1. 课程导入与安全工程视角

在真实的企业网络中，安全事件很少是“单点突破即全线失守”，更多时候是攻击者从一个被攻陷的边缘主机出发，借助扁平化的内网横向移动，逐步接近核心数据库、域控或生产控制区。网络分区与微隔离，正是针对这种“横向移动”风险而设计的两类互补手段。本课程将围绕它们展开，从概念、合规要求，到工程落地、策略编排、验证与排障，形成一条完整的工程能力链。

一、从“边界防护”到“内部隔离”的视角转变

传统安全架构假设“内网可信、外网不可信”，因此把主要资源投入到互联网边界。但一旦攻击者通过钓鱼邮件、VPN 弱口令或供应链漏洞进入内网，边界就形同虚设。零信任的核心主张是“永不信任、始终验证”，它要求不再以网络位置作为信任依据，而是以身份、设备状态、访问上下文为基础，对每一次访问进行判断。网络分区与微隔离，正是零信任在“网络层”落地的关键支撑：分区解决“大范围隔离”，微隔离解决“细粒度隔离”。

从等保合规角度看，《信息安全技术 网络安全等级保护基本要求》在“安全区域边界”和“安全计算环境”中明确要求划分安全区域、限制非授权访问、对重要区域进行重点保护。三级及以上系统还要求对访问进行细粒度控制与审计。因此，网络分区与微隔离不仅是技术选择，也是合规落地的必要动作。

二、定义：网络分区与微隔离的边界

网络分区是指按照业务功能、安全等级、数据敏感度或组织归属，将网络划分为若干逻辑或物理区域，并在区域之间部署访问控制策略。典型对象包括：办公区、DMZ、生产区、测试区、运维管理区、数据库区。分区通常以 VLAN、子网、防火墙安全域、VRF 或云上 VPC/子网为载体，策略粒度较粗，强调“区域到区域”的允许或拒绝。

微隔离则把控制粒度下沉到工作负载级别，通常以虚拟机、容器、Pod、物理主机或进程为对象，基于标签、身份或业务角色定义策略。它不依赖 IP 地址的静态绑定，而是随工作负载迁移动态生效。微隔离的典型表达是“某类工作负载只能访问某类工作负载的某端口”，例如“前端 Web 只能访问订单服务的 8080 端口，不能访问数据库的 3306 端口”。

两者不是替代关系，而是分层关系：分区提供粗粒度的“大区域隔离”，微隔离提供细粒度的“东西向控制”。一个成熟方案通常先用分区收敛攻击面，再用微隔离限制区域内部的横向移动。

三、目标：我们到底要达成什么

网络分区与微隔离的工程目标可以归纳为四点：第一，限制横向移动，让攻击者即使攻陷一台主机，也无法轻易到达其他业务系统；第二，缩小爆炸半径，把安全事件的影响范围控制在最小业务单元内；第三，满足合规要求，为等保测评提供可验证的区域边界与访问控制证据；第四，支撑业务可视化，通过流量关系梳理，让运维团队清楚“谁在访问谁、走什么端口、是否必要”。

需要强调的是，隔离不是目的，业务连续才是。过度隔离会导致业务中断、排障困难、策略膨胀。因此工程上必须遵循“先观察、后收紧、再验证”的节奏，而不是一次性全量拒绝。

四、本课程交付的工程能力地图

本课程共 30 章，围绕“规划—设计—实施—验证—运营”五个阶段展开。为便于理解各阶段之间的关系，下面用一张能力地图展示从资产梳理到持续运营的完整链路。图中每个节点都对应后续章节中的具体任务、工具与判断依据。

这张能力地图不是线性流程，而是一个闭环：运营阶段发现的误阻断、策略冗余、业务变更，会反向驱动规划与设计调整。后续章节会逐一展开每个节点的具体做法，例如如何用流量发现工具生成初始策略、如何设计标签体系、如何用连通性测试验证策略、如何排查“策略已下发但流量仍不通”的问题。

五、一个教学示例：从扁平到隔离的对比

假设某企业有三个业务系统：Web 前端、订单服务、MySQL 数据库，初始部署在同一 VLAN 内，任意主机可互访。攻击者攻陷 Web 前端后，可直接扫描并连接数据库 3306 端口。实施分区与微隔离后，规划如下：Web 前端划入 DMZ 区，订单服务划入应用区，数据库划入数据区；微隔离策略只允许 Web→订单:8080、订单→数据库:3306，其余默认拒绝。此时即使 Web 被攻陷，也无法直接访问数据库，必须经过订单服务，攻击路径被显著拉长。

本课程不追求一次性建成完美隔离体系，而是强调可落地、可验证、可回退的工程方法。接下来，我们将从资产与业务梳理开始，逐步构建属于你自己的分区与微隔离能力。