什么是网络分段?

网络分段是指将网络划分为较小的、孤立的部分,以帮助减少横向移动并提高网络性能。

学习目标

阅读本文后,您将能够:

  • 定义“网络分段”
  • 了解网络分段在安全和性能方面的优势
  • 网络分段与微分段对比

复制文章链接

什么是网络分段?

网络分段是指将网络* 划分成较小的、孤立的部分。这些分区可以通过物理硬件或软件来创建和保护,每种方法都有各自的实施难题。

通过封锁不同的网段,企业可以更轻松地防止横向移动,对网络流量进行细粒度控制,并提高网络性能。他们甚至可以为单个工作负载和应用程序设置策略,这种方法被称为微分段

*网络是一组相互连接的计算机。

网络分段如何工作?

网络分段将网络划分为多个部分,然后可对这些部分实施不同的控制。这一过程通常采用两种方法之一:物理分段逻辑分段

物理分段

物理分段需要硬件设备(如路由器交换机防火墙)将网络分隔成不同的部分。这些设备通过分段策略控制允许进出每个部分的流量类型,这些策略可根据特定标准配置(例如流量来源、目的地等)。

物理分段(也称为基于边界的分段)的设置和维护通常成本高昂、耗费人力。此外,它还假定大多数组织仍在维护物理网络边界

然而,随着云计算的出现,这种限制几乎消失了,因为用户可以通过互联网而不是内部 IT 管理网络来访问数据和应用程序。即使是使用本地基础设施的组织,也经常允许用户从外部设备和软件连接到内部资源。

逻辑分段

逻辑分段(也称为虚拟网络分段)使用软件将网络划分为较小的部分。这些网段可以通过子网划分虚拟局域网 (VLAN) 和网络寻址方案来创建。

  • 子网有助于将网络分成更小的网段,从而使网络流量的传输距离更短,无需通过不必要的路由器即可到达目的地
  • VLAN 将单个物理网络上的流量分成两个网络,无需多个路由器或互联网连接,即可将网络流量路由到不同目的地
  • 网络寻址方案通过在多个第 3 层子网之间分配网络资源来创建网段

与物理分段一样,逻辑分段也使用分段策略来限制进出每个网段的流量。

由于逻辑分段不依赖于配置、维护和更新多个硬件设备,因此被广泛认为是一种更灵活、可扩展性更好、更具成本效益的网络分离和保护方法。

网络分段有哪些好处?

如果实施得当,网络分段可以帮助组织以更高的效率提高安全性、性能和合规性。其中最重要的几个优势如下:

  • 减少横向移动:攻击者就算入侵到网络中,他/她们也无法在整个网络中自由移动,因为他/她们只入侵了某个特定的网段。这反过来有助于最大限度地减少组织的攻击面
  • 补救恶意活动:当攻击或可疑活动局限在特定区域内时,IT 团队可以更有效地检测和补救,而不会影响网络的其他部分
  • 提高性能:将某些流量类型限制在网络的特定区域,有助于减少整体网络拥塞并优化性能
  • 确保合规:分段可以隔离网络中需要遵守合规标准的区域,从而更容易根据需要进行更新

网络分段与微分段

网络分段将网络划分为较小的部分,并对其应用不同的安全控制和策略。

相比之下,微分段是网络分段的一个子集,可对单个工作负载实施更细粒度的控制。(工作负载是指使用一定内存和计算资源的程序或应用程序,如服务器、虚拟机无服务器功能)。它是 Zero Trust 安全模型的一部分,在该模型中,默认情况下不信任任何用户或设备。

为了更好地理解网络分段与微分段的安全优势,可以设想一个国王有一大笔黄金和珠宝需要保护。他可能会把所有的财宝放在几个秘密宝库中,每个宝库只能用特定的钥匙才能打开(网络分段)。如果窃贼偷了一个宝库的钥匙,他们也许能偷走这个宝库里的财宝,但如果没有偷到其他房间的钥匙,就无法进入其他宝库。同样,入侵一个子网的攻击者或许可以破坏其中的数据,但无法自由移动到另一个子网。

另外,国王不仅可以将财宝分散到多个宝库,还可以将它们放入这些房间内上锁的箱子中,并确保每个箱子只能用自己的钥匙打开(微分段)。这样,如果窃贼偷走了其中一个宝库的钥匙,但没有得到其他钥匙,他们就无法打开各个宝箱。同样,在微分段网络中,即使攻击者入侵了一个工作负载,也可能无法入侵(甚至访问)其他工作负载。

进一步了解微分段如何帮助企业实现 Zero Trust 安全态势