传统的网络隔离有VLAN 技术、VxLAN 技术、VPC 技术，统称虚拟化技术。VLAN是粗粒度的网络隔离技术，VxLAN 技 术、VPC技术采用Hypervisor技术实现网络隔离，但是远没有达到细粒度的网络隔离。而微隔离则是基于主机Agent技术实现了应用程序、端口、进程和容器的网络隔离，解决了云化场景以及跨混合云架构下 的细粒度网络隔离。

随着攻防对抗演练活动越来越受关注，所暴露出的问题也越来越多。就拿隔离来说，当攻击者有机会拿到内网一个跳板机，结果发现内网网络基本是畅通的，缺少有效的发现与隔离手段。为了适应攻防对抗防护的要求、满足新的IT架构的要求，不得不再重新分析和审视隔离的重要性。

CWPP产品能力金字塔模型中，网络防火墙、可视化和微隔离作为核心工作负载保护策略。安全狗云隙微隔离产品基于 CWPP技术方案，通过在公有云、私有云、混合云模式下的服务器工作负载安装Agent，采集工作负载之间的网络流量，以可视化展示网络访问关系，实现根据业务需求设置访问控制策略，并且能够适配容器环境。

云工作负载平台Agent安装部署后进行流量上报，通过可视化管理、策略管理，各个模块进行联动，模块间数据联通，形成闭环系统，实现对数据中心、云环境主机的业务访问可视化管理，绘制可视化的业务拓扑。同时提供多种微隔离能力，对主机进行全方位的精细化隔离与防护策略管理，控制业务流量访问。

云隙微隔离业务拓扑可分为四个级别： 全局视图：是一个高层级视图，可以显示数据中心如何分布在不同的位置，每个数据中心包含多少个业务组及工作负载数量。 数据中心视图：由全局视图进到一个数据中心，展示数据中心的各个业务组，及各个业务组之间的访问关系。 业务组视图：展示业务组的内部情况，可以看到工作负载与工作负载之间的访问关系。点击业务组可查看业务组的详细信息。 工作负载视图：提供主机级的洞察，如每台主机运行或打开的各个端口、进程信息。单击主机可以看到主机的详细信息， 包括基础信息、服务信息、策略信息。

微隔离的两大核心：流量可视化、流量访问控制

业务拓扑图绘制及安全策略编写的前提是标签模型。云隙微隔离提供四维标签模型:位置、应用、环境、角色，每个标签维度都是独立的，其中位置、应用、环境三个标签组合成业务组标签。工作负载安装部署后，根据四个标签维度为工作负载贴标签。业务组标签和角色标签组合形成一组工作负载唯一的安全属性，工作负载自动根据业务组标签进行分组。采集工作负载IP地址、主机名、服务、端口及与之通信的信息。

工作负载基础信息及流量信息采集至云端后，根据工作负载标签，生成实时高保真的业务拓扑图，显示工作负载如何分布在不同的位置。云隙业务拓扑视图包含四个层级:全局视图:根据工作负载的位置标签进行划分，展示每个位置数据中心包含的业务组及工作负载数量及区域间的访问关系;数据中心视图:由全局视图进入某个数据中心，根据业务组标签进行划分，展示数据中心各个业务组及业务组之间的访问关系。可查看业务组及工作负载详细信息，数据视图支持两种视图模式:工作视图、预览视图。 业务组视图:由数据中心进入某个业务组，展示组内工作负载之间的访问关系。可查看业务组内工作负载详细信息;工作负载视图:提供主机级的洞察，展示主机的详细信息，包括基础信息、服务信息、策略信息。

数据中心视图层级支持流量合并功能，可以解决因某个区域部署的工作负载数量过多或该区域工作负载的访问关系过于复杂时，视图上流量线数量过多问题。提供两种合并方式: 角色合并:支持将角色及防护状态相同的工作负载合并为一个角色节点，合并后可减少组内流量线数量。 通过点击工作负载或角色节点，在详情弹窗中点击合并、展开按钮进行角色合并、 展开。 业务组合并:由全局视图进入数据中心视图时，业务组默认合并显示，仅展示组间合并流量线与角色、工作负载和异常流量 线数量，可大大减少视图上流量线数量。 通过点击业务组，在详情弹窗中点击合并、展开按钮进行业务组合并、展开，点击组官台开流里线，可股开斤沉量线关联的两端业务组。

