Day-012-网络分段与微隔离设计

# Day 11: 网络分段与微隔离设计

> 网络安全系列第 11 天 | 预计阅读时间：30 分钟 | 难度：★★★★☆

---

## 清单 目录

1. [引言](#引言)
2. [网络分段基础](#网络分段基础)
3. [传统分段技术](#传统分段技术)
4. [微隔离架构](#微隔离架构)
5. [零信任网络](#零信任网络)
6. [实验环境搭建](#实验环境搭建)
7. [实战演练](#实战演练)
8. [防护策略](#防护策略)
9. [总结与思考](#总结与思考)
10. [参考资料](#参考资料)

---

## 引言

### 为什么需要网络分段

2024 年 Verizon 数据泄露调查报告显示，**78%** 的数据泄露涉及内部网络横向移动。攻击者一旦突破边界防御，如果没有有效的网络分段，就可以长驱直入访问核心资产。

**真实案例**：
- **Target 数据泄露**（2013）：攻击者通过 HVAC 供应商网络进入，横向移动到 POS 系统，窃取 4000 万信用卡数据
- **Equifax 泄露**（2017）：Web 应用漏洞后，攻击者横向移动到多个数据库，泄露 1.47 亿人信息
- **SolarWinds 攻击**（2020）：供应链攻击后，攻击者在受害网络内自由移动数月

**网络分段的价值**：
-  **限制攻击范围**：将泄露控制在单个区域
-  **阻止横向移动**：增加攻击者难度和成本
- 统计 **简化合规**：满足 PCI DSS、HIPAA 等要求
-  **改善监控**：区域边界便于异常检测

### 分段演进历程

```
1990s: 物理隔离
  独立网络设备、物理分离
  优点：完全隔离
  缺点：成本高、灵活性差

2000s: VLAN 逻辑分段
  802.1Q 标签、交换机 VLAN
  优点：成本降低、灵活配置
  缺点：配置复杂、仍依赖边界

2010s: 微隔离
  工作负载级隔离、策略跟随
  优点：细粒度、动态适应
  缺点：管理复杂、需要新工具

2020s: 零信任架构
  身份为中心、持续验证
  优点：最细粒度、适应云环境
  缺点：实施复杂、文化转变
```

---

## 网络分段基础

### 安全区域划分

典型的 enterprise 网络应划分为以下安全区域：

```
┌─────────────────────────────────────────────────────┐
│                  互联网区域                          │
│              (不可信，威胁来源)                       │
└─────────────────────┬───────────────────────────────┘
                      │
             ┌────────▼────────┐
             │   边界防火墙     │
             │  (第一道防线)    │
             └────────┬────────┘
                      │
┌─────────────────────▼───────────────────────────────┐
│                 DMZ 区域                             │
│            (半可信，公共服务)                         │
│   Web 服务器 │ 邮件服务器 │ DNS 服务器 │ CDN 节点     │
└─────────────────────┬───────────────────────────────┘
                      │
             ┌────────▼────────┐
             │   内部防火墙     │
             │  (第二道防线)    │
             └────────┬────────┘
                      │
┌─────────────────────▼───────────────────────────────┐
│                 内网区域                             │
│            (可信，办公网络)                           │
│   办公电脑 │ 打印机 │ 会议室设备 │ WiFi 接入点        │
└─────────────────────┬───────────────────────────────┘
                      │
             ┌────────▼────────┐
             │   核心防火墙     │
             │  (最后一道防线)  │
             └────────┬────────┘
                      │
┌─────────────────────▼───────────────────────────────┐
│                 核心区域                             │
│            (高可信，关键资产)                         │
│   数据库 │ 备份系统 │ 管理系统 │ 密钥管理系统        │
└─────────────────────────────────────────────────────┘
```

### 访问控制矩阵

区域间访问控制应遵循**最小权限原则**：

| 源区域 → 目标区域 | 互联网 | DMZ | 内网 | 核心 |
|------------------|--------|-----|------|------|
| **互联网** | - | ✓ (80,443) | ✗ | ✗ |
| **DMZ** | ✓ (响应) | - | ✗ | ✗ |
| **内网** | ✓ (代理) | ✓ (管理) | - | ✓ (特定服务) |
| **核心** | ✗ | ✗ | ✓ (响应) | - |

