烏魚子

傳統邊界防火牆已無法應對現代內網威脅。 Internal Segmentation Firewalls（ISFWs） 專責管控東西向流量，即使攻擊者突破邊界，也能將橫向移動鎖死在單一區段內。 什麼是 ISFW 與東西向流量管控 ISFW 部署於企業內網各 安全信任區段（Trust Zone）之間 ，而非網路邊界。傳統防火牆攔截南北向（外部進出）流量；ISFW 則專注東西向——即伺服器對伺服器、工作負載對工作負載的內部通訊。透過在財務區段、開發區段、OT 網路等之間插入 ISFW，每個區段形成獨立隔離域。即使單一主機遭入侵，攻擊者的橫向移動（Lateral Movement）會立即被 ISFW 的存取控制策略攔截，威脅範圍被強制侷限於受感染的微分段內。 微分段隔離策略設計原則 微分段設計遵循 最小權限原則（Least Privilege） ，預設拒絕所有跨區流量，僅開放業務明確需要的路徑。常見策略包含三層：首先依業務功能劃分區段（如 PCI 範圍、HR 系統）；其次在 ISFW 上定義細粒度 ACL，指定來源 IP、目的埠及協定；最後啟用 ISFW 的 深度封包檢測（DPI） 與應用識別，攔截偽裝成合法協定的惡意流量。Fortinet FortiGate 的 ISFW 模式支援 VDOM 多租戶隔離，可同時管理多組獨立策略集而不互相干擾。 config firewall policy edit 100 set name "block-lateral-rdp" set srcintf "zone-finance" set dstintf "zone-ops" set action deny set service "RDP" next end 💡 重點整理 ISFW 插入內網區段之間，專責攔截東西向橫向移動流量。 微分段採「預設拒絕」策略，僅開放業務必要的最小通訊路徑。 DPI 與應用識別可揭露偽裝成合法協定（如 HTTP/RDP）的攻擊行為。 VDOM 或類似多租戶機制讓不同業務單位的策略彼此完全隔離。 I...

Internal Segmentation Firewalls 深度解析 東西向流量管控與內網微分段隔離實戰指南 現代企業網路安全面臨一個殘酷的現實： 邊界防火牆（Perimeter Firewall）不再是萬能的守門人 。隨著零信任架構的興起、雲端混合環境的普及，以及愈發複雜的 APT（進階持續性威脅）攻擊，傳統「城牆式」防禦思維已嚴重失效。攻擊者一旦突破外部邊界，便能在內網如入無人之境，自由進行橫向移動（Lateral Movement）。 這正是 Internal Segmentation Firewalls（ISFWs，內部分段防火牆） 誕生的核心原因。ISFWs 部署於企業內網各安全信任區段之間，專責過濾 東西向（East-West）流量 ，即伺服器對伺服器、工作站對伺服器之間的內部通訊。即使邊界遭突破或內部主機淪陷，ISFW 仍可將威脅精準侷限於單一安全區域，阻斷橫向擴散路徑。 📌 本文適用對象與範圍 企業資安架構師、網路工程師、SOC 分析師 適用於中大型企業內網、資料中心、混合雲環境 參考平台：Fortinet FortiGate ISFW（v7.x）、VMware NSX-T（v3.x）、Cisco Secure Firewall Zero Trust Network Access（ZTNA）與微分段（Micro-segmentation）實踐者 一、為什麼傳統防火牆無法解決東西向威脅？ 傳統網路安全模型以「南北向（North-South）」流量為核心設計理念，即管控進出企業邊界的流量。然而根據 Gartner 研究報告， 超過 70% 的網路攻擊流量發生於內網橫向移動階段 ，這些流量完全不會觸及外部邊界防火牆，因此傳統架構幾乎視而不見。 以 2017 年的 WannaCry 勒索病毒 為例，病毒利用 EternalBlue（MS17-010）漏洞透過 SMB 協定在內網快速複製，短時間內感染數萬台機器。邊界防火牆在此案例中形同虛設，因為攻擊流量完全是東西向的內部傳播。 若部署了 ISFW 並設置適當的微分段策略 ，即便零號病人（Patient Zero）遭感染，病毒的橫向移動路徑也會在第一個內部安全區段邊界被截斷。 傳統 V...