搜索

[13466] 2018-11-27_为什么说不要用VLAN、VPC解决东西向隔离问题

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-11-27_为什么说不要用VLAN、VPC解决东西向隔离问题 为 什 么 说 不 要 用 V L A N 、 V P C 解 决 东 西 向 隔 离 问 题 p e a r w i t h   F r e e B u f   2 0 1 8 - 1 1 - 2 7 前 言 前 言 作 为 一 个 严 谨 的 、 有 着 职 业 操 守 的 安 全 从 业 人 员 ， 首 先 我 要 摸 着 良 心 说 ： 技 术 没 有 好 坏 ， 评 价 一 个 技 术 ， 我 们 作 为 一 个 严 谨 的 、 有 着 职 业 操 守 的 安 全 从 业 人 员 ， 首 先 我 要 摸 着 良 心 说 ： 技 术 没 有 好 坏 ， 评 价 一 个 技 术 ， 我 们 主 要 看 它 能 否 在 某 些 场 景 下 很 好 的 解 决 特 定 问 题 。 而 基 于 我 们 多 年 来 的 运 维 经 验 及 实 际 的 客 户 走 访 ， 基 于 主 要 看 它 能 否 在 某 些 场 景 下 很 好 的 解 决 特 定 问 题 。 而 基 于 我 们 多 年 来 的 运 维 经 验 及 实 际 的 客 户 走 访 ， 基 于 V L A N / V P C 的 内 部 隔 离 方 式 基 本 上 已 经 不 再 适 用 于 解 决 虚 拟 数 据 中 心 的 内 部 隔 离 方 式 基 本 上 已 经 不 再 适 用 于 解 决 虚 拟 数 据 中 心 / 私 有 云 （ 包 括 含 有 私 有 云 的 混 合 云 ） 环 私 有 云 （ 包 括 含 有 私 有 云 的 混 合 云 ） 环 境 下 的 东 西 向 隔 离 问 题 。 境 下 的 东 西 向 隔 离 问 题 。 在 开 始 今 天 的 讨 论 之 前 ， 作 为 一 名 日 常 就 是 跟 客 户 聊 安 全 （ j i a n g   c h a n   p i n ） 的 产 品 人 员 ， 要 先 回 答 一 下 客 户 爸 爸 总 是 考 验 （ d i a o   n a n ） 我 的 问 题 “ 内 部 为 什 么 要 做 隔 离 ？ ” 内 部 为 什 么 需 要 隔 离 内 部 为 什 么 需 要 隔 离 从 安 全 建 设 角 度 ： 从 安 全 建 设 角 度 ： 一 直 以 来 ， 企 业 广 泛 的 采 用 纵 深 防 御 技 术 （ d e f e n s i n   d e p t h ） 和 最 小 权 限 逻 辑 （ l e a s t   p r i v i l e g e ） 来 进 行 企 业 网 络 安 全 管 理 。 而 隔 离 是 实 现 这 两 个 理 念 的 基 本 方 式 ， 例 如 传 统 安 全 管 理 中 ， 通 过 边 界 部 署 防 火 墙 来 实 现 可 信 网 络 与 外 部 网 络 的 隔 离 ， 内 部 不 同 安 全 级 别 间 划 分 安 全 域 ， 域 间 通 过 防 火 墙 实 现 隔 离 ， 并 通 过 设 置 安 全 策 略 按 需 赋 予 访 问 权 限 。 从 攻 击 防 御 角 度 ： 从 攻 击 防 御 角 度 ：
从 近 年 来 的 安 全 事 件 我 们 可 以 看 到 ， 攻 击 者 从 以 破 坏 为 主 的 攻 击 逐 渐 转 变 为 以 特 定 的 政 治 或 经 济 目 的 为 主 的 高 级 可 持 续 攻 击 。 无 论 从 著 名 的 L o c k h e e d   M a r t i n   C y b e r   K i l l   C h a i n （ 洛 克 希 德 - 马 丁 公 司 提 出 的 网 络 攻 击 杀 伤 链 ） ， 还 是 近 年 名 声 大 噪 的 勒 索 病 毒 、 挖 矿 病 毒 ， 这 些 攻 击 都 有 一 些 显 著 特 点 ， 一 旦 边 界 的 防 线 被 攻 破 或 绕 过 ， 攻 击 者 就 可 以 在 数 据 中 心 内 部 横 向 移 动 ， 而 中 心 内 部 基 本 没 有 安 全 控 制 的 手 段 可 以 阻 止 攻 击 。 