网络隔离

本文约需 2 分钟阅读

网络分段是指将组织的网络在逻辑上或物理上划分为多个分段 (区段)，并通过防火墙或访问控制列表来限制分段之间通信的手法。即使攻击者侵入了某一个分段，也能通过阻止其向其他分段的横向移动 (lateral movement) 来将损害局部化。截至 2025 年，随着零信任架构的普及，微分段的导入正在加速。

感染真正发生时会有什么不同

分段的价值，在恶意软件感染等安全事件真正发生时体现得最为清楚。在没有分割的扁平网络中，一台设备被感染就会使整个组织面临危机，调查和恢复也不得不覆盖所有系统。如果分段之间的通信受到限制，损害的扩散就会止步于分段边界，确定影响范围、封堵和恢复的对象也能收窄到该区段。未受影响的分段可以继续开展业务，更容易兼顾事件响应与业务连续性。平时看起来不太方便的通信限制，在事件发生时就成了为损害范围设置上限的保险。

网络分段概念图

分段的手法

物理分段是通过专用交换机或路由器来分离网络的方法，最为可靠但成本较高。基于 VLAN (虚拟 LAN) 的逻辑分段可以在一台交换机上分离多个网络，灵活性出色。微分段是基于零信任理念、以工作负载为单位控制通信的最新方法。

实务中的设计要点

PCI DSS 将处理持卡人数据的系统与其他网络分离规定为要求。在一般的设计中，以服务器分段、用户分段、DMZ、管理分段这 4 个区段为基础，并根据业务需求进一步细分。分段之间的通信规则以「默认拒绝」为原则，推荐采用仅明确允许必要通信的白名单方式。请用强随机密码保护网络设备的管理控制台，防止分段规则被非法篡改。