根据生成的实时业务拓扑图，可基于自然语言模型编写安全策略，支持三种策略集模式∶严格、宽松、自定义模式，三个安全策略维度:组内策略、组间策略、IP列表策略。 云隙微隔离提供手动、自动两种方式添加安全策略。手动添加策略可以在策略集详情和业务拓扑图上添加策略规则。自动添加策略则是通过策略生成器批量生成策略规则，支持增量、全量两种生成模式，经过选择策略集—>规则类型>规则维度一>规则配置—>生成规则五个步骤。

编写好安全策略后支持进行策略验证，可验证策略规则的有双性和准确性。可仕策略集评情贝团位旦已编写的策略规则是否准确；在工作负载详情-预览策略界面检查策略规则的匹配顺序，支持拖动修改匹配顺序；进入业务拓扑图的数据中心视图层级，将视图模式切换至预览视图模式，查看策略规则作用效果，进一步调整策略，直至安全策略覆盖度达到100%。

经过策略验证，确认策略编写无误后，将策略在云端发布。可在策略集页面和发布弹窗中发布策略。当开启防护模式时，最新的安全策略会下发至工作负载。 支持策略回滚，记录已发布的策略信息，形成历史发布记录，当察觉到已发布的策略不适用时，可以进行策略回滚。

招商局集团业务主要集中于 交通、金融、城市和园区综合开发 运营三大核心产业，其业务性质导 致其网络的开放性。集团内部已有 传统的安全设备，但缺乏对业务流 量的精细化管控能力。

对业务流量的访问关系进行梳理， 协助招商局集团关闭多余端口及 服务，缩减暴露面；对业务访问关系进行可视化展示， 包括访问使用的端口、IP；支持集中化管控，包括策略制定、 策略下发、统一部署。

招商局集团通过微隔离设备实时监 控网络流量，基于真实流量访问情况梳理 业务，并对业务访问关系进行可视化展示， 招商局集团根据业务真实访问情况，制定 访问控制策略，基于web端对内部访问进 行限制。

随着集团各行业领域的扩展和规模 的快速扩张，集团信息系统也进行了相应 规模的建设和扩展；同时随着业务的发展， 数据中心网络也日渐复杂，包括了私有云、 混合云、公有云物理环境等多种环境，集 团内部目前安全防护设施相对完善，但在 防止网络流量横向渗透方面依旧缺乏管控 手段。

对业务流量进行梳理，并支持业务 流量可视化展示； 支持多种数据中心环境部署； 支持自定义策略，实现内部流量统 一监控、安全策略统一管理。

运用“云+端”的部署模式，实 现横跨多种数据中心网络环境，并提 供一站式管理平台，基于平台实现业 务流量统一监控、访问关系梳理、展 示、访问策略制定、下发、修改更新 一系列流程。

企业内部网络的安全稳定运行对其 业务起着至关重要的作用，防火墙难以防 范日渐复杂的网络攻击以及企业内部人员 引起的安全风险。

企业内部网络的安全稳定运行对其 业务起着至关重要的作用，防火墙难以防 范日渐复杂的网络攻击以及企业内部人员 引起的安全风险。

在内网区部署“补丁管理系统+主机 安全防护+微隔离”产品。其中部署微隔离 产品336个主机，隔离业务系统之外不相 关的链接以及端口通讯，缩减攻击面，运 用白名单的管理能力，业务系统通过微隔 离“定义”白名单来进行网络策略管理， 实现安全管理。

可基于业务组、时间、应用、流量、 交换关系等多种维度对云内网络的 运行情况进行深度可视，通过直观 的视图，用户可以快速查找、发现 自己内部网络中安全、性能等问题。

具备策略编辑能力和批量设置能力，支持大规 模场景下的策略设置和管理,协助云内暴露面 缩减；且具备策略自动化隔离处置能力，实现 基于业务组之间的隔离、端到端的工作负载隔 离、异常外联的隔离能力及物理服务器之间、 虚拟机之间、容器之间的访问隔离；

业务性能实时监测预警，服务链自梳理， 助力管理员提高网络安全运维效率，能 很好的降低运维成本，助力快速定位故 障，采用自然语言，降低人员能力要求， 避免防火墙多安全域在三四层的策略维 护的大成本投入。