vDefend DFW 1-2-3-4：数周内部署零信任微分段以快速保护VCF工作负载

在棕地或绿地环境中部署零信任以快速解决安全漏洞并改善分段态势时，客户需要一个规范的、多阶段的分段工作流，旨在逐步保护VMware Cloud Foundation私有云中的东西向流量。vDefend提供分布式防火墙1-2-3-4*——一个自动化工作流，帮助安全管理员系统地加强其私有云安全态势。客户现在可以通过结构化的分段阶段序列（从保护关键基础设施服务到保护区域间流量，最终实现应用级微分段）来简化和加速实现零信任的路径。此外，随着时间的推移，安全策略可能会变得臃肿和低效。新的防火墙规则分析功能通过分析DFW规则来有效管理此问题，使组织能够确保其安全策略精简而有效。

为何全面的分段是当前迫切所需

在当今的勒索软件威胁形势下，仅保护边界已被证明是不够的。传统的安全解决方案（如边界防火墙）仅保护南北向流量。鉴于东西向（横向）应用流量大约是南北向流量的四倍，部署横向安全以将防御扩展到边界之外至关重要且紧迫。

因此，私有云工作负载的很大一部分仍然脆弱，使攻击者能够危害保护不足的工作负载，并横向移动以危害高价值资产——“王冠上的宝石”。2025年，网络攻击在各个行业（包括汽车、零售和制造业）造成了数天至数周的大量业务停机，导致数亿美元的经济损失。

此外，攻击者正在采用AI/生成式AI技术来识别企业环境中的弱点。这些AI驱动的攻击不仅更快，而且在许多情况下是自主的。现在，组织比以往任何时候都更需要更快地部署分段。然而，许多组织直接跳转到应用级微分段，然后由于缺乏对应用通信的可见性以及基础设施和应用团队孤岛之间耗时的协调而面临部署挑战。他们需要的是一个有指导的零信任旅程，以快速为其所有工作负载部署全面的分段。

vDefend专为自动发现应用通信、提供安全规则指导并以非中断方式验证策略正确性而构建。其结果是：360度分段，内置包含宏观和微分段以及持续监控的自动化工作流，所有都以规范的方式进行。

vDefend DFW 1-2-3-4

在数据中心实际部署零信任需要详细了解工作负载通信、准确的区域和应用映射，以及跨多个IT团队的协调。vDefend通过实时分段评估组织的安全态势，使此过程变得直观且数据驱动。DFW 1-2-3-4通过分段规划、自动标记和分组、DFW规则部署前后的持续监控以及强制执行变更的警报，提供了一个单一的、统一的工作流指南。这项新功能利用一个分析引擎，发现通信模式、识别未受保护的流量并推荐分段规则。

客户可以：

• 在没有猜测的情况下加速微分段部署
• 通过自动化的多阶段分段工作流提高效率
• 快速轻松地保护VCF工作负载

4阶段规范性分段部署旅程

DFW提供了一个4阶段规范性部署过程，遵循横向流量模式以快速保护其中的每一个，并内置了反映vDefend DFW表中横向流量组件和策略类别的指导。

第1阶段：安全分段评估与报告 管理员可以激活DFW 1-2-3-4，可视化主机集群，并生成安全分段报告，该报告突出显示他们当前的安全态势并指出改进机会。在本博客中了解更多关于此评估的信息。 随着每个阶段的完成，客户可以生成安全分段报告以评估他们当前的分段分数。每当您的环境发生变化时，分数会自动重新校准，提供持续反馈并帮助客户跟踪随时间推移的进展。这种可见性有助于团队展示向零信任目标迈出的可衡量进展，并向高管和审计人员清晰地传达成果。

