最小權限寫在工作負載上
不是寫在 IP 上
不是寫在 IP 上
Segmentation · 網段分割
VLAN 切完，同網段主機照樣可以互連。
Illumio Segmentation 依工作負載身分產生政策，只保留必要通訊。 環境從機房搬到雲或容器，規則跟著走。 先用 Draft 看會擋住什麼，再進入執行。
示意模擬 Draft 預覽：格內 12 台，虛線格執行後會被擋住
- 失陷
- 正常
- 分割邊界
作法
怕切錯是微分割推不動的主因。
看見、草稿、再執行
-
對照實際連線
雲、地端、容器、終端的東西向通訊先畫出來，作為網段分割的底圖。
-
依身分寫最小權限
標成正式區應用的規則，會跟著工作負載到另一個雲或另一個機櫃。不綁死 IP。
-
Draft 通過才 Enforcement
先看政策會擋哪些連線。確認業務路徑還在，再打開執行，限制橫向擴散。
與政府作業語言對齊
切的是通訊權限，不是再買一道城牆
- 網段分割：以應用與工作負載為單位，縮小可連範圍
- 最小權限：沒有標明需要的連線，預設不互信
- 限制橫向擴散：失陷主機可隔離，隔壁系統不跟著倒
不宣稱通過政府零信任功能符合性驗證。本頁只說明產品如何對應這三項作業。
稽核要聽的是網段分割與最小權限，不是原廠口號。
覆蓋
只切機房、不切終端，橫向路徑仍在。
同一套引擎，三種常見落地
-
雲工作負載
AWS、Azure、GCP、OCI 的東西向可畫在同一視圖，政策不跟雲廠商安全群組各寫一套。
-
終端
在作業系統層限制終端到伺服器、終端到終端。上網隔離管不到這一截。
-
容器
Pod 之間同樣走身分政策，避免叢集內預設互連。
限制橫向擴散
隔離是政策動作，不是另開一張工單
對失陷或高風險工作負載套隔離標籤，執行點在主機側生效。可與 Insights 的一鍵遏制銜接：看見路徑、關上路徑。
事件發生時，第一個問題是還能跳幾台。
Illumio × 紘瑒科技 CloudForce
建議驗收順序
先 Insights 盤點核心系統，再對同一範圍做 Draft 與小範圍執行。