**图例**：
- ✓ 允许（特定端口/协议）
- ✗ 默认拒绝
- - 不适用

### 流量流向分析

```
正常业务流量：
互联网 → DMZ(Web) → 内网 (无) → 核心 (数据库查询)

管理流量：
内网 (管理终端) → DMZ (SSH/RDP) → 核心 (管理接口)

异常流量（需告警）：
DMZ → 内网 (直接访问)
内网 → 互联网 (非常用端口)
核心 → 互联网 (任何流量)
```

---

## 传统分段技术

### VLAN 分段实现

VLAN（Virtual LAN）是最常用的网络分段技术，通过 802.1Q 标签实现逻辑隔离。

#### Cisco 交换机配置示例

```bash
! 创建 VLAN
vlan 10
  name DMZ-Web
vlan 20
  name Internal-Office
vlan 30
  name Core-Database
vlan 99
  name Management

! 配置 Access 端口（连接终端）
interface GigabitEthernet1/0/1
  description DMZ-Web-Server-01
  switchport mode access
  switchport access vlan 10
  switchport port-security
  switchport port-security maximum 2
  spanning-tree portfast
  spanning-tree bpduguard enable

! 配置 Trunk 端口（交换机互联）
interface GigabitEthernet1/0/48
  description Uplink-to-Core-Switch
  switchport mode trunk
  switchport trunk native vlan 99
  switchport trunk allowed vlan 10,20,30,99

! 配置 SVI（VLAN 接口，用于路由）
interface Vlan10
  description DMZ Gateway
  ip address 10.0.1.1 255.255.255.0
  ip access-group DMZ-IN in
  ip access-group DMZ-OUT out

interface Vlan20
  description Internal Gateway
  ip address 192.168.1.1 255.255.255.0

interface Vlan30
  description Core Gateway
  ip address 172.16.0.1 255.255.0.0
```

#### VLAN 间路由控制

```bash
! 配置 ACL 控制 VLAN 间访问
ip access-list extended DMZ-IN
  ! 允许 HTTP/HTTPS 从互联网进入（已通过边界防火墙）
  ! 允许 DMZ 访问核心数据库特定端口
  permit tcp host 10.0.1.10 host 172.16.0.100 eq 3306
  permit tcp host 10.0.1.10 host 172.16.0.100 eq 5432
  ! 拒绝访问内网
  deny ip any 192.168.0.0 0.0.255.255
  ! 允许响应流量
  permit tcp any any established
  ! 默认拒绝
  deny ip any any log

ip access-list extended DMZ-OUT
  ! 允许响应互联网请求
  permit tcp any any established
  ! 拒绝主动发起连接到互联网
  deny ip any any log
```

### 防火墙分段

#### 多区域防火墙配置（pfSense）

```
网络拓扑：
WAN (eth0) → 互联网
LAN (eth1) → 内网 192.168.1.0/24
DMZ (eth2) → DMZ 10.0.1.0/24
CORE (eth3) → 核心 172.16.0.0/16
```

**防火墙规则配置**：

```bash
# DMZ 区域规则
# 允许互联网访问 Web 服务
pass in on dmz inet proto tcp from any to (dmz) port {80, 443} keep state

# 允许 DMZ 访问核心数据库（特定服务器）
pass in on dmz inet proto tcp from 10.0.1.10 to 172.16.0.100 port 3306 keep state

# 拒绝 DMZ 访问内网
block in log on dmz inet from 10.0.0.0/8 to 192.168.0.0/16

# 内网区域规则
# 允许内网访问互联网（通过代理）
pass out on wan inet proto tcp from 192.168.1.0/24 to any port {80, 443} keep state

# 允许内网管理 DMZ
pass in on lan inet proto tcp from 192.168.1.0/24 to 10.0.1.0/24 port {22, 3389} keep state

# 核心区域规则
# 仅允许特定访问
pass in on core inet proto tcp from 10.0.1.10 to 172.16.0.0/16 port {3306, 5432} keep state
pass in on core inet proto tcp from 192.168.1.50 to 172.16.0.0/16 port {22, 443} keep state
block in log on core inet from any to 172.16.0.0/16
```

