vDefend DFW 1-2-3-4：数周内部署零信任微分段，快速保护VCF工作负载

在棕地或绿地环境中部署零信任以快速解决安全漏洞并改善分段状况时，客户需要一个规范的多阶段分段工作流，旨在逐步保护VMware Cloud Foundation (VCF)私有云中的东西向流量。vDefend 提供分布式防火墙 (DFW) 1-2-3-4* —— 一个自动化工作流，可帮助安全管理员系统性地加强其私有云安全态势。客户现在可以通过结构化的分段阶段序列简化和加快实现零信任的路径——从保护关键基础设施服务到保护区域之间的流量，最终实现应用级微分段。此外，随着时间的推移，安全策略可能会变得臃肿且低效。新的防火墙规则分析功能通过分析 DFW 规则来有效管理此问题，使组织能够确保其安全策略精简且有效。

为何全面分段是当务之急

在当今的勒索软件威胁环境中，仅保护边界已被证明是不够的。传统安全解决方案（如边界防火墙）仅保护南北向流量。鉴于东西向（横向）应用流量大约是南北向流量的四倍，部署横向安全以将防御扩展到边界之外至关重要且紧迫。因此，私有云工作负载的很大一部分仍然容易受到攻击，使得攻击者能够危害保护不足的工作负载，并横向移动以危害高价值资产——“皇冠上的明珠”。在2025年，网络攻击导致各行业（包括汽车、零售和制造业）出现数天至数周的严重业务停机，造成数亿美元的经济损失。此外，攻击者正在采用AI/生成式AI技术来识别企业环境中的弱点。这些AI驱动的攻击不仅更快，而且在许多情况下是自主的。现在，组织比以往任何时候都更需要更快地部署分段。然而，许多组织直接跳到应用级微分段，然后由于缺乏对应用通信的可见性以及基础设施和应用团队孤岛之间耗时的协调而面临部署挑战。他们需要的是一个引导式的零信任旅程，以便为其所有工作负载快速部署全面的分段。 vDefend 专为自动发现应用通信、提供安全规则指导并以非中断方式验证策略正确性而构建。结果是：360度分段，内置自动化工作流，包括宏观和微观分段以及持续监控，全部以规范的方式进行。

vDefend DFW 1-2-3-4

数据中心中实际的零信任部署需要详细的工作负载通信可见性、准确的区域和应用映射以及跨多个IT团队的协调。vDefend 使这一过程变得直观且数据驱动，能够实时评估组织的安全态势分段状况。DFW 1-2-3-4 通过分段规划、自动标记和分组、DFW规则部署前后的持续监控以及对实施变更的警报，提供了一个单一的、统一的工作流指南。这一新功能利用分析引擎发现通信模式、识别未受保护的流量并推荐分段规则。客户可以：

消除猜测，加速微分段部署
通过自动化多阶段分段工作流提高效率
快速轻松地保护VCF工作负载

4阶段规范性分段部署旅程

DFW 提供了一个4阶段规范性部署流程，遵循横向流量模式以快速保护其中的每一个，并内置了反映vDefend DFW表中横向流量组件和策略类别的指南。

阶段1：安全分段评估与报告 管理员可以激活DFW 1-2-3-4，可视化主机集群，并生成安全分段报告，该报告突出显示他们当前的安全态势并指出改进机会。在此博客中了解更多关于此评估的信息。每个阶段完成后，客户可以生成安全分段报告以评估其当前的分段得分。每当您的环境发生变化时，得分都会自动重新校准，提供持续反馈并帮助客户跟踪随时间的进展。这种可见性有助于团队展示在实现零信任目标方面可衡量的进展——并向高管和审计人员清晰地传达成果。

