一、数据中心环境变迁，网络安全面临巨大挑战云计算的兴起，业务上云成为趋势，数据中心环境变迁给数据中心的网络安全带来了纵多挑战，比如：东西向访问流量庞大，无法感知业务间访问关系；业务访问关系错综复杂，无法制定精细化的访问控制策略；静态策略无法跟随虚拟机自动迁移；容器平台体量巨大，上下线周期短，容器IP地址变化频繁，难以适配容器环境等等。这也为网络安全创造了更多刚性需求，数据中心网络安全市场也呈现强势发展的态势，其中较为显著的便是“微隔离”。
图3-2角色合并，梳理组内业务流量通过将拥有相同位置、应用、环境的节点放置在同一个工作组中，可以区分有相关关系的节点和无关的节点。把组中拥有同一种角色的节点进行合并后，不仅可以减少拓扑图上节点和业务流量的显示，还能对具有相同角色的节点进行统一管理
图4-1
图4-2流量合并，优化用户使用体验流量合并是在角色合并与工作组合并的基础上，对角色或工作组进行合并或展开的操作，相关的业务流量会同步进行合并或展开。基于角色流量合并，将访问者和被访问者相同角色之间的流量进行合并，把原本相同角色之间的访问流量，从多条减少成最多两条。基于工作组流量合并，组内流量全部隐藏，两两工作组之间的流量最终都会合并成组到组的2条访问关系。
图5-1
图5-2
图5-32、策略自动生成功能快速生成隔离策略云隙V4.0具备自动生成策略能力。策略生成器通过自动化的方式，根据自学习到的业务流量，从不同维度梳理、设置安全策略。策略生成器的应用可以快速、便捷地批量生成策略规则，减少用户手动梳理策略规则的复杂性，降低人为操作上的失误和安全运维难度，用户使用更加方便，交互上更加友好。策略自生成五步走：选择流量类型：提供三个维度流量类型，全面覆盖业务流量，支持统计各维度流量规则覆盖率；
图6选择生成方式：支持增量、全量两种生成模式增量生成：显示覆盖工作组下的所有拒绝的流量，生成的策略添加至原有策略集；全量生成：显示覆盖工作组下的所有流量，生成的策略会覆盖原有的策略集，原有策略规则将被删除；
图7选择规则维度：提供三个规则维度，每个规则维度具有不同细粒度的规则级别，可以组合成多种类型，用户可根据实际需要配置不同细粒度的策略规则；
图8配置规则类型：可配置规则类型包括允许规则、阻断规则及忽略规则
图9预览生成规则：查看即将生成的规则，确认无误后生成规则，如选择全量生成规则，还将显示被删除的规则。
图103、连接跟踪方式下优化工作负载流量采集云隙V4.0采用连接跟踪(conntrack)的方式采集流量。连接跟踪，顾名思义，就是跟踪并记录连接的状态。通过这种方式，可为每一个经过网络堆栈的数据包生成一个新的连接记录项(Connection entry），此后，所有属于此连接的数据包都被唯一地分配给这个连接，并标识连接的状态。连接跟踪是防火墙模块状态检测的基础，同时也是地址转换中实现SNAT和DNAT的前提。采用连接跟踪的方式，更有利于抓取UDP连接，解析的流程更简单、快捷，不会改变用户的防火墙状态和已有的规则，采集的性能更高。4、适配容器环境依托主机维度网络隔离功能基础，新版云隙能够适配容器环境，采用宿主机代理模式将容器成功接入，识别并采集容器信息，运用微隔离技术和K8S的网络策略技术实现可视化的容器业务拓扑及容器安全策略控制。云隙将主机与容器流量进行统一展示，可绘制主机之间、容器之间、主机与容器之间的业务拓扑，并支持通过流量合并操作，对业务关系进行梳理分析。容器安全策略控制支持命名空间维度与POD维度，从两个角度实现对业务的访问控制，也支持通过策略生成器快速批量创建容器策略规则。
图11三、云隙助力用户提升网络隔离防护能力隔离技术能够有效防止泄露情况在数据中心发生和病毒在云中扩散，帮助企业分隔网络，满足了目前国内云安全市场在东西向安全防护产品的需求。微隔离也是零信任的核心技术模块。随着零信任理念的盛行、云计算与大数据平台的大范围部署以及国家十四五期间关于数字化转型的定调，微隔离市场也必将迎来一个爆发式的发展。云隙自适应微隔离最新版本使用多种创新技术，持续优化系统功能，新增流量合并功能可展示出具有一定排列规则的业务拓扑，策略自生成可实现大规模场景下的策略设置和管理，并且能够适配容器环境。实现全方位的精细化隔离与防护策略管理，精确控制业务流量访问，阻止攻击者进入数据中心网络内部后的横向平移，降低攻击面，助力用户提升网络隔离防护能力。
文章评论