什么是微分段？
微分段是把网络划分为若干小而隔离的分段，并精确控制分段之间允许哪些流量的做法。它不再把整张网络当作一个可以互相访问的受信任空间，而是把系统放入细粒度的区域，在边界处施加策略，让某一区域的入侵被遏制在该区域内，而不是任其蔓延。
微分段把网络划分为若干小而隔离的区域，并以策略控制它们之间的流量，使某一区域的入侵无法自由蔓延至其他区域。
微分段达成什么
- 01
它限制横向移动：在某个分段中取得立足点的攻击者，无法自动转向另一个分段中的系统。
- 02
它在网络层强制执行最小权限：各区域仅通过明确允许的流量通信，其余一切处处默认拒绝。
- 03
它保护那些无法自卫的系统，例如老旧或 OT 设备，办法是隔离它们，而非依赖设备上的代理。
- 04
它缩小攻击面，并提供更清晰的审计边界：您能看清并证明哪些流量被允许跨越每个分段。
微分段对比传统分段
传统网络分段使用宽泛的区域，通常是 VLAN 和子网，中间设置防火墙规则。这有一定作用，但区域粒度粗，同一区域内的一切仍可自由通信。微分段更进一步：它把工作负载、应用或设备类别隔离进小分段，并用具体策略控制它们之间的流量。这样可以大幅压缩横向移动的空间，但需要一种能一致地定义和执行大量策略的方式。因此，它与软件定义、策略即代码的组网方式天然契合，而不适合依赖手工维护的防火墙规则。
微分段与零信任
微分段是零信任网络的基石之一。零信任不承认基于网络位置的隐式信任，因此需要把网络切分为细粒度的区域，并在区域之间施加验证和策略，这正是微分段提供的能力。两者结合后，即便攻击者已进入边界内部，在每个分段也都会碰到默认拒绝的边界，只能访问明确策略允许的范围。这对保护关键系统和 OT 环境尤为重要，因为在那里，遏制入侵与防范入侵同样重要。
这与 Vexaro Mesh（开发中）有何关系
目前正在开发中的 Vexaro Mesh 按设计从访问侧实现隔离：每个节点和每个会话都经过身份验证，并通过一个控制台按角色授予 Mesh 上的访问权限，让人员和服务只能访问其角色允许的系统，而非整张网络。连接事件计划可导出至您的 SIEM 以供审计。
查看规划中的功能