### 路由分段

#### OSPF 区域划分

```bash
# Cisco OSPF 配置
router ospf 1
  router-id 1.1.1.1
  
  # 区域 0 - 骨干区域（核心）
  network 172.16.0.0 0.0.255.255 area 0
  
  # 区域 1 - 内网区域
  network 192.168.0.0 0.0.255.255 area 1
  
  # 区域 2 - DMZ 区域
  network 10.0.0.0 0.255.255.255 area 2
  
  # 区域间路由过滤
  area 1 filter-list prefix INTERNAL-FILTER in
  area 2 filter-list prefix DMZ-FILTER in

# 前缀列表定义
ip prefix-list INTERNAL-FILTER seq 5 permit 192.168.0.0/16 le 24
ip prefix-list INTERNAL-FILTER seq 10 deny 0.0.0.0/0 le 32

ip prefix-list DMZ-FILTER seq 5 permit 10.0.1.0/24
ip prefix-list DMZ-FILTER seq 10 deny 0.0.0.0/0 le 32
```

---

## 微隔离架构

### 微隔离 vs 传统分段

| 特性 | 传统分段 | 微隔离 |
|------|----------|--------|
| 隔离粒度 | 网络/子网 | 工作负载/应用 |
| 策略依据 | IP/端口 | 应用/身份/标签 |
| 拓扑依赖 | 强依赖 | 独立于拓扑 |
| 策略位置 | 网络边界 | 工作负载附近 |
| 云适配性 | 低 | 高 |
| 动态适应 | 手动 | 自动跟随 |

### 容器环境微隔离（Kubernetes）

#### NetworkPolicy 详解

```yaml
# 默认拒绝所有流量（零信任起点）
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-all
  namespace: production
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  - Egress
---
# API 服务隔离策略
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: api-policy
  namespace: production
spec:
  podSelector:
    matchLabels:
      app: api
      tier: backend
  policyTypes:
  - Ingress
  - Egress
  ingress:
  # 仅允许前端访问
  - from:
    - podSelector:
        matchLabels:
          app: frontend
    - namespaceSelector:
        matchLabels:
          name: production
      podSelector:
        matchLabels:
          app: nginx-ingress
    ports:
    - protocol: TCP
      port: 8080
  egress:
  # 仅允许访问数据库
  - to:
    - podSelector:
        matchLabels:
          app: postgresql
    ports:
    - protocol: TCP
      port: 5432
  # 允许 DNS 解析
  - to:
    - namespaceSelector: {}
      podSelector:
        matchLabels:
          k8s-app: kube-dns
    ports:
    - protocol: UDP
      port: 53
---
# 数据库严格隔离
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: database-policy
  namespace: production
spec:
  podSelector:
    matchLabels:
      app: postgresql
  policyTypes:
  - Ingress
  ingress:
  # 仅允许 API 服务访问
  - from:
    - podSelector:
        matchLabels:
          app: api
    ports:
    - protocol: TCP
      port: 5432
  # 仅允许备份任务访问
  - from:
    - podSelector:
        matchLabels:
          app: backup-job
    ports:
    - protocol: TCP
      port: 5432
  egress:
  # 数据库不允许主动出站（除 DNS）
  - to:
    - namespaceSelector: {}
      podSelector:
        matchLabels:
          k8s-app: kube-dns
    ports:
    - protocol: UDP
      port: 53
```

#### Calico 高级策略

```yaml
# Calico GlobalNetworkPolicy
apiVersion: crd.projectcalico.org/v1
kind: GlobalNetworkPolicy
metadata:
  name: production-isolation
spec:
  selector: namespace == "production"
  types:
  - Ingress
  - Egress
  ingress:
  # 允许监控命名空间访问
  - action: Allow
    source:
      namespaceSelector: name == "monitoring"
    protocol: TCP
    destination:
      ports:
      - 9090  # Prometheus
      - 3000  # Grafana
  egress:
  # 允许访问外部 API
  - action: Allow
    protocol: TCP
    destination:
      nets:
      - 0.0.0.0/0
      ports:
      - 443
  # 拒绝访问内部网络
  - action: Deny
    protocol: TCP
    destination:
      nets:
      - 192.168.0.0/16
      - 172.16.0.0/16
      - 10.0.0.0/8
```