阶段2：基础设施（共享）服务分段 从数据中心的基础层开始——共享服务，如DNS、NTP、Syslog、SNMP、DHCP和LDAP/LDAPS。DFW 1-2-3-4 自动发现基础设施服务以识别服务端点，并允许用户验证并自动创建对这些服务的保护规则。或者，用户可以通过CSV文件输入他们已知的基础设施服务端点，供系统添加基础设施服务。此步骤以最小的中断带来快速的安全收益——是团队开始零信任旅程的理想“低垂果实”。锁定这些服务，特别是DNS服务器，使用户能够消除攻击者最常见的命令与控制 (C&C) 和数据外泄路径。

阶段3：环境（区域）分段 一旦基础设施（共享）服务得到保护，用户可以继续定义环境（区域）边界——例如，开发环境和生产环境。用户可以使用CSV文件导入此元数据。该系统支持从CMDB系统（如ServiceNow）甚至从vCenter导出的CSV文件，或者用户可以使用DFW 1-2-3-4提供的简单电子表格模板创建CSV文件。该平台为这些工作负载分配安全标签，验证关系，并通过DFW提供默认的环境级规则，而使用传统防火墙对现有工作负载进行区域分段则需要复杂的网络和IP地址管理。用户可以监控区域之间的流量泄漏，并要求系统提供流量列表或一组可以随后授予例外的推荐规则。DFW 1-2-3-4持续监控这些泄漏，并提醒用户对新发现的泄漏采取行动。此阶段确保环境保持隔离，最大限度地减少跨环境暴露，并收紧组织的整体安全态势。

阶段4：应用微分段 数据中心流量的零信任需要为每个应用定义控制措施。在此阶段，有三个步骤：a. 定义应用边界，用于将其转换为标签和组；b. 定义应用环围控制，控制允许通信的端口和协议；c. 通过跨层级（Web前端、应用服务器和数据库）在每个应用内定义控制来定义微分段。这种细粒度分段不仅强制执行最小权限原则，还增强了抵御东西向威胁的韧性。

阶段4a：工作负载到应用映射：用户可以通过CSV文件将VM到应用的映射上传到系统中。DFW 1-2-3-4随后将自动标记并创建这些应用组。这些应用组随后可用于监控和定义DFW规则。
阶段4b：定义应用环围控制：DFW 1-2-3-4现在可以监控这些标记的应用，系统推荐特定于应用的防火墙控制，仅允许已授权实体之间的通信，同时锁定应用。
阶段4c：应用流量的持续监控和应用层级的微分段控制微调：DFW 1-2-3-4持续监控每个应用，包括规则发布前后。系统继续实时跟踪应用流指标和规则的安全态势。用户可以微调应用层级的规则，以逐步强化其微分段态势。

任务完成——创纪录时间内实现宏观/微观分段

通过DFW 1-2-3-4多阶段安全旅程，典型的零信任部署可以在短短几周内全面、系统性地推出，最重要的是，充满信心。从初始的低分评估开始，部署后的高分验证了对组织安全态势的改善。

利用规则影响分析优化防火墙规则

随着大量应用被分段，这可能导致难以管理的众多安全策略。与传统的以IP地址为中心的防火墙规则不同，vDefend通过基于标签的组和策略（而非基于IP的规则）来简化和扩展安全策略。尽管如此，随着时间的推移，安全策略可能会变得不够优化。这就是防火墙规则分析发挥作用的地方。这一强大功能分析DFW规则，确保安全策略高效。 vDefend的防火墙规则分析识别并标记七种关键的规则优化机会：重复规则、冗余规则、规则整合机会、规则矛盾、影子规则、过于宽松的规则和无效规则。这种校准分析有助于消除规则膨胀并修复潜在的安全配置错误。无需在VCF私有云中为DFW规则分析使用繁琐的手动脚本或单独的第三方工具。vDefend以无额外成本提供更快、更全面的防火墙配置错误和防火墙规则优化机会检测。

* DFW 1-2-3-4和防火墙规则分析是安全智能的功能，可通过安全服务平台 (SSP) 5.1版获得。