微分段是一种安全策略，通过将网络划分为多个小型独立分段来增强安全性。每个分段或工作负载都与其他分段或工作负载隔离，从而在数据中心和云部署中创建粒度更细的安全区域，并可对各区域分别实施保护。
微分段通过隔离工作负载和应用，可以缩小潜在攻击面，并限制安全漏洞造成的影响。借助微分段，管理员还可以管理安全策略，按照最小权限和零信任原则限制流量。此外，微分段可以提高网络流量的可见性，帮助管理员更有效地控制网络流量。
微分段能为您带来哪些能力？
微分段可为组织带来诸多优势，包括：
- 缩小攻击面：微分段将网络划分为更小的网段，从而缩小攻击面，增加攻击者访问关键资产的难度。
- 增强入侵遏制能力：发生入侵时，微分段可限制攻击者在整个网络中横向移动，从而帮助遏制攻击影响。通过隔离网络中受影响的区域，微分段可防止恶意软件或其他恶意活动扩散，降低入侵可能造成的损害。
- 加强法规合规性：许多监管框架要求组织实施严格的访问控制和安全措施，以保护敏感数据。微分段可确保只有获得授权的用户和应用才能访问敏感资源，从而帮助组织证明其符合监管标准。
- 简化策略管理：微分段允许将安全策略应用于特定网段，从而简化策略管理。这对于大型或复杂网络尤其有用，因为在这类网络中，管理每台设备或每位用户的策略可能颇具挑战。
微分段会带来哪些挑战？
如果规划和实施不当，微分段可能会给网络性能和安全带来挑战。
- 性能下降。微分段会增加网络监控和管理的复杂性。网络分段过细或应用过多安全策略，可能会影响网络流量模式并限制网络性能。对每个分段应用安全策略会给网络带来额外开销，可能导致延迟增加和网络性能下降。
- 安全缺口。微分段虽然是一种强大的安全技术，但必须正确配置策略，确保所有流量都得到适当过滤，并按规则允许或拒绝。配置错误和策略执行不一致可能导致安全缺口、合法流量被阻止以及潜在漏洞。
组织应仔细规划微分段策略，包括分段的数量和规模、要应用的安全策略，以及对网络流量模式的影响。应开展适当的测试和监控，确保微分段不会对网络性能产生负面影响或造成安全缺口。
微分段如何运作？
微分段使组织能够在网络中创建安全区域或分段，从而精细控制网络流量并缩小攻击面。随后，通过策略和控制措施保护每个分段，仅允许授权流量在分段之间传输。
微分段通常使用软件定义网络（SDN）来实现。借助SDN，可以创建独立于物理网络基础设施的虚拟网络。每个网段都通过策略进行保护，这些策略定义了允许流入和流出该网段的流量类型。例如，可以使用访问控制列表（ACL）来控制允许哪些用户或设备访问各个网段。可以使用入侵检测与防御系统（IDPS）检测并阻止各网段内的恶意活动。可以使用加密技术保护在网段之间传输的数据。
微分段可提供对网络流量的精细可见性和控制能力，从而更轻松地识别未经授权的流量和潜在安全漏洞，并快速响应安全事件。
微分段控制主要分为三种类型。
基于代理的微分段控制使用安装在端点（如服务器、工作站或其他网络设备）上的软件代理来实施网络分段策略。代理会持续监控并实施该端点的特定策略，还可通过管理控制台进行集中管理，从而简化整个组织网络中的策略配置和部署。
基于网络的微分段控制使用SDN创建虚拟网段，每个网段都有各自的安全策略和控制措施。这些虚拟网段彼此隔离，可限制攻击者横向移动。策略和控制措施在网络层而非端点层实施，因此可根据多种因素对网络流量进行分段，包括用户身份、应用类型和网络位置。
云原生微分段控制专为云环境而设计。此类控制利用网络安全组和虚拟私有云等云原生安全功能创建虚拟网段并实施安全策略。它们借助云平台的原生安全功能提供精细化安全策略，并在所有云实例中自动实施这些策略。
微分段有哪些不同类型？
组织可以根据具体需求和目标，选择实施一种或多种微分段。常见的微分段类型如下。
应用分段
应用分段通过创建安全策略来控制对数据库、API和Web服务器等特定应用资源的访问，从而保护各个应用，并有助于防止未经授权的访问和数据泄露。组织还可借此实施最小权限访问控制，确保用户和应用只能访问执行特定功能所需的资源。
层级分段
层级分段可保护应用堆栈中的不同层级，例如Web层、应用层和数据库层，防止攻击者在应用堆栈内横向移动并访问敏感数据或资源。
环境分段
保护网络中的不同环境或区域（例如开发、测试和生产环境），有助于组织对这些环境实施严格的访问控制，确保只有获得授权的用户和应用才能访问敏感数据和资源。
容器分段
容器分段可保护容器化环境中的单个容器或容器组，缩小攻击面，并有助于防止攻击者在容器环境中横向移动。如果未进行适当分段，容器可能会相互访问数据和配置文件，从而产生安全漏洞。
容器分段最佳实践
- 容器隔离。使用Docker或Kubernetes等技术，确保容器与主机系统以及同一系统中的其他容器相互隔离。这样可防止容器访问其指定范围之外的资源。