这 也 突 出 了 传 统 安 全 的 一 个 主 要 弱 点 ， 复 杂 的 安 全 策 略 、 巨 大 的 资 金 和 技 术 都 用 于 了 边 界 防 护 ， 而 同 样 的 安 全 级 别 并 不 存 在 于 内 部 。 从 安 全 闭 环 角 度 ： 从 安 全 闭 环 角 度 ： 有 了 行 为 分 析 、 有 了 蜜 罐 、 有 了 态 势 感 知 ， 却 没 有 了 最 基 本 的 访 问 控 制 。 数 据 中 心 内 部 往 往 几 百 台 虚 拟 机 域 内 全 通 ； 安 全 策 略 “ 只 敢 增 、 不 敢 减 ” ； 内 部 大 量 的 检 测 设 备 ， 但 防 护 在 哪 里 … … 讲 到 这 ， 如 果 客 户 爸 爸 还 没 赶 我 出 去 ， 那 就 可 以 开 始 我 的 表 演 了 ： 场 景 一 ： 场 景 一 ： 我 ： “ 客 户 爸 爸 ， 听 说 您 的 数 据 中 心 去 年 就 完 成 虚 拟 化 建 设 ， 投 入 使 用 了 。 业 务 生 产 效 率 提 升 了 一 大 截 呢 ！ ” 客 户 爸 爸 ： “ 嗯 ， 我 们 选 择 国 外 大 厂 的 虚 拟 化 技 术 去 年 完 成 的 建 设 。 虚 拟 化 数 据 中 心 的 确 提 升 了 运 营 效 率 。 ” 我 ： “ 咱 们 现 在 有 多 少 台 虚 拟 机 了 ？ ” 客 户 爸 爸 ： “ 目 前 一 共 5 0 0 多 台 ， 有 些 业 务 还 在 迁 移 ， 增 长 比 较 快 ， 明 年 预 计 能 达 到 1 0 0 0 台 。 ” 我 ： “ 这 么 多 虚 拟 机 ， 咱 们 内 部 怎 么 管 理 啊 ” 客 户 爸 爸 ： “ 我 们 主 要 是 通 过 划 分 V L A N 进 行 管 理 的 … … ”
场 景 二 ： 场 景 二 ： 我 ： “ 客 户 爸 爸 ， 听 说 您 的 私 有 云 去 年 就 完 成 建 设 ， 开 始 使 用 了 。 现 在 好 多 企 业 才 刚 刚 起 步 。 ” 客 户 爸 爸 ： “ 嗯 ， 我 们 三 年 前 就 开 始 做 技 术 调 研 了 ， 去 年 完 成 的 建 设 。 云 数 据 中 心 的 确 是 未 来 的 建 设 趋 势 啊 。 ” 我 ： “ 咱 们 现 在 有 多 少 台 虚 拟 机 了 ？ ” 客 户 爸 爸 ： “ 目 前 一 共 1 0 0 0 多 台 ， 有 些 业 务 还 在 迁 移 ， 增 长 比 较 快 ， 明 年 预 计 能 达 到 1 5 0 0 台 。 ” 我 ： “ 这 么 多 啊 ， 您 这 私 有 云 在 行 业 内 算 得 上 是 标 杆 了 。 这 么 多 虚 拟 机 ， 咱 们 内 部 怎 么 管 理 啊 ” 客 户 爸 爸 ： “ 我 们 主 要 通 过 云 厂 商 提 供 的 V P C 进 行 内 部 管 理 … … ” 虚 拟 化 数 据 中 心 根 据 底 层 架 构 的 不 同 ， 基 于 V L A N / V P C 的 内 部 隔 离 是 两 种 比 较 常 见 的 方 式 。 很 多 企 业 先 根 据 部 门 、 业 务 系 统 将 数 据 中 心 逻 辑 上 划 分 成 不 同 安 全 域 ， 并 通 过 V L A N / V P C 的 方 式 进 行 隔 离 ， 再 将 虚 拟 机 部 署 在 各 V L A N / V P C 中 。 由 于 V L A N / V P C 均 为 二 层 隔 离 ， 如 果 各 组 之 间 需 要 通 信 ， 则 需 要 通 过 三 层 设 备 （ 三 层 交 换 、 防 火 墙 ） 进 行 。 两 种 方 式 主 要 都 是 延 续 了 传 统 数 据 中 心 安 全 管 理 的 思 维 ， 分 堆 、 分 隔 、 访 问 控 制 。 