---

## 零信任网络

### 零信任核心原则

1. **从不信任，始终验证**
   - 不信任网络位置
   - 不信任内部用户
   - 每次访问都验证

2. **最小权限访问**
   - 仅授予必要权限
   - 基于上下文动态调整
   - 定期审查权限

3. **假设已遭入侵**
   - 限制爆炸半径
   - 持续监控异常
   - 快速响应隔离

### 零信任架构组件

```
┌─────────────────────────────────────────────────────┐
│              策略决策点 (PDP)                        │
│  ┌───────────┬───────────┬───────────┬───────────┐ │
│  │ 身份引擎  │ 设备健康  │ 行为分析  │ 风险评估  │ │
│  └───────────┴───────────┴───────────┴───────────┘ │
└─────────────────────┬───────────────────────────────┘
                      │ 策略决策 (Permit/Deny)
         ┌────────────▼────────────┐
         │    策略执行点 (PEP)      │
         │  (网关/代理/防火墙/EDR)  │
         └────────────┬────────────┘
                      │ 强制执行
    ┌─────────────────┼─────────────────┐
    │                 │                 │
┌───▼───┐       ┌────▼────┐       ┌───▼───┐
│ 应用  │       │  数据   │       │ 网络  │
│ 访问  │       │  访问   │       │ 访问  │
└───────┘       └─────────┘       └───────┘
```

### 实施路线图

```
阶段 1 (1-3 月): 身份与访问管理
  ✓ 部署多因素认证 (MFA)
  ✓ 实施单点登录 (SSO)
  ✓ 特权访问管理 (PAM)
  ✓ 用户行为基线建立

阶段 2 (3-6 月): 设备安全
  ✓ 设备清单管理
  ✓ 设备健康检查
  ✓ 移动设备管理 (MDM)
  ✓ 合规性验证

阶段 3 (6-12 月): 网络分段
  ✓ 关键资产识别
  ✓ 微隔离部署
  ✓ 东西向流量控制
  ✓ 加密通信实施

阶段 4 (12-18 月): 工作负载保护
  ✓ 应用安全加固
  ✓ 数据分类保护
  ✓ 端点检测响应 (EDR)
  ✓ 持续监控

阶段 5 (18-24 月): 自动化响应
  ✓ 威胁检测自动化
  ✓ 策略动态调整
  ✓ 自动隔离响应
  ✓ 持续改进优化
```

---

## 实验环境搭建

### 虚拟化环境需求

**硬件要求**：
- CPU: 8 核以上（支持虚拟化）
- 内存：32GB 以上
- 存储：500GB SSD
- 网卡：2 个以上（或 USB 网卡）

**软件选择**：
- VMware Workstation / ESXi
- Proxmox VE（开源）
- VirtualBox（轻量级）

### 实验拓扑

```
┌─────────────────────────────────────────────────────┐
│                  Proxmox Host                        │
│                                                     │
│  ┌─────────────┐  ┌─────────────┐  ┌─────────────┐ │
│  │  pfSense    │  │   Kali      │  │  Windows    │ │
│  │  防火墙     │  │   攻击机    │  │   客户端    │ │
│  │  WAN: DHCP  │  │  10.0.1.50  │  │  192.168.1  │ │
│  │  LAN: .1.1  │  │             │  │             │ │
│  │  DMZ: .0.1  │  │             │  │             │ │
│  │  CORE:.0.1  │  │             │  │             │ │
│  └──────┬──────┘  └─────────────┘  └─────────────┘ │
│         │                                           │
│    ┌────┴────┐                                     │
│    │         │                                     │
│ ┌──▼──┐  ┌──▼──┐                                  │
│ │ Web │  │ DB  │                                  │
│ │10.0.│  │172.1│                                  │
│ │1.10 │  │6.10 │                                  │
│ └─────┘  └─────┘                                  │
│  DMZ      CORE                                    │
└─────────────────────────────────────────────────────┘
```

### pfSense 初始配置

```
1. 安装 pfSense
   - 下载 ISO: https://www.pfsense.org/download/
   - 创建 VM，分配 2GB RAM, 2 vCPU
   - 添加 4 个网络接口（WAN, LAN, DMZ, CORE）

2. 接口配置
   - WAN: DHCP（模拟互联网）
   - LAN: 192.168.1.1/24（内网）
   - DMZ: 10.0.1.1/24（DMZ）
   - CORE: 172.16.0.1/16（核心）

3. 启用 DHCP 服务
   - LAN: 192.168.1.100-200
   - DMZ: 10.0.1.100-150

4. 配置 NAT
   - WAN → LAN/DNZ/CORE: MASQUERADE
```

