微分段减少网络攻击面
各种规模的公司快速采用云服务可以带来许多业务优势，尤其是提高敏捷性并降低 IT 基础设施成本。然而，随着 IT 环境变得更加异构和地理分布，许多组织的安全攻击面呈指数级增长。随着越来越多的企业采用整体式应用程序部署方法和更广泛的基础设施自动化，IT 基础设施变革步伐的加快加剧了这一挑战。
系统强化、主动漏洞管理、强大的访问控制和网络分段等长期安全实践在安全团队减少攻击面的努力中继续发挥着重要作用。然而，由于多种原因，这些措施在混合云环境中不再足够。
首先，虽然这些实践仍然具有相关性，但它们对于解决攻击面的显着增长（例如云采用和容器引入的新应用程序部署模型）几乎没有作用。此外，很难跨混合云基础设施一致地实施这些实践，因为它们通常与特定的本地或云环境相关联。最后，随着应用程序部署模型变得更加分散和动态，它使组织面临未经批准的横向移动的更大风险。随着东/西流量的增长，仅基于网络的分段过于粗糙，无法防止攻击者利用开放端口和服务来扩大其攻击范围并找到可利用的漏洞。
这些现实促使许多安全经理和行业专家将微分段作为战略重点。当您将 IT 基础设施转变为云时，实施包括可见性功能和流程级策略控制的整体微分段方法是减少攻击面的最有效方法。此外，由于微分段是在工作负载级别而不是基础设施级别执行的，因此它可以在整个混合云基础设施中一致实施，并随着环境变化或工作负载重新定位而无缝适应。
可视化攻击面
安全团队可以采取的减少攻击面的最有益步骤之一是深入了解其应用程序基础设施的功能及其随时间的演变。通过详细了解攻击面，安全团队可以更有效地实施新的控制措施以缩小规模。
使用微分段解决方案可视化环境使安全团队可以更轻松地识别任何妥协指标并评估其当前的潜在暴露状态。此过程应包括可视化各个应用程序（及其依赖项）、系统、网络和流程，以明确定义预期行为并确定可以应用额外控制以减少攻击面的区域。
微分段减少攻击面
随着越来越多的应用程序工作负载迁移到公共云和混合云架构，现有的攻击面减少工作经常遇到问题的一个领域是横向移动检测和预防。更多的分布式应用程序架构增加了许多数据中心和云环境中的“东/西”流量。虽然大部分流量是合法的，但可以在这些环境中广泛通信的可信资产对于攻击者来说是有吸引力的目标。随着网络边界的传统概念变得不再那么重要，它们变得更容易理解。
当资产受到损害时，攻击者通常采取的第一步是调查和分析受损害资产周围的环境，寻找更高价值的目标，并尝试将横向移动与合法应用程序和网络活动结合起来。
微分段解决方案可以帮助安全团队创建精细的策略来帮助防范此类攻击：
对彼此的申请进行细分；
应用程序内的分段层；
围绕具有特定合规性或监管要求的资产创建清晰的安全边界；
在整个基础架构中实施一般企业安全策略和最佳实践。
这些措施以及其他类似措施减缓或阻止了攻击者横向移动的努力。当有效实施时，微分段可以在整个基础设施中更广泛地应用最小特权原则，即使它从数据中心延伸到一个或多个云平台。
即使 IT 基础设施不断发展和多样化，通过应用程序和流程的深度治理来防止横向移动也可以减少可用的攻击面。
超越网络攻击面
流程级控制使安全团队能够真正将其安全策略与特定的应用程序逻辑和监管要求保持一致，而不仅仅是通过基础设施的视角来查看它们。
这种应用程序意识是微分段减少攻击面的关键因素。将非常具体的进程级流列入白名单的巧妙策略可以更有效地减少攻击面，聪明的攻击者可以通过利用具有受信任 IP 地址的系统或在允许的端口中混合攻击来规避攻击面。
多操作系统、多环境方法的重要性
随着向混合云环境的过渡加速，企业很容易忽视这种变化放大了攻击面规模的程度。新的物理环境、平台和应用程序部署方法会产生许多新的潜在风险领域。
除了提供更精细的控制之外，微分段为希望减少攻击面的企业提供的另一个好处是，它支持跨多个操作系统和部署环境的统一安全模型。当策略侧重于特定流程和流程而不是基础设施组件时，它们可以应用于本地和云托管资源的任意组合，甚至可以在特定工作负载在数据中心和一个或多个云平台之间移动时保持一致。与依赖于特定环境或平台的单点安全产品相比，这是一个主要优势，因为即使环境变得更大且更加异构，它也可以最大限度地减少攻击面。
选择微分段平台时，重要的是要验证该解决方案是否可以在整个基础设施中无缝工作，而无需任何特定于环境或平台的依赖性。这包括验证Windows和Linux之间的控制级别是否一致，并且不依赖于内置操作系统防火墙，后者不具备必要的灵活性。虽然向云或混合云 IT 基础设施的过渡确实有可能引入新的安全风险，但随着越来越多的基础设施变得更加多样化和复杂，管理良好的微分段方法是一种高度精细且与底层基础设施隔离的方法。应用程序感知实际上可以减少攻击面。