- 网络分段。使用网络分段限制容器与其他网络资源之间的通信。具体包括为每个容器创建独立网络，并配置防火墙规则以允许或拒绝容器之间的流量，确保仅允许经授权的通信。
- 基于角色的访问控制。实施基于角色的访问控制（RBAC），确保只有授权用户才能访问和修改容器及相关资源。可以实施Kubernetes RBAC等RBAC框架，以定义并强制执行用户角色和权限。
- 镜像签名。使用镜像签名，确保仅使用可信镜像创建容器。数字签名有助于防止容器镜像遭到篡改或更改。
- 运行时保护。使用运行时保护，在容器运行期间检测并响应安全威胁。运行时安全代理和漏洞扫描器等工具可以监控容器是否出现失陷迹象，并采取适当措施来缓解风险。
云安全中的用户分段
- RBAC根据用户的职责和访问需求，将其分配到特定角色或组。每个角色都关联一组适合该角色的权限和访问控制。RBAC确保用户只能访问完成工作所需的资源和数据。
- 多重身份验证（MFA）要求用户提供两种或更多身份验证方式，才能获得系统或应用的访问权限。这些方式可以包括密码、安全令牌、一次性访问代码或生物特征数据。MFA可有效防止未经授权访问云资源，与RBAC结合使用时尤其如此。
- 持续监控是指定期分析用户活动和系统日志，以发现可疑行为或潜在安全威胁。它可以针对偏离用户正常访问模式或行为的活动向安全团队发出警报，从而帮助识别异常行为。
- 职责分离可确保任何单个用户都无法完全控制关键流程或系统。通过为用户划分不同的角色和职责，可以降低欺诈或错误风险，并确保敏感操作由多名员工共同执行。
- 定期访问权限审查是指定期评估用户对系统和应用的访问权限，确保用户只能访问所需资源。访问权限审查有助于识别并移除不必要的访问权限，从而降低未经授权访问的风险。
为什么工作负载对微分段至关重要？
工作负载是微分段的重要组成部分，因为它们是在网络上运行的计算或处理单元。工作负载可以是应用、服务或进程，需要相互通信才能正常运行。微分段可在工作负载层面提供精细的安全控制，使组织能够隔离并保护特定工作负载免受潜在威胁。通过对工作负载进行分段，组织可以缩小潜在攻击面，防止威胁横向移动，并针对各个工作负载实施安全策略。
工作负载之间可能存在依赖关系，即它们会与网络环境中的不同应用和服务产生关联和交互。了解这些依赖关系对于制定有效的微分段策略至关重要，因为更改某个应用或服务的访问权限可能会影响其他应用和服务的性能或安全性。在实施微分段之前，应梳理依赖关系。
这与边界安全有何不同？
边界安全（即网络安全）与微分段是两种不同的安全策略，分别应对网络安全的不同方面。边界安全通过限制外部来源访问网络，保护网络的外围边界（通常位于网络边缘），为抵御外部威胁提供第一道防线。它会检查试图跨越安全边界的“南北向”（客户端到服务器）流量，并阻止恶意流量。边界安全通常通过防火墙、入侵检测与防御系统以及VPN等技术来实现。
微分段侧重于网络内部安全，将网络划分为更小的网段或区域，并对每个网段实施精细的安全控制。这样，组织便可控制网络内部以及应用或工作负载层面的“东西向”横向流量，从而缩小潜在攻击面。
这与网络分段有何不同？
网络分段和微分段都有助于提升网络安全性和性能，但二者存在根本区别。传统网络分段（有时称为宏分段）是指根据功能或位置将网络划分为较大的分段。它通常侧重于进出网络的“南北向”流量（客户端到服务器）。
微分段将网络划分为更小的网段，并为各网段应用专属安全策略，从而更精细地控制东西向网络访问，并可实施零信任访问控制。微分段在单个工作负载或应用层面应用安全策略，而不是在网络层面应用。
这与网络防火墙有何不同？
防火墙策略是一组规则，用于定义组织的防火墙如何允许或拒绝不同网段之间以及网络与互联网之间的流量。这些规则决定如何允许或拒绝这些网段和层之间的流量。
防火墙根据预定义规则过滤流量，从而控制网络访问。防火墙可用于控制网段之间的访问，而微分段则将网络划分为更小的网段，并对每个网段应用独立的安全策略。这样可以更精细地控制网络访问，使组织能够限制对特定应用和服务的访问。
这与虚拟网络有何不同？
虚拟网络在物理网络基础设施中运行，但通过软件在安全网络上连接计算机、虚拟机（VM）以及服务器或虚拟服务器。这不同于使用硬件和线缆连接网络系统的传统物理网络模式。虚拟网络可用于在大型网络中创建隔离环境，使组织能够对特定应用或服务进行微分段。
F5如何提供帮助
微分段可以限制攻击者可利用的攻击面，从而帮助组织更好地保护其网络中的应用和数据免受潜在威胁。此外，微分段还可以提高网络流量的可见性和可控性，从而更轻松地识别和响应安全事件。
F5提供的产品和服务可帮助组织在网络中实施和管理微分段及其他安全控制措施。了解F5如何在公有云和混合云、数据中心及边缘站点之间提供简单、安全的连接。了解F5如何提供应用层安全网络和自动化云网络配置，以提高运营效率。
