configuring-microsegmentation-for-zero-trust

为零信任配置微分段

前置条件

• 理解零信任原则（NIST SP 800-207）
• 了解网络分段概念
• 熟悉防火墙和 SDN 技术
• 具备 VMware NSX、Illumio、Guardicore 或 Cisco ACI 的使用经验

概述

微分段将网络划分为细粒度的安全区域，在应用层对工作负载之间强制执行最小权限访问，而不是依赖传统的基于 VLAN 的分段。在零信任架构中，微分段消除了同一网段内工作负载之间的隐式信任，即使攻击者获得初始访问权限，也能阻止横向移动。

本技能涵盖使用工作负载身份设计微分段策略、实施基于主机和基于网络的强制执行，以及使用 Illumio Core 和 VMware NSX 等工具验证分段有效性。

何时使用

• 在环境中部署或配置微分段以实现零信任能力时
• 在建立符合合规要求的安全控制措施时
• 在为该领域构建或改进安全架构时
• 在开展需要此实施的安全评估时

前置条件

• 熟悉零信任架构的概念和工具
• 可访问测试或实验环境以安全执行
• 已安装所需依赖的 Python 3.8+
• 任何测试活动均获得适当授权

架构

微分段模型

1. 基于网络（VMware NSX、Cisco ACI）：在虚拟机监控程序或网络架构层面执行的分布式防火墙规则
2. 基于主机（Illumio、Guardicore）：使用 iptables/WFP 规则在操作系统层面进行基于 Agent 的强制执行
3. 基于容器（Calico、Cilium）：在 Kubernetes 中于 Pod/容器层面执行的网络策略
4. 基于应用（Zscaler Workload Segmentation）：基于软件身份而非 IP 地址的身份分段

强制执行点

Traditional Segmentation        Microsegmentation
┌─────────────────┐            ┌──────────────────────┐
│  VLAN 10        │            │  Workload A ←policy→ │
│  ┌───┐ ┌───┐   │            │  Workload B ←policy→ │
│  │ A │ │ B │   │            │  Workload C ←policy→ │
│  └───┘ └───┘   │            │  Workload D ←policy→ │
│  (trust each    │            │  (zero trust between  │
│   other)        │            │   every pair)         │
└─────────────────┘            └──────────────────────┘

关键概念

应用依赖关系映射

在创建分段策略之前，使用流量遥测发现工作负载之间的实际通信流。Illumio、Guardicore 和 AppDynamics 等工具可提供应用依赖关系图，显示哪些工作负载在通信、通过哪些端口以及通信频率。

策略建模

在强制执行之前，先在监控/可见性模式下起草策略。这样可以验证拟议规则不会破坏合法流量，同时识别不必要或有风险的通信路径。

基于标签的策略

现代微分段使用标签（角色、应用、环境、位置）而非基于 IP 的规则。基于标签的策略可跨环境移植，并能在迁移期间经受 IP 变化。

隔离保护

使用严格的允许列表策略隔离关键应用（PCI 持卡人数据环境、SWIFT 金融系统、医疗 PHI），拒绝所有未明确允许的流量。

工作流

阶段 1：发现与映射

1. 部署可见性 Agent

   • 在所有工作负载（服务器、VM、容器）上安装轻量级 Agent
   • 配置 Agent 向管理控制台报告实时流量遥测
   • 允许 2-4 周的流量收集以构建全面的流量图

2. 构建应用依赖关系图

   • 在管理控制台中查看自动发现的通信流
   • 识别应用层级：Web 服务器、应用服务器、数据库、中间件
   • 映射合法通信路径并标记意外连接
   • 记录合规范围（PCI、HIPAA）的数据流

3. 分配标签

   • 创建标签分类体系：角色（web、app、db）、应用（ERP、CRM）、环境（prod、dev、staging）、位置（dc1、aws-east）
   • 通过管理控制台或 API 为所有工作负载应用标签
   • 根据 CMDB 和应用负责人输入验证标签准确性

阶段 2：策略设计

4. 定义分段区域

   • 环境隔离：生产环境不能与开发环境通信
   • 层级隔离：数据库层仅接受来自应用层的连接
   • 应用围栏：PCI 应用与非 PCI 工作负载隔离
   • 管理访问：跳板机是唯一的管理路径

5. 创建允许列表策略

   • 为每个应用定义所需通信的显式允许规则
   • 尽可能使用基于标签的规则，而不是基于 IP 的规则
   • 在支持的情况下包含进程级限制（例如，端口 443 上仅允许 httpd）
   • 对所有未列出的通信设置默认拒绝

6. 在测试模式下对策略建模

   • 在可见性/测试模式下启用策略（不强制执行）
   • 监控本应被阻止的合法流量
   • 根据 1-2 周的测试结果优化策略
   • 在强制执行前获得应用负责人签字确认

阶段 3：强制执行

7. 增量强制执行

   • 从最隔离、风险最低的应用开始
   • 将策略从测试模式切换为强制执行模式
   • 在最初 24-48 小时内监控应用问题
   • 验证后再继续处理下一个应用

8. 验证分段

   • 运行渗透测试，尝试在分段之间进行横向移动
   • 验证被阻止的流量会在管理控制台中生成告警
   • 测试紧急覆盖流程（break-glass）
   • 记录每个应用区域的分段执行状态

阶段 4：运维维护

9. 持续策略管理
   • 与 CI/CD 集成：从部署流水线自动为新工作负载打标签
   • 每周审查策略违规并调查异常
   • 当应用变更或部署新服务时更新策略
   • 每季度执行一次分段有效性审查

验证清单

• Agent 已部署在所有范围内的工作负载上
• 应用依赖关系图已由应用负责人审查并批准
• 标签已分配并根据 CMDB 验证
• 策略已在测试模式下建模，且 2 周以上无误报
• 策略已在监控下增量强制执行
• 所有分段区域均已启用默认拒绝
• 横向移动测试确认已阻止未授权流量
• 已为策略违规配置告警
• break-glass 流程已记录并测试
• 受监管环境已获得合规审计员签字确认

参考资料

• NIST SP 800-207：Zero Trust Architecture
• CISA Zero Trust Maturity Model v2.0 - Network Pillar
• Illumio Core Administration Guide
• VMware NSX Distributed Firewall Configuration Guide
• Forrester Zero Trust eXtended (ZTX) Framework