1、安全隔离基础：隔离的定义与目标、横向扩散的常见路径、隔离的三种模式

各位好，我是老赵。今天咱们开始《隔离处置实战》的第一章。说实话，干了这么多年红蓝对抗，我见过太多因为隔离没做好，被对手一波捅穿的案例。你想想看，一个内网几千台机器，只要有一台失陷，如果隔离不到位，攻击者就能像逛超市一样在内部横向移动。嗯，这章咱们就把基础打牢。

1.1 隔离的定义与目标

隔离，说白了就是「把不该连的断开」。不是让你把网线全拔了，而是有策略地切断攻击路径。

我个人习惯把隔离的目标总结为三点：

• 限制访问边界：只让该通的通，不该通的一律不通。比如数据库服务器，只有业务中台能连，运维人员必须通过跳板机。
• 阻断扩散路径：一旦某台机器失陷，攻击者无法利用它去攻击其他机器。我在项目中遇到过，一个客户因为没做东西向隔离，勒索病毒半小时内感染了200多台服务器。
• 缩小攻击面：暴露的服务越少，能被利用的点就越少。你想想看，一个Web服务器上开着3389端口，这不是给攻击者送菜吗？

1.2 横向扩散的常见路径

要防住横向扩散，你得先知道攻击者是怎么「横着走」的。我见过太多安全工程师，只盯着南北向流量，结果被东西向打穿了。

常见的横向扩散路径，我整理了一下：

攻击路径	典型手法	我见过的真实案例
口令复用	拿到一台机器的本地管理员密码，用同样的密码去撞其他机器	某甲方内网所有服务器都用同一个本地管理员密码，一台沦陷，全内网沦陷
Pass-the-Hash	利用抓取的NTLM Hash直接认证，不需要明文密码	红队演练时，我靠一个域管理员的Hash，5分钟控制了整个域
漏洞利用	利用EternalBlue、Log4j等漏洞远程执行命令	WannaCry爆发那年，多少内网因为没打补丁被横向打穿
远程管理工具滥用	利用PsExec、WMI、WinRM等工具远程执行命令	攻击者用PsExec在内网批量下发木马，流量还混在正常管理流量里
凭证窃取	从LSASS内存、DPAPI、浏览器中窃取凭证	Mimikatz跑一遍，域管理员密码直接明文摆在你面前

1.3 隔离的三种模式

隔离不是只有一种玩法。根据场景不同，我习惯把隔离分为三个层面：网络隔离、主机隔离、应用隔离。这三个层面要配合使用，单靠一个层面很难防住所有攻击。

1.3.1 网络隔离

网络隔离是最基础的。说白了就是通过防火墙、ACL、VLAN这些手段，把网络切成一块一块的。

• 物理隔离：网线都不通，最安全但也最不灵活。比如涉密网和互联网之间。
• 逻辑隔离：通过VLAN、VRF、防火墙策略实现。比如把生产网、办公网、测试网隔开。
• 微隔离：这是现在的主流。在虚拟机或容器级别做隔离，粒度可以细到进程级别。我在云原生项目里经常用。

1.3.2 主机隔离

主机隔离是在操作系统层面做限制。即使攻击者拿到了主机权限，也无法轻易扩散。

• 主机防火墙：只允许必要的端口和IP通信。比如Windows防火墙、iptables。
• 主机入侵防御：通过HIPS、AppLocker、SELinux限制进程行为。
• 凭证保护：启用LSA保护、Credential Guard，防止凭证被窃取。

我记得有一次红队演练，目标主机上启用了AppLocker，只允许签名的程序运行。我们拿到的Shell根本没法执行任何工具，最后只能放弃这台机器。这就是主机隔离的价值。

1.3.3 应用隔离

应用隔离是在软件层面做隔离。比如容器、沙箱、应用白名单。

• 容器化：每个应用跑在独立的容器里，即使一个容器被攻破，攻击者也无法影响其他容器。
• 沙箱：把不可信的程序放在沙箱里运行，限制其文件系统和网络访问。
• 应用白名单：只允许白名单里的程序运行，其他一律禁止。

知识体系总览

下面这张图，是我自己画的隔离知识体系。你可以把它当成这一章的地图，后面每讲一个点，都能在这张图上找到位置。

嗯，这张图把这一章的核心内容都串起来了。从隔离的目标出发，分出三种模式，再对应到横向扩散的常见路径。后面几章，我们会针对每一种模式展开讲具体的配置和实战技巧。