但 实 际 上 ， 客 户 在 运 维 的 过 程 中 ， 基 本 都 渐 渐 的 “ 一 切 从 简 “ — — 几 百 台 虚 拟 机 分 为 3 、 4 个 域 ， 域 间 配 置 一 些 基 于 网 段 的 访 问 控 制 规 则 ， 域 内 全 通 。 这 个 时 候 ， 为 了 不 让 客 户 爸 爸 掉 到 V L A N / V P C 隔 离 的 “ 大 坑 “ 中 ， 专 业 （ w e i   l e   x i a n g   m u ） 的 我 一 定 要 给 客 户 爸 爸 讲 讲 什 么 才 是 东 西 向 隔 离 。 有 因 才 有 果 ， 我 们 先 分 析 下 虚 拟 数 据 中 心 / 私 有 云 的 特 点 ： 虚 拟 数 据 中 心 虚 拟 数 据 中 心 / 私 有 云 的 特 点 私 有 云 的 特 点 1 .   虚 拟 机 数 量 较 多 ， 少 则 几 百 台 ， 多 则 几 千 上 万 台 ， 且 不 断 增 加 。 2 .   多 分 支 机 构 、 多 业 务 部 门 使 用 ， 安 全 级 别 复 杂 3 .   业 务 灵 活 多 变 。 资 源 按 需 分 配 ， 变 化 随 时 发 生 （ 业 务 上 下 线 ， 扩 容 ， 复 制 ， 漂 移 ） 。 根 据 以 上 特 点 ， 结 合 等 保 2 . 0 中 虚 拟 机 之 间 访 问 控 制 ， 内 部 攻 击 检 测 、 阻 断 等 要 求 ， 东 西 向 的 隔 离 应 该 具 备 以 下 能 力 ： 东 西 向 隔 离 应 该 具 备 的 能 力 东 西 向 隔 离 应 该 具 备 的 能 力 1 、 识 别 内 部 业 务 的 访 问 关 系 。 东 西 向 不 易 管 理 ， 很 大 程 度 上 是 因 为 内 部 流 量 不 可 见 ， 从 而 导 致 安 全 策 略 设 计 、 调 整 困 难 。 能 够 识 别 主 机 （ 包 括 容 器 ） 之 间 的 流 量 ， 包 括 访 问 的 服 务 、 端 口 、 次 数 ， 甚 至 是 进 程 等 。 2 、 能 够 实 现 端 到 端 隔 离 。 具 备 物 理 服 务 器 之 间 、 虚 拟 机 之 间 、 容 器 之 间 的 访 问 控 制 能 力 ， 控 制 粒 度 为 端 口 级 。 3 、 能 够 下 降 内 部 主 机 的 攻 击 面 。 可 以 设 置 访 问 来 源 、 及 其 可 以 访 问 的 服 务 和 端 口 ； 具 备 网 络 层 面 关 闭 端 口 的 能 力 。 4 、 策 略 可 视 化 编 辑 及 统 一 管 理 能 力 。 可 图 形 化 展 示 现 有 安 全 策 略 状 态 ； 可 图 形 化 编 辑 安 全 策 略 ； 全 网 的 安 全 策 略 可 以 通 过 统 一 界 面 进 行 管 理 。 5 、 策 略 自 动 化 部 署 。 能 够 适 应 私 有 云 弹 性 可 拓 展 的 特 性 ， 在 虚 拟 机 迁 移 、 克 隆 、 拓 展 等 场 景 下 ， 安 全 策 略 能 够 自 动 变 化 。 支 持 自 动 化 编 排 。
6 、 支 持 混 合 云 架 构 。 混 合 云 环 境 下 ， 支 持 跨 平 台 的 流 量 识 别 及 策 略 统 一 管 理 。 遗 憾 的 是 ， 基 于 V L A N / V P C 的 内 部 隔 离 方 式 基 本 满 足 不 了 东 西 向 隔 离 的 需 求 。 基 于 基 于 V L A N / V P C 内 网 隔 离 的 内 网 隔 离 的 “ 七 宗 罪 七 宗 罪 ” 1 、 过 于 静 态 。 静 态 的 V L A N / V P C 划 分 限 定 了 虚 拟 机 的 位 置 ， 与 云 数 据 中 心 的 动 态 特 性 相 悖 。 2 、 攻 击 面 过 大 。 虚 拟 机 数 量 大 幅 增 加 ， 过 大 的 V L A N / V P C 划 分 会 给 攻 击 者 提 供 较 大 的 攻 击 范 围 ， 一 旦 组 内 一 台 主 机 被 控 制 ， 攻 击 者 就 可 以 随 意 的 横 向 移 动 。 3 、 成 本 过 高 。 