什么是微分段？

网络策略实施是您针对 IT 环境设置的一组规则，用于确保您对访问权限和通信的控制。这可能就像将生产和开发彼此分离开来以避免人为错误一样简单。更具体的策略实施规则有助于满足合规性要求，例如将 CDE 一直隔离，以确保网络的其余部分处在 PCI DSS 合规性要求范围之外。

传统上，数据中心策略引擎很不灵活，依赖于“要么全部，要么完全不”的严格方法，或没有设置例外条件的全局拒绝列表。随着工作负载变得越来越动态，越来越多的企业开始采用混合云，灵活的策略引擎将必不可少。这些策略应当支持自动扩缩，随工作负载的具体情况而变化，并且在创建时不依赖于平台。

策略创建过程首先要求对您的业务和安全目标有强烈的认识。在微分段策略方面，需要找到一个平衡点。太死板，则最终可能会造成环境僵化，使得员工很难自由自主地工作。太灵活，则会造成攻击面扩大，很不安全。

获取 IT 环境的全面实时概况有助于您深入了解分段策略的实施方式和实施位置。这种情况下，您可以选择将策略实施到第 7 层而非传统的第 4 层的解决方案，从而获得更大的安全优势。即使您的边界遭到入侵，合适的策略也可以阻止或转移攻击者，使其无法在您的网络中横向移动。

微分段和应用程序发现——了解准确操作的上下文

用于交付应用程序的基础架构和技术正在经历重大转变，因此 IT 和网络安全团队在保持对所有应用程序活动的时间点和历史认知方面将面临更大的挑战。只有借助跨企业所有环境和应用程序交付技术的应用程序发现过程，才能实现卓越的安全保护、合规性态势和应用程序性能水平。

有效的应用程序发现过程包括四个基本要素。

1. 第一个要素是数据收集。您可以使用各种基于代理和基于网络的技术来收集有关本地和云环境中的应用程序活动的详细信息。这两种技术都提供了重要的价值，但基于代理的收集尤其重要，因为它可以收集到更丰富的第 7 层详细信息。

2. 如果没有上下文，则原始数据本身的价值有限，因此应用程序发现的第二个关键要素是企业和标记。Akamai Guardicore Segmentation 等解决方案可通过与现有数据源交互并采用其他自动化方法简化这一过程。

3. 有效应用程序发现的第三步是可视化。可视化将具有上下文信息的数据整合到一个适应性强的可视化界面中，该界面对安全团队和其他应用程序利益相关者很重要。应用程序活动的实时视图和历史视图各有不同的用途，因此实施支持这两种数据类型的可视化方法非常重要。

4. 应用程序发现方法的第四个也是最后一个关键要素是方法应清晰直观，在通过更强的应用程序监测能力获得洞察力的基础上采取相应操作。这是应用程序发现和微分段之间的战略交叉点。

显然，微分段是保护网络的未来发展趋势。微分段不仅能够应对边界侵蚀，而且还能够节省成本和人力。但是，成功的微分段部署不可能一蹴而就。第一次实施微分段时，需要经过深思熟虑和完备的事先筹划才能妥善部署。

您需要彻底考虑各种事项，才能为成功的微分段部署奠定基础。

首先，您要了解需要分段的对象。您的微分段部署将反映您的需求，因此请确定您是出于降低一般风险还是出于满足合规性的原因实施分段。接下来，处理短期目标，然后处理长期目标，设定微分段基线来保护您的资产。

一旦完成，就能彻底了解您的部署环境，但要认识到您的初步了解并不全面。随着您了解更多相关信息，您可以（且应当）添加更多内容。正确标记资产至关重要。此外，标记过程的灵活性也很关键，因为标签需要尽可能准确地反映您的环境。最后，确定您的信息来源并规划从中提取信息的方法。

这些步骤将确保您成功部署可靠且富有成效的微分段。

混合云数据中心、SaaS 和 IaaS 以及虚拟化的兴起导致 IT 基础架构复杂化，难以对其进行保护。相应地，对于在此类动态环境中开展业务的企业，微分段正迅速成为最佳安全实践。该技术提供的价值多种多样，从区域分段到应用程序隔离或服务限制，不一而足。

需要考虑的一个重点是选择以网络为中心还是以应用程序为中心的方法。以网络为中心的方法通过网络阻塞点、第三方控制或网络实施来管理流量，而以应用程序为中心的方法将代理部署到工作负载本身。后一种方法的优势在于，具有更强的监测能力、更多的扩展机会，并且是一种完全与基础架构无关的技术。为了更好地应对未来的各种变化，正确的选择将帮助您覆盖从传统系统、裸机服务器和虚拟化环境到容器和公有云等各种环境。

通过采用以应用程序为中心的模式，您可获得卓越的监测能力，这将确保您在微分段时不会掉进常见陷阱：过度分段您的应用程序。最佳实践始于所谓的“初见成效”。这些实践的核心将充分体现业务需求，一般是可以实施并立即创造价值的简单分段策略。举几个简单的示例，分离生产和开发等环境，或者通过保护关键数据或应用程序来满足合规性法规要求。

最后，最佳实践还包括在微分段之外寻找补充控制措施，以强化您的整体安全态势。漏洞检测和事件响应是两个很好的示例，这两项可以与微分段无缝协作，并且可用于一个多合一解决方案。如果没有这些补充措施，您的企业就只能尝试强行利用第三方解决方案协调工作，同时还要避免出现不一致或增加风险，这是一项真正艰巨的任务，也是您无需解决的管理麻烦。

