战国韩非子在其《说林上》曾说到：圣人见微以知萌，见端以知末，故见象箸而怖，知天下不足也[1]。圣人见到细微的苗头，就能预知事物的发展，透过微小的现象，便可看到本质。知微见著，网络安全领域更是如此。如何通过微小流量而发现大的潜在安全风险？下面就是我们要介绍的微隔离技术。
什么是隔离技术？
微隔离的实现方式是将数据中心内部所有的业务按照特定的原则划分为数个微小的网络节点，根据动态策略分析对这些节点执行访问控制，在逻辑上将这些节点隔离开，限制用户横向移动，这就是微隔离。在微隔离的架构中，不再存在内、外网的概念，而是将数据中心网络隔离成了很多微小的计算单元，这里我们简称节点。每个节点要访问其他节点的资源，都需要经过微隔离客户端的认证，如果节点身份认证不通过，或不具备访问权限，会被客户端拦截。
节点可以是门户网站，可以是数据库、审计设备，甚至一个文件服务器，只要具备一定的数据处理能力的单元，都可以成为一个节点。他们不再因处于内网而被认为是“可信的”，所有节点都被逻辑隔离，节点之间的访问都是受控的。节点划分越细致，控制中心对整个数据中心网络的流量可视化就越清晰。
微隔离主要元素说明：
■ 微隔离客户端：通过代理或虚墙实现，主要包括流量信息收集和策略执行两个部分。向控制中心反馈当前网络中的业务流量信息，实时上报业务动态，接收控制中心下发的策略控制指令，执行安全策略动作，
■ 微隔离控制中心：主要包括管理引擎和策略管理两个控制块。管理引擎接收客户端发送的流量数据，并根据这些信息建立业务模型，交由策略管理模块分析当前网络形势，进行多维度策略运算，动态生成安全策略，并下发给客户端执行，通过流量自学习实现策略自适应。
微隔离系统运行流程：
（1）确定业务主体：我们首先要明确微隔离系统需要管理的对象是什么，如何划分节点。节点的划分原则主要有两个，一个是要符合数据中心的业务体系，一个是要尽可能降低策略计算的复杂度。例如按当前网络中的业务类型划分、按照业务或部门职权划分，按照重要性优先级划分等；
（2）客户端收集业务流量信息，上报管理中心，并实时监测业务流量走向；
（3）管理引擎绘制业务流量拓扑，根据流量数据判断网络结构变化，更新拓扑信息；
（4）业务节点发送访问申请，客户端接收到申请后上报管理中心；
（5）策略管理模块分析业务流走向，启动策略运算，下发安全策略至微隔离客户端；
（6）客户端策略执行，业务认证通过且具有访问权限，流量放行；认证不通过或认证权限不够，执行相应的阻断动作；输出策略匹配日志信息。
微隔离的应用与实际功能
零信任最核心的原则是最小权限（Least Privilege），而微隔离就是零信任解决方案的最佳实践之一。业界领路人的多年探索，后起之秀的努力开拓，让微隔离系统无论在性能还是易用性上，都得到了空前的发展。这当然也离不开云计算技术的推动，合理利用当下的大数据资源，是微隔离能够取得阶段性突破的前提。无论是对数据流信息的可视化构建，还是动态安全策略的计算，都需要我们打破传统静态拓扑的思维，从自适应的角度出发，绘出一个彼此隔离却又互相交织的网络蓝图。
我们不再针对传统网络结构中诸如IP地址、域、地区等简单概念创建安全策略，而是建立在权限的基础上，控制网络业务之间的互访，可以基于用户、基于业务类型或是基于分级，通过对业务流量拓扑的分析，用最快的速度给出最合理的、最适于当下的规则集。
要将基于微隔离的解决方案应用到实践中，需要对数据中心业务有足够的了解，对网络模型有个大概的预判，我们最终的实现目的，是要对网络环境有足够的管控力，当然，如今的微隔离技术亟待解决的难题还有很多，比如：
■ 业务运行环境越复杂，管控粒度越细，策略的计算难度就越高；在庞大的网络体系下如何最大程度提升性能，实现秒级运算，是当下一大挑战。
■ 需要做到全方位自适应动态策略生成，包容大范围网络迁移。
■ 基于可视化的业务网络中，如何确定微隔离部署的最佳位置，才能最大程度降低拓扑的绘制难度，又不易引起网络中断。
■ 在庞大业务群中如何定义业务的多重认证，做到在提高安全性的同时不提高认证延时。
功能实现
流量看得清——业务拓扑图可视化展示访问关系
自动学习业务访问关系，并以多种拓扑图清晰展示，结合资产信息，为策略制定提供基础。
- 拓扑图上交互式设置，自动生成策略，提高效率。
- 发现主机上无用的端口，减少风险暴露面。
- 丰富的查询方式和图例，直观评估策略配置情况。
策略好管理——多种策略形式实现自动化运维
依据不同管理场景，配置不同粒度的控制策略，并随业务或环境变化自适应调整策略，实现自动化运维。
- 提供业务组、标签、端口、IP等不同粒度的策略管理。
- 用标签定义策略，形式精简，降低运维成本。
- 策略表达明白易读，避免基于IP的安全策略。
策略易验证——监控异常访问并自动验证策略
在不真实拦截流量的情况下，持续监控学习业务访问关系，自动验证策略准确性和覆盖度。
- 自动验证策略正确性，减少人力成本。
- 重保场景中，发现恶意横向渗透行为。
- 发现异常访问，第一时间发出告警。
管控多选择——根据管理要求选择不同控制强度
-
访问控制模式决定控制策略如何放行/阻断网络连接，配合不同的管理要求，支持不同强度的控制模式。
-
主机控制模式：为每个业务端口配置策略，严密防护。
-
服务控制模式：管控20%的关键端口，降低80%的风险。
威胁可隔离——失陷主机快速隔离防止威胁扩散
在发生真实攻击场景下，提供应急响应手段，迅速隔离失陷主机网络，防止威胁进一步扩散。
- 出站、入站、双向网络流量，可选择不同隔离方式。
- 开放特定端口并指定访问IP，给上机排查问题提供条件。
- 威胁清除后远程解除隔离，恢复正常通信。
保护更全面——非受控设备和DMZ区主机访问控制
对未部署Agent的网络设备和业务敏感主机实现保护，并可对DMZ区主机的外网访问进行控制。
- 对已部署和未部署Agent主机之间的访问，进行安全控制。
- 严格限制出入外网的流量，收缩DMZ区主机暴露面。
结语
挑战越大，机遇也就越大。微隔离能够带给我们的，是更智能的安全解决方案。可视化的全面部署，能清晰的呈现业务运行状态，为用户行为跟踪、故障定位、攻击溯源提供了有效的手段。业务服务器受到微隔离系统的管控，实时监测网络行为，将渗入内网的攻击截断在用户级节点，防止大范围扩散。
微隔离控制中心动态策略的生成，可以自适应业务网的拓扑变化，提高策略迁移的效率，全面实现自动化，让策略的管理可以真正从繁琐复杂的人工设计中解放，不再依赖于静态配置，不受大范围网络迁移影响，极大的提高容错率，这是一个值得期待的未来。