细 分 安 全 域 ， 然 后 部 署 数 百 甚 至 数 千 个 防 火 墙 以 做 到 内 部 访 问 控 制 ， 在 财 务 和 操 作 上 是 不 可 行 的 。 4 、 影 响 业 务 交 付 。 在 新 增 业 务 或 改 变 现 有 业 务 时 ， 安 全 人 员 必 须 手 动 修 改 安 全 策 略 ， 从 而 符 合 这 个 静 态 又 重 量 级 的 网 络 拓 扑 ， 大 幅 增 加 业 务 延 迟 ， 也 容 易 造 成 配 置 错 误 。 5 、 安 全 策 略 管 理 复 杂 。 防 火 墙 的 配 置 错 误 、 策 略 更 改 均 是 网 络 中 断 的 常 见 原 因 。 尤 其 是 防 火 墙 的 策 略 配 置 ， 无 法 预 先 测 试 、 错 误 配 置 很 难 排 查 ， 防 火 墙 策 略 往 往 存 在 “ 只 敢 增 ， 不 敢 减 ” 的 问 题 。 6 、 增 加 网 络 延 迟 。 这 种 设 计 增 加 了 网 络 复 杂 性 ， 降 低 了 网 络 性 能 。
7 、 无 法 适 用 于 混 合 云 模 式 。 当 用 户 有 多 个 云 数 据 中 心 时 ， 割 裂 的 安 全 ， 增 加 管 理 的 复 杂 度 。 总 结 起 来 就 是 基 于 V L A N / V P C 的 内 部 隔 离 ， 不 怎 么 合 规 、 不 怎 么 灵 活 、 粒 度 相 当 粗 、 运 维 特 别 难 。 综 上 所 述 ， 不 管 是 摸 着 哪 位 老 师 的 良 心 ， 我 都 要 说 ， 在 虚 拟 数 据 中 心 环 境 下 ， 基 于 V L A N / V P C 的 内 部 隔 离 只 适 用 于 粗 粒 度 的 大 安 全 域 间 隔 离 ， 对 于 解 决 东 西 向 隔 离 问 题 ， 基 本 已 经 凉 凉 。 V L A N / V P C 虽 然 凉 ， 但 客 户 爸 爸 不 要 冷 ， 针 对 虚 拟 数 据 中 心 内 部 的 隔 离 问 题 ， 国 际 上 早 有 定 论 。 云 中 心 内 部 隔 离 的 最 佳 实 践 云 中 心 内 部 隔 离 的 最 佳 实 践 — — 微 隔 离 微 隔 离 微 隔 离 （ M i c r o S e g m e n t a t i o n ） 最 早 由 G a r t n e r 在 其 软 件 定 义 的 数 据 中 心 （ S D D C ） 的 相 关 技 术 体 系 中 提 出 ， 用 于 提 供 主 机 （ 容 器 ） 间 安 全 访 问 控 制 （ 区 别 于 过 去 的 安 全 域 间 的 安 全 访 问 控 制 ） , 并 对 东 西 向 流 量 进 行 可 视 化 管 理 。 微 隔 离 技 术 基 本 上 以 软 件 定 义 为 主 ， 可 以 很 好 的 适 应 云 中 心 的 动 态 特 性 。 而 且 从 定 义 上 就 能 看 出 ， 其 主 要 解 决 的 就 是 如 何 将 错 综 复 杂 的 云 内 流 量 看 清 楚 ， 管 理 好 。
微 隔 离 并 不 是 理 念 上 的 革 新 ， 它 从 管 理 理 念 上 坚 持 了 纵 深 防 御 、 最 小 权 限 这 些 被 广 泛 认 可 的 原 则 ， 所 不 同 的 地 方 在 于 微 隔 离 使 得 这 些 理 念 能 够 在 完 全 不 同 的 虚 拟 化 数 据 中 心 和 复 杂 的 内 部 通 信 模 型 下 继 续 被 有 效 贯 彻 。 在 G a r t n e r 2 0 1 7 年 的 报 告 中 认 为 微 隔 离 将 在 未 来 2 - 5 年 内 成 为 主 流 技 术 。 后 续 预 告 后 续 预 告 我 ： “ 这 么 多 虚 拟 机 ， 咱 们 内 部 怎 么 管 理 啊 ” 客 户 爸 爸 ： “ 我 们 正 在 考 虑 通 过 S D N 牵 引 的 方 案 进 行 管 理 … … ” * 本 文 作 者 ： p e a r w i t h ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理