14、云环境下的网络安全与微分段策略

云环境下的网络安全与微分段策略

1. 隔离与微分段概念

在网络安全领域，隔离和微分段是重要的概念。可以将服务隔离成逻辑分区，这样即使某个分区出现安全漏洞，也不会影响其他服务的安全。基于业务逻辑对微服务域进行分段，在网络层，这种基于业务逻辑的分段策略被称为微分段。

不过，微分段策略需要把握好分区的粒度。如果分区过小，服务会进行过多跨网段的调用，导致成本高昂且复杂的开销；如果分区过宽，则可能无法在网络层实施预期的安全规则，使整个分段工作失去意义。

2. 网络控制的作用与局限

控制或对策是指能降低应用程序总体风险的任何行动。网络控制并不能直接提供应用程序或数据的安全保障。网络层控制无法读取应用程序数据，也不能理解通信的语义内容，所以网络控制往往比较粗放，对控制的精确使用能力受到严重限制。网络限制通常过于宽泛，有时还会阻碍有价值的活动。虽然精心设计的网络基础设施不能直接降低应用程序风险，但它可以通过隔离和监控间接产生重大影响，使架构更简单、更安全。

3. 单体和微服务模型的安全策略

• 单体模型 ：在单体模型中，常见的安全方法是将服务分组到信任区域，创建安全区。同一区域内的服务可能相互信任，甚至无需身份验证。例如，面向公众的服务和数据库可能分别有自己的安全区，但这些划分很多时候是基于技术而非业务领域。通过保护信任区域的边界（即非军事区 DMZ），可以保护存储敏感数据的应用程序部分免受外部威胁。不过，这种模型存在风险，如果一个系统被攻破，整个网络可能会受到影响，而且内部受信任人员的攻击也可能使安全边界失效。建议在边界内增加额外的保护措施，以防范受信任但已被攻破的内部人员。 <