mcpField
N
network-segmentation-review

network-segmentation-review

github.com/securityskills安全0697 次安装9 周前更新
代码仓库

关于 network-segmentation-review

network-segmentation-review 是用于审查网络隔离边界的安全技能，面向网络与安全人员。它指导检查设计策略、设备配置和经授权的连通性测试，并整理带设备证据的差距与整改建议。

主要功能

  1. 01梳理区域、信任级别与预期流量
  2. 02检查 VLAN、路由与 ACL 边界
  3. 03审查防火墙规则及管理访问
  4. 04检查云安全组、路由与出口控制
  5. 05按区域执行授权连通性测试
  6. 06生成流量矩阵、证据与整改项

适用场景

  1. 01核对网络分区设计是否落实
  2. 02识别过宽或未使用的防火墙规则
  3. 03验证区域间允许与拒绝的连接
  4. 04记录边界缺口及设备侧证据

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/securityskills/skills --skill network-segmentation-review

安装后在 Claude Code 中输入/network-segmentation-review确认已加载。

详细介绍

网络分段审查

验证预期的分段边界是否确实有效。

1. 了解预期设计

  • 获取网络图：区域（DMZ、内部、生产、企业、OT）、信任级别和预期流量
  • 对照记录在案的允许流量与“其他所有流量都应被拒绝”的规则

2. 验证第 2/3 层边界

  • VLAN 跳跃：双标签、用户端口上的 DTP 协商、中继链路上的本征 VLAN 不匹配
  • VLAN 间路由：存在哪些 SVI、它们之间的 ACL
  • 对于不需要主机间通信的场景，使用私有 VLAN／端口隔离

3. 防火墙和路由器策略

  • 审查规则库：是否存在任意到任意规则、过于宽泛的源／目标（任意→内部），以及按 IP 而非对象定义的规则
  • 被遮蔽和未使用的规则；拒绝规则是否禁用了日志记录
  • 管理访问：用户网段能否访问 SSH／管理平面？

4. 云边界

  • 安全组：按角色划分安全组；非 Web 端口上不得允许来自 0.0.0.0/0 的入站流量
  • NACL 与 SG 的分层；对等连接／传输网关路由表是否泄漏了范围更广的 CIDR
  • 出站控制：被入侵的工作负载能否访问任意互联网地址（数据外泄路径）？

5. 主动验证（经授权的测试）

  • 从每个区域中具有代表性的主机尝试跨边界连接：允许的连接（应成功），拒绝的连接（应失败并记录日志）
  • 对有状态设备测试两个方向的流量及返回流量
  • 使用 nmap -PN -sT -p <port> 这样的定向探测；记录阻止连接的设备日志

输出

经过验证的流量矩阵（源区域 × 目标区域 × 端口 × 预期 × 观测结果）、附有设备级证据的差距，以及针对各边界的修复措施。

评论

支持 Markdown