3. 网络流量模型分析：东西向流量与南北向流量
做网络安全这么多年，我见过太多团队把精力全扑在边界防火墙上，觉得门口守住了就万事大吉。结果呢？内部一台机器被攻破，整个数据中心就像多米诺骨牌一样倒下去。说白了，这就是没搞懂流量模型的变化。
今天这章，咱们就掰开揉碎聊聊：东西向流量和南北向流量到底有什么区别？为什么传统边界越来越不管用了？攻击者又是怎么在内部横向移动的？
3.1 南北向流量：传统的“城门守卫”
南北向流量，指的是从外部进入数据中心，或者从数据中心出去的流量。比如用户访问你的网站、员工连VPN办公、API调用外部服务——这些都是南北向。
传统安全架构里，我们习惯在边界上堆设备：防火墙、IPS、WAF、DDoS清洗……觉得只要把城门守好，里面就安全了。
南北向流量的典型特征：
- 流量经过明确的边界设备（防火墙、负载均衡）
- 源IP和目标IP通常属于不同网络域（外网 vs 内网）
- 协议相对固定（HTTP/HTTPS、DNS、SMTP等）
- 流量模型可预测，策略容易定义
嗯，这里要注意：南北向流量虽然好管控，但它只是整个流量模型的一小部分。我在一个金融客户那里做过流量抓包分析，发现南北向流量只占总流量的15%左右。剩下的85%呢？全是内部服务器之间的通信。
3.2 东西向流量：内部的“暗流涌动”
东西向流量，就是数据中心内部服务器与服务器、容器与容器、微服务与微服务之间的通信。比如Web服务器调用API网关，API网关再调用数据库——这些都是东西向。
为什么东西向流量越来越重要？因为现代应用架构变了。以前是单体应用，一台服务器搞定所有；现在是微服务、容器化，一个业务可能拆成几十个服务，每个服务之间都要通信。
| 对比维度 | 南北向流量 | 东西向流量 |
|---|---|---|
| 流量方向 | 外部 ↔ 内部 | 内部 ↔ 内部 |
| 流量占比 | 10%-20% | 80%-90% |
| 管控难度 | 低（边界集中管控） | 高（分布式、动态变化） |
| 安全策略 | 基于IP/端口/协议 | 需要基于身份/标签/上下文 |
| 典型威胁 | DDoS、Web攻击、暴力破解 | 横向移动、数据窃取、权限提升 |
说白了，东西向流量才是现代数据中心的“主战场”。攻击者一旦突破边界，就会立刻转向东西向流量，在内部四处游走。你想想看，如果内部服务器之间没有任何访问控制，那跟裸奔有什么区别？
3.3 传统网络边界失效的原因
我经常被问到：“老王，我们边界防火墙买的最贵的，规则也配得很细，为什么还是被攻破了？”
答案其实很简单：边界已经不存在了。
传统边界失效，主要有三个原因：
- 移动办公和BYOD：员工用自己的笔记本、手机接入公司网络，这些设备可能已经中毒了。边界防火墙根本看不见终端上的恶意软件。
- 云和混合架构：业务部署在公有云、私有云、本地数据中心，边界变得模糊。你没法用一个防火墙把AWS、Azure和本地机房全包住。
- 零信任理念的冲击：默认不信任任何流量，无论来源是内网还是外网。传统边界模型假设“内网是安全的”，这个假设在今天已经彻底失效了。
我曾经踩过的坑：
有一次帮一家电商公司做安全审计，他们边界防火墙规则写了3000多条，自认为固若金汤。结果我扫描内部网络，发现一台测试服务器居然开放了3389端口，密码还是admin/admin。攻击者只要突破边界，这台服务器就是内网的“高速公路收费站”。边界防火墙再强，也防不住内部裸奔。
3.4 攻击者横向移动路径分析
攻击者横向移动，说白了就是“打进去之后怎么扩散”。我见过太多案例，攻击者从一台边缘Web服务器入手，最后把整个数据中心翻了个底朝天。
典型的横向移动路径是这样的：
- 第一步：突破边界（SQL注入、RCE漏洞、钓鱼邮件）
- 第二步：信息收集（扫描内网、抓取ARP表、查询DNS记录）
- 第三步：凭证窃取（Mimikatz抓密码、Pass-the-Hash、Kerberoasting）
- 第四步：横向跳跃（利用RDP、SMB、WinRM、SSH跳转到其他机器）
- 第五步：权限提升（提权到域管理员、获取数据库DBA权限）
- 第六步：数据窃取（打包数据、外传）
我画了一张图，把攻击者的横向移动路径和微分段的阻断点放在一起，你看一眼就明白了：
你看这张图，攻击者从突破边界到最终数据窃取，中间最关键的环节就是③凭证窃取和④横向跳跃。微分段的核心思路，就是在这两个环节设置阻断点——让攻击者即使拿到了凭证，也没法跳到其他服务器。
实战经验分享：
我在一个大型政企项目里做过横向移动模拟。攻击者从一台Web服务器入手，用了不到30分钟就拿到了域管理员权限。为什么这么快？因为内部服务器之间没有任何访问控制，Web服务器可以直接访问域控制器。后来我们用微分段把Web服务器隔离到独立的安全组，只允许它访问API网关，其他所有流量全部拒绝。同样的攻击路径，攻击者花了3个小时还在Web服务器上打转——根本跳不出去。
3.5 东西向流量的可视化与监控
要防御横向移动，第一步是看清东西向流量。我个人的习惯是，先做流量基线分析，搞清楚正常业务需要哪些通信，然后再制定策略。
常用的东西向流量监控手段：
- NetFlow/IPFIX：网络设备导出流量元数据，分析通信对
- 云VPC Flow Logs：AWS/Azure/GCP的虚拟网络流量日志
- 容器网络监控：Cilium、Calico、Weave Scope等工具
- 主机防火墙日志：Windows Defender Firewall、iptables、nftables
拿到流量数据后，我会重点关注几个指标：
| 指标 | 正常范围 | 异常信号 |
|---|---|---|
| 内部通信对数量 | 与业务架构一致 | 突然出现大量新通信对 |
| 非标准端口通信 | 极少 | 大量非标准端口（如445、3389、22） |
| 跨安全域通信 | 受控且可审计 | 非授权跨域访问 |
| 通信频率 | 符合业务规律 | 异常高频扫描或心跳 |
嗯，这里要特别提醒：不要一上来就搞“默认全部拒绝”。我见过有团队直接在生产环境启用零信任策略，结果业务全崩了。正确的做法是先监控、再分析、然后逐步收紧策略。
避坑指南：
我曾经帮一个客户做微分段，他们内部有3000多个微服务。我建议先做流量基线分析，他们嫌麻烦，直接写了个“默认拒绝所有东西向流量”的策略。结果上线后，订单系统、支付系统、库存系统全部瘫痪——因为服务之间的健康检查、日志上报、配置同步全被拦了。最后花了整整一周才把白名单配完。所以，先看流量，再定策略，别跳步。
总结一下这章的核心：东西向流量才是现代数据中心的主战场，传统边界已经失效，攻击者会利用内部无防护的通信路径进行横向移动。微分段的核心价值，就是在东西向流量上建立精细化的访问控制，让攻击者寸步难行。