---

## 实战演练

### 实验 1: 基础分段验证

**目标**：验证 VLAN 间隔离

**步骤**：

```bash
# 1. 从 DMZ 主机扫描内网
# 在 DMZ 主机 (10.0.1.10) 执行
nmap -sS 192.168.1.0/24

# 预期结果：
# - 如果分段正确，应该无法扫描到内网
# - 所有端口显示 filtered 或无法到达

# 2. 从内网访问 DMZ
# 在内网主机 (192.168.1.100) 执行
curl http://10.0.1.10
nc -zv 10.0.1.10 22

# 预期结果：
# - 根据防火墙规则，可能允许或拒绝

# 3. 检查防火墙日志
# 在 pfSense 界面
Status → System Logs → Firewall
# 查看被阻止的连接尝试
```

### 实验 2: 横向移动测试

**目标**：测试微隔离效果

**步骤**：

```bash
# 1. 假设攻击者已攻陷 Web 服务器
# 在 Kali 执行
ssh user@10.0.1.10  # 假设已获取凭证

# 2. 尝试横向移动到数据库
# 在 Web 服务器上执行
mysql -h 172.16.0.100 -u root -p
nc -zv 172.16.0.100 3306

# 预期结果：
# - 如果微隔离正确，应该被拒绝
# - NetworkPolicy 应阻止直接访问

# 3. 尝试其他横向移动
# 扫描核心区域
nmap -sS 172.16.0.0/16

# 尝试访问管理接口
curl -k https://172.16.0.1:443
```

### 实验 3: Kubernetes 网络策略测试

**目标**：验证 NetworkPolicy 效果

**步骤**：

```bash
# 1. 部署测试应用
kubectl apply -f test-apps.yaml

# 2. 应用 NetworkPolicy
kubectl apply -f network-policies.yaml

# 3. 测试策略效果
# 从 frontend pod 访问 api（应该允许）
kubectl exec -it frontend-pod -- \
  curl -v http://api-service:8080

# 从 backend pod 直接访问 database（应该拒绝）
kubectl exec -it backend-pod -- \
  nc -zv postgresql-service 5432

# 4. 查看策略日志
kubectl logs -n calico-system -l k8s-app=calico-node
```

### 实验 4: 零信任策略验证

**目标**：测试基于身份的访问控制

**步骤**：

```bash
# 1. 配置身份感知策略
# 在 PDP 配置：
# - 仅允许合规设备访问
# - 仅允许工作时间访问
# - 仅允许特定地理位置访问

# 2. 测试合规设备
# 使用已注册、已安装 EDR 的设备
curl -H "Device-Id: registered-device-001" \
     -H "User-Token: valid-user-token" \
     https://app.example.com

# 3. 测试非合规设备
# 使用未注册设备
curl -H "Device-Id: unknown-device" \
     https://app.example.com
# 应该返回 403 Forbidden

# 4. 测试非工作时间
# 模拟非工作时间访问
# 应该被拒绝或要求额外验证
```

---

## 防护策略

### 企业分段最佳实践

#### 1. 关键资产隔离

```
必须隔离的资产：
✓ 数据库服务器
✓ 备份系统
✓ 密钥管理系统
✓ 域控制器
✓ 管理系统
✓ 开发/测试环境

隔离方法：
- 独立 VLAN
- 专用防火墙
- 严格 ACL
- 跳板机访问
```

#### 2. 访客网络隔离

```bash
# 完全隔离配置
vlan 100
  name Guest-WiFi

interface Vlan100
  ip address 10.100.0.1 255.255.0.0
  # 仅允许互联网访问
  ip access-guest OUT
  # 拒绝访问所有内部网络
  deny ip any 192.168.0.0 0.0.255.255
  deny ip any 172.16.0.0 0.0.255.255
  deny ip any 10.0.0.0 0.255.255.255
  # 允许互联网
  permit ip any any
```