第2阶段：基础设施（共享）服务分段 从数据中心的基础层开始——共享服务，如DNS、NTP、Syslog、SNMP、DHCP和LDAP/LDAPS。DFW 1-2-3-4自动发现基础设施服务以识别服务端点，并允许用户验证和自动创建对这些服务的保护规则。或者，用户可以通过CSV文件输入他们已知的基础设施服务端点，供系统添加基础设施服务。此步骤以最小的干扰带来快速的安全收益——对于开始零信任旅程的团队来说是理想的“低垂果实”。锁定这些服务，尤其是DNS服务器，可以使用户消除攻击者最常见的命令与控制及数据外泄路径。

第3阶段：环境（区域）分段 一旦基础设施（共享）服务受到保护，用户可以继续定义环境（区域）边界——例如，开发和生产。用户可以使用CSV文件导入此元数据。系统支持从CMDB系统（例如ServiceNow）甚至从vCenter导出的CSV文件，或者用户可以使用DFW 1-2-3-4提供的简单电子表格模板创建CSV文件。该平台为这些工作负载分配安全标签，验证关系，并通过DFW提供默认的环境级规则，而使用传统防火墙对现有工作负载进行区域分段则需要复杂的网络和IP地址管理。

用户可以监控区域之间的流量泄漏，并要求系统提供流量列表或一组可以随后被授予例外的推荐规则。DFW 1-2-3-4持续监控这些泄漏，并提醒用户对新发现的泄漏采取行动。此阶段确保环境保持隔离，最大限度地减少跨环境暴露，并加强组织的整体安全态势。

第4阶段：应用微分段 数据中心流量的零信任需要为每个应用程序定义控制措施。在此阶段，有三个步骤：a. 定义用于将其转换为标签和组的应用边界；b. 定义应用围栏控制，以控制允许在哪些端口和协议上进行通信；c. 通过跨层级（Web前端、应用服务器和数据库）在每个应用内部定义控制措施来进行微分段。这种细粒度的分段不仅强制执行最小权限，还增强了应对东西向威胁的韧性。

• 第4a阶段：工作负载到应用映射 用户可以通过CSV文件将VM到应用的映射上传到系统中。DFW 1-2-3-4随后将自动标记并创建这些应用组。这些应用组随后可用于监控和定义DFW规则。

• 第4b阶段：定义应用围栏控制 DFW 1-2-3-4现在可以监控这些带标签的应用程序，系统推荐应用特定的防火墙控制措施，仅允许授权实体之间的通信，同时锁定应用程序。

• 第4c阶段：应用流量的持续监控和应用层级的微分段控制微调 DFW 1-2-3-4在规则发布前后持续监控每个应用程序。系统继续实时跟踪应用程序流指标和规则的安全态势。用户可以微调应用层级的规则，逐步加强其微分段态势。

任务完成——以创纪录的时间实现宏观/微分段

借助DFW 1-2-3-4多阶段安全旅程，典型的零信任部署可以在短短几周内全面、系统化，最重要的是，有信心地推出。从初始的低分评估开始，部署后的高分验证了对组织安全态势的改进。

通过规则影响分析优化防火墙规则

随着大量应用被分段，可能会导致数量众多的安全策略难以管理。与传统的以IP地址为中心的防火墙规则不同，vDefend使用基于标签的组和策略来简化和扩展安全策略，而不是基于IP的规则。尽管如此，随着时间的推移，安全策略可能会变得不够优化。这就是防火墙规则分析的用武之地。这个强大的功能分析DFW规则，确保安全策略高效。

vDefend的防火墙规则分析识别并标记七种关键的规则优化机会：重复规则、冗余规则、规则合并机会、规则矛盾、影子规则、过于宽松的规则以及无效规则。这种校准的分析有助于消除规则膨胀并修复潜在的安全配置错误。在您的VCF私有云中，无需再使用繁琐的手动脚本或需要单独的第三方工具进行DFW规则分析。vDefend以零额外成本为防火墙配置错误和防火墙规则优化机会提供更快、更全面的检测。

*DFW 1-2-3-4和防火墙规则分析是安全智能的功能，可通过安全服务平台5.1版本获得。