先看見誰在
跟誰說話
再決定誰准連
東西向 · 微分割 · 流量可視化
身分過了閘道，主機之間多半還是平的。
Illumio 處理機關與企業內網的東西向流量。Insights 把通訊畫出來、標出過寬的路徑；Segmentation 依工作負載身分寫最小權限，把橫向擴散關在第一台機器。
- 失陷
- 正常
- 分割邊界
AI 安全主軸
自動化與 AI 代理讓內部連線變多，人工畫網段跟不上。
AI 在這裡不是口號，是東西向變快的原因
生成式工具與內部代理會對 API、檔案伺服器、雲工作負載建立新連線。既有防火牆與上網隔離管的是南北向。Illumio 看的是主機對主機、容器對容器、終端對伺服器。
-
Insights · 看見
即時繪製東西向流量與工作負載通訊，標出過寬連接埠與異常路徑。
-
Segmentation · 收斂
以工作負載身分產生政策，只保留業務需要的連線，其餘預設不互信。
-
一鍵隔離 · 限制擴散
對可疑主機套隔離標籤，切斷下一跳，縮小事件影響範圍。
互動示意
看見、收斂、限制擴散
- 允許
- 已發現，尚未強制
- 被擋
- 高風險連接埠（示意）
- 可被利用的路徑（依所選主機）
- 假設失陷起點
- 已隔離
- 調查通道
點主機（或用方向鍵、Enter）換起點，按上方「隔離」試試
所選主機的標籤
狀態：假設失陷（尚未隔離）
終端 3
- 角色
- 終端
- 應用
- 一般員工端點
- 環境
- 正式
- 地點
- 分公司
判讀一般員工端點 → 應用 B（正式・雲）資料庫：標籤之間沒有業務關係，屬應收斂的連線。
政策依標籤撰寫，不綁 IP
影響範圍對照
隔離前可到達
- 共用檔案伺服器
- 應用 B（正式）資料庫
隔離後
- 無（停在第一跳）
保留：調查通道（受控存取）
實際（Reported）：若「終端 3」失陷，可被利用的路徑（粗虛線）會沿已發現但尚未強制的連線橫向走到共用檔案伺服器、應用 B（正式）資料庫。
以文字說明這張圖
- 終端 1：角色終端、應用研發端點、環境正式、地點總部。研發端點 → 應用 A（測試・機房）資料庫：研發存取測試庫，需確認後寫成允許規則或收斂。
- 終端 2：角色終端、應用IT 維運端點、環境正式、地點總部。IT 維運端點 → 應用 A（正式・機房）資料庫：維運直連正式庫，應改走受控通道。
- 終端 3：角色終端、應用一般員工端點、環境正式、地點分公司。一般員工端點 → 應用 B（正式・雲）資料庫：標籤之間沒有業務關係，屬應收斂的連線。
- 資安維運（調查）：角色管理工具、應用資安維運、環境正式、地點機房。沒有已發現但未強制的連線。
- 共用檔案伺服器：角色檔案伺服器、應用共用服務、環境正式、地點機房。一般員工端點 → 共用檔案伺服器 → 應用 B（正式・雲）資料庫：串起不同應用，標籤之間沒有業務關係，屬應收斂。
- 應用 A（正式）網站：角色網站、應用A、環境正式、地點機房。沒有已發現但未強制的連線。
- 應用 A（正式）應用：角色應用、應用A、環境正式、地點機房。沒有已發現但未強制的連線。
- 應用 A（正式）資料庫：角色資料庫、應用A、環境正式、地點機房。IT 維運端點與測試環境 → 應用 A（正式・機房）資料庫：來源標籤不屬於這個應用的業務路徑，屬應收斂。
- 應用 A（測試）網站：角色網站、應用A、環境測試、地點機房。沒有已發現但未強制的連線。
- 應用 A（測試）應用：角色應用、應用A、環境測試、地點機房。測試環境 → 正式環境資料庫：跨環境連線，屬應收斂。
- 應用 A（測試）資料庫：角色資料庫、應用A、環境測試、地點機房。研發端點 → 應用 A（測試・機房）資料庫：研發存取測試庫，需確認後寫成允許規則或收斂。
- 應用 B（正式）網站：角色網站、應用B、環境正式、地點雲。沒有已發現但未強制的連線。
- 應用 B（正式）應用：角色應用、應用B、環境正式、地點雲。沒有已發現但未強制的連線。
- 應用 B（正式）資料庫：角色資料庫、應用B、環境正式、地點雲。共用服務 → 應用 B（正式・雲）資料庫：標籤之間沒有業務關係，屬應收斂的連線。
- 應用 A（正式）網站 ↔ 應用 A（正式）應用：允許
- 應用 A（正式）應用 ↔ 應用 A（正式）資料庫：允許
- 應用 A（測試）網站 ↔ 應用 A（測試）應用：允許
- 應用 A（測試）應用 ↔ 應用 A（測試）資料庫：允許
- 應用 B（正式）網站 ↔ 應用 B（正式）應用：允許
- 應用 B（正式）應用 ↔ 應用 B（正式）資料庫：允許
- 終端 2 ↔ 應用 A（正式）網站：允許
- 終端 3 ↔ 應用 B（正式）網站：允許
- 終端 2 ↔ 共用檔案伺服器：允許
- 應用 A（測試）應用 ↔ 應用 A（正式）資料庫：已發現，尚未強制（SMB 445）
- 終端 2 ↔ 應用 A（正式）資料庫：已發現，尚未強制（RDP 3389）
- 終端 1 ↔ 應用 A（測試）資料庫：已發現，尚未強制（RDP 3389）
- 終端 3 ↔ 共用檔案伺服器：已發現，尚未強制（SMB 445）
- 共用檔案伺服器 ↔ 應用 B（正式）資料庫：已發現，尚未強制（SMB 445）
依 Illumio 流量地圖的概念繪製，非正式產品畫面。連接埠標籤為通用知名協定示意。隔離時仍保留管理與調查用的受控存取，依 Illumio 隔離功能的說明示意。
兩條產品線
可視化與執行要分開買、一起用，才不會先切錯。
Insights 負責看清楚，Segmentation 負責關起來
政府零信任場景
零信任作業若只做到人身分與設備，網段內部仍可橫向走。
對齊三件事：網段分割、最小權限、限制橫向擴散
我國政府零信任公開材料目前以身分鑑別與設備鑑別為先。防護與稽核語言裡，網路側仍要求網段分割，並限制同網段不必要連線。Illumio 補的是這一層，不是取代閘道或上網隔離。
-
網段分割
依應用與工作負載身分切分，不必先改實體網段或防火牆拓樸。
-
最小權限
只允許業務需要的通訊。新上線的工作負載繼承同一套標籤政策。
-
限制橫向擴散
失陷主機無法當跳板走到隔壁系統。可先隔離，再查。
常見切法
多數單位不是一次切完全網，而是先關高價值系統。
從關鍵資產開始，不從整張網路開始
-
終端到伺服器
筆電中毒後到不了檔案伺服器。東向西的第一跳被擋住。
-
機房與雲同一套政策
地端、AWS、Azure、GCP、OCI 共用可視化與政策引擎。
-
IT 與作業環境分開
遠端維運與辦公網不預設能進產線或核心系統。
Illumio × 紘瑒科技 CloudForce
下一步
先看東西向實際連了什麼，再決定網段怎麼切。紘瑒科技 CloudForce 技術合作。