次隔离：数据库层只接受来自应用层的连接
- 应用环形隔离：PCI 应用与非 PCI 工作负载隔离
- 管理访问：跳板服务器是唯一的管理路径
-
创建允许列表策略
- 为每个应用定义所需通信的明确允许规则
- 尽可能使用基于标签的规则而非基于 IP 的规则
- 在支持的情况下包含进程级别限制（例如，只允许 httpd 使用 443 端口）
- 对所有未列出的通信设置默认拒绝
-
在测试模式下建模策略
- 在可见性/测试模式下启用策略（不执行）
- 监控可能被阻断的合法流量
- 根据 1-2 周的测试结果优化策略
- 执行前获取应用负责人的确认
阶段 3：执行
-
增量执行
- 从最隔离、风险最低的应用开始
- 将策略从测试模式切换到执行模式
- 在最初 24-48 小时内监控应用问题
- 验证后继续处理下一个应用
-
验证分段
- 运行渗透测试，尝试在段之间横向移动
- 验证被阻断的流量在管理控制台中生成告警
- 测试紧急覆盖程序（Break-glass）
- 记录每个应用区域的执行状态
阶段 4：运营维护
- 持续策略管理
- 与 CI/CD 集成：从部署管道自动标记新工作负载
- 每周审查策略违规并调查异常
- 应用变更或新服务部署时更新策略
- 每季度进行分段有效性审查
验证检查清单
参考资料
- NIST SP 800-207：零信任架构
- CISA 零信任成熟度模型 v2.0 — 网络支柱
- Illumio Core 管理指南
- VMware NSX 分布式防火墙配置指南
- Forrester 零信任扩展（ZTX）框架