在项目开始时考虑这些微分段最佳实践可以减轻实施这种颠覆性技术的负担，确保从一开始就能解决常见的阻碍因素。

对于针对南北向流量设计的传统边界防火墙而言，它们无法提供保护当今应用程序和动态工作负载所需的控制力和性能。从技术上讲，企业可以在边界内使用防火墙来实施分层安全模式，但由于配置和管理必要的策略所需的费用和时间都不少，这对于大多数企业来说根本不切实际。因此，当今的企业需要一种更好的方法，来保护大量东西向网络流量抵御网络攻击。

在相对扁平的网络中，任何端口或服务器都可以与任何其他端口或服务器进行通信。这意味着，如果服务器防火墙被攻破，攻击者可以轻松转移到网络中任意数量的其他服务器。

针对突破边界安全防线的攻击者，防止在数据中心内横向移动的能力可以有效地防御他们。微分段防火墙替代方案可以帮助企业实施越来越精细的策略控制，以控制东西向活动并限制成功漏洞攻击的影响。

在应用程序层（第 7 层）实施分段策略可有效防止横向移动，因为第 7 层是网络服务与操作系统集成的位置。此级别微分段的新近进展支持 IT 安全部门在第 7 层监测和控制活动，同时也可以使用传统的第 4 层方法。这意味着，企业可以使用特定进程来定义数据中心内部的分段策略，而不依赖 IP 地址和端口。此外，这一解决方案还支持管理员通过基于各种属性（如进程、用户身份或完全限定域名）定义策略来满足特定的安全性和合规性要求。

与传统方法相比，微分段还具有多项优势，是数据中心内部分段防火墙的理想选择。该方法不在基础架构中引入阻塞点，而是在每个系统上运行代理，这些代理可以相互组织以创建和执行软件定义的分段策略。正因为如此，微分段提供了更多的监测点，不管当前采用的是何底层基础架构，也不管您的 IT 策略将发展到何种程度，都可用来发现您环境中的活动并提供活动的上下文信息。因此，无需更改基础架构或停机就能创建和管理策略。微分段不仅更快速、更容易，而且还为您提供了一组控制措施，IT 安全团队可以将其扩展到任何领域。使用 微分段 （链接为：https://www.akamai.com/zh/glossary/what-is-microsegmentation）防火墙替代方案，如果您将工作负载从数据中心迁移到云端，其策略也将自动迁移。

Zero Trust 起初由 Forrester 引入，是传统“城堡和护城河”安全策略的替代方案。虽然以边界为重点的防御措施一度很流行，但如今已不再有效。随着各种威胁越来越多地潜伏在东西向流量中，企业需要新的分层安全方法来确保强大的安全态势。

默认情况下， Zero Trust 框架假定每个用户、设备、系统或连接都已遭到入侵，无论其来自网络内部还是外部。这涉及构建支持这一原则的架构，与此同时，允许合法的业务活动继续进行而不会中断或延迟。此新框架在诞生之初就引起了网络安全专业人士的共鸣。然而，供应商和企业都花了很多年时间才解决，在基础架构纷繁复杂的现状下，如何在环境中实现该框架。

如今，Forrester Zero Trust 框架和支持该框架的技术（如微分段）已经足够成熟，可以在任何规模的企业中大规模实施。虽然没有一家安全供应商可以解决 Forrester Zero Trust 框架方方面面的问题，但微分段可以帮助网络安全团队显著提高其 Zero Trust 计划的成熟度。

实施 Zero Trust 的第一步是全面了解您的环境和您要保护的关键资产。出色的微分段解决方案可以帮助您从工作负载、端点和网络收集详细信息。这将有助于您了解工作负载和端点之间的关系和依赖关系，及其正常通信模式。

然后，您可以充分利用这些数据，为您的 Zero Trust 计划奠定基础，从您的高优先级资产开始实施。利用精细的分段控制，您可以围绕特定应用程序和环境创建微边界，只允许您团队明确授权的活动。Zero Trust 主要在于实施那些拒绝所有未明确允许和验证的行为的策略。但是，借助软件定义的微分段，IT 安全团队还能够灵活地快速修改策略，以满足新的安全用例或不断变化的业务需求。

微分段解决方案不仅能为您提供监测能力，是 Zero Trust 的策略基础，而且还能持续监控您的环境，以发现可能存在的威胁和违反 Zero Trust 策略的情况。这将确保您的 Zero Trust 态势持续稳固，即使您的应用程序、系统和环境随时间的推移发生变化，也是如此。

在满足法规合规性方面，各企业难以应对我们当今日益动态的工作环境。随着法规本身越来越严格，安全审计变得越来越普遍，不合规的后果也越来越严重。这些后果包括罚款、商业信誉受损，甚至是收入损失，直到满足合规性。

对 IT 基础架构进行物理隔离已经远远不够。工作负载日益动态化，CDE 也并非静态，包括允许自动扩展或不可预知更改的层级。受 PCI DSS 法规约束的网络和应用程序错综复杂。这些网络和应用程序可以跨越多台设备，包括容器和虚拟机等混合环境，甚至可以跨多个物理位置或时区工作。

微分段渐渐成为满足 PCI DSS 等合规性法规要求的常用手段。正确的解决方案可以为整个基础架构（包括混合环境）的流量和数据流提供卓越的监测能力。然后，还有助于对网络进行分段，缩小范围并限制进程级通信。这种解决方案可以保护您的 CDE，即使在发生漏洞攻击时也能避免横向移动或转向。用于创建规则的灵活策略引擎将确保您对微分段方法拥有终极控制权，可满足更深层次的要求，例如不安全协议的权限和行为。

为符合 PCI 等标准，使用微分段，您可以获得所有应用程序和工作负载的强大进程级监测能力，构建灵活的策略来深入满足合规性法规要求，并强制执行这些策略以控制整体安全态势，让您为任何审计做好准备。