云原生网络的微隔离实现技术

微隔离实现零信任的云原生

网络微隔离实现零信任
的云原生网络随着企业网络基础设施的日益复杂，尤其是云计算等虚拟化
网络应用的普及，这种复杂性超越了传 统网络边界安全的防护方法。基于传统物理、固定边界的网络安全也被证明是不够用的，“数据中心内 部的系统和网络流量是可信的”这一假设是不正确的。网络边界的安全防护一旦被突破，即使只有一台 机器被攻陷，攻击者也能够在所谓“安全的”数据中心内部横向移动。NIST在 2020 年 8 月，发布了最新的零信任架构 [34]，在零信任安全模型中，会假设环境中随时可 能存在攻击者，不能存在任何的隐形信任，必须不断的分析和评估其资产、网络环境、业务功能等的安 全风险，然后制定相应的防护措施来缓解这些风险。在零信任中，这些防护措施通常要保证尽可能减少 对资源（比如数据、计算资源、应用和服务等）的访问，只允许那些被确定为需要访问的用户和资产访 问，并且对每个访问请求的身份和安全态势进行持续的认证和授权。
微隔离作为实现零信任的关键技术之一，在云原生网络安全建设中，同样起着重要的作用。本章将 重点介绍如何在云原生网络中实现零信任的微隔离系统。

概述

在云原生环境中，尤其是云原生网络安全的建设和规划中，以零信任的架构和思路，实现云原生网 络的微隔离和访问控制是必要的。

什么是微隔离

微隔离（Micro-Segmentation）最早是 VMware 为应对虚拟化隔离技术出来的。 Gartner 更是 从 2016 年开始，连续三年将其列为年度 Top10 的安全技术和项目（Micro-Segmentation and Flow Visibility，微隔离和流量可视化），通过对网络流量的可视化和监控，让运维人员能够详细了解系统内 部网络数据包的流向，进而使微隔离能够更好的设置安全策略。
微隔离，顾名思义就是一种更细粒度的网络隔离技术，其核心能力的诉求也是聚焦在东西向流量， 对传统环境、虚拟化环境、混合云环境、容器环境等东西向流量进行隔离和控制，重点用于阻止攻击者 进入数据中心网络或者云虚拟网络后进行的横向移动。
微隔离有别于传统的基于边界的防火墙隔离技术，微隔离技术通常是采用一种软件定义的方式，其
策略