#### 3. IoT 设备隔离

```
IoT 设备风险：
- 固件更新不及时
- 默认凭证
- 不安全协议
- 隐蔽后门

隔离策略：
- 独立 VLAN
- 仅允许必要通信
- 出站流量监控
- 定期漏洞扫描
```

### 云环境分段

#### AWS 实施

```yaml
# CloudFormation 模板片段
Resources:
  VPC:
    Type: AWS::EC2::VPC
    Properties:
      CidrBlock: 10.0.0.0/16
      EnableDnsSupport: true
      EnableDnsHostnames: true

# 公共子网（DMZ）
  PublicSubnet:
    Type: AWS::EC2::Subnet
    Properties:
      VpcId: !Ref VPC
      CidrBlock: 10.0.1.0/24
      MapPublicIpOnLaunch: true

# 私有子网（内网）
  PrivateSubnet:
    Type: AWS::EC2::Subnet
    Properties:
      VpcId: !Ref VPC
      CidrBlock: 10.0.2.0/24
      MapPublicIpOnLaunch: false

# 数据库子网（核心）
  DatabaseSubnet:
    Type: AWS::EC2::Subnet
    Properties:
      VpcId: !Ref VPC
      CidrBlock: 10.0.3.0/24
      MapPublicIpOnLaunch: false

# 安全组
  WebSecurityGroup:
    Type: AWS::EC2::SecurityGroup
    Properties:
      GroupDescription: Web servers
      VpcId: !Ref VPC
      SecurityGroupIngress:
        - IpProtocol: tcp
          FromPort: 80
          ToPort: 80
          CidrIp: 0.0.0.0/0
        - IpProtocol: tcp
          FromPort: 443
          ToPort: 443
          CidrIp: 0.0.0.0/0
      # 不允许从互联网直接访问 SSH

DatabaseSecurityGroup:
    Type: AWS::EC2::SecurityGroup
    Properties:
      GroupDescription: Database servers
      VpcId: !Ref VPC
      SecurityGroupIngress:
        - IpProtocol: tcp
          FromPort: 3306
          ToPort: 3306
          SourceSecurityGroupId: !Ref WebSecurityGroup
      # 仅允许 Web 安全组访问
```

---

## 总结与思考

### 核心要点回顾

1. **分段必要性**
   - 78% 泄露涉及横向移动
   - 分段可限制爆炸半径
   - 合规要求（PCI DSS 等）

2. **技术选择**
   - VLAN：基础隔离
   - 防火墙：区域控制
   - 微隔离：细粒度防护
   - 零信任：未来方向

3. **实施要点**
   - 从关键资产开始
   - 默认拒绝策略
   - 持续监控验证
   - 文档化策略

### 深入思考问题

1. **微隔离合规挑战**
   - 如何证明策略有效性？
   - 审计日志如何收集？
   - 变更管理如何实施？

2. **零信任 ROI 衡量**
   - 安全改进如何量化？
   - 用户体验影响评估？
   - 运维成本增加多少？

3. **云原生分段**
   - Serverless 如何分段？
   - 容器 ephemeral 特性挑战？
   - 多云环境一致性？

### 实战建议

**对于中小企业**：
1. 从基础 VLAN 分段开始
2. 优先隔离关键资产
3. 实施访客网络隔离
4. 逐步向微隔度过渡

**对于大型企业**：
1. 制定分段标准架构
2. 部署微隔离平台
3. 实施零信任试点
4. 自动化策略管理

**对于云环境**：
1. 使用云原生安全组
2. 实施 VPC 对等限制
3. 部署云防火墙
4. 监控东西向流量

### 下一步学习建议

- **深入微隔离**：学习 VMware NSX、Illumio
- **零信任实施**：研究 Google BeyondCorp
- **云安全架构**：AWS/Azure 安全最佳实践
- **自动化运维**：Infrastructure as Code 安全

---

## 参考资料

### 标准与框架
- NIST SP 800-207 (Zero Trust Architecture)
- NSA Microsegmentation Guidelines
- PCI DSS Requirement 1 (Network Segmentation)
- CIS Controls v8 (Control 4: Secure Configuration)

### 工具资源
- [pfSense](https://www.pfsense.org/) - 开源防火墙
- [Calico](https://projectcalico.org/) - K8s 网络策略
- [Illumio](https://www.illumio.com/) - 微隔离平台
- [Tigera](https://www.tigera.io/) - 云原生网络策略

### 书籍推荐
- 《Zero Trust Networks》- Evan Gilman
- 《Network Security Assessment》- Chris McNab
- 《Practical Network Segmentation》- 多种中文教材

### 在线资源
- [SANS Network Security](https://www.sans.org/)
- [NSA Cybersecurity Advisories](https://www.nsa.gov/Cybersecurity/)
- [Cloud Security Alliance](https://cloudsecurityalliance.org/)

---

**标记 明日预告**：Day 12 - 负载均衡器安全配置

> 本文内容仅供学习和研究使用，请勿用于非法目的。所有实验请在隔离环境中进行。

---

*本文是 365 天信息安全技术系列的第 11 篇，精编版本*