浅析Micro Segmentation在安全中的应用

微分段(Micro-segmentation)是随着网络虚拟化提出的一种安全技术，通过应用该技术，能够提供在工作负载级别(workload level)上使能精细安全策略控制来保障用户业务安全。使用微分段技术的一个显著好处就是能够将安全能力集成到虚拟化工作负载中，无须硬件设备(硬件防火墙）介入，也意味着将安全策略集成到虚拟网络(virtual network)、虚拟主机(VM)、操作系统以及其他虚拟安全实例中来提供安全。

Microsegmentation 的定义

Microsegmentation is the dividing of a network through the use of network switches such that only two nodes coexist within each collision domain.
A collision domain is a logical area in a computer network in which data packets can collide with one another. A collision occurs when two or more devices attempt to send a signal along the same transmission channel (e.g., the same section of copper wire or optical fiber) simultaneously. It can result in garbled, and thus useless, messages.
The two nodes in each collision domain will typically be a computer and a switch. The total number of segments will be one less than the number of nodes.
The main benefit of microsegmentation is that it allows each node to obtain access to the full bandwidth of the transmission channel instead of having to share it with other nodes on the network. As a result, chances of collisions are greatly reduced, especially in a full duplex environment (i.e., one that allows simultaneous transmission in both directions). -------http://www.linfo.org/microsegmentation.html

简单来看，就是利用switch将多个节点从一个冲突域中隔离开来，组成多个由一个node和switch组成的冲突域，从而保证每个node独享带宽。只从定义上来看，和安全基本上没有多大关系。

微分段如何在安全性方面影响网络拓扑？

看图最直接，直接上图。

      图一：Source：Vmware

图一左边，传统的数据中心，会按照服务提供的思路来构建网络，将所有同一类的服务划分到一个逻辑子网中。如上图数据库服务，会将所有的数据库服务（Finance、HR等）都部署在同一个DB VLAN中；将APP服务部署到另一个App VLAN中。
如果采用这种网络来构建安全方案，对传统的南北向流量防护问题不大，只需要在出口部署安全设备即可(如图中的Perimeter firewall)。但针对NFV虚拟化网络中的东西向流量安全防护，就会面临比较大的问题：

• 同一个VLAN中承载不同的业务负载，在内部安全设备无法识别出不同的workload
• 如果想要保护Finance的业务，需要在多个VLAN中设置安全策略(DB VLAN,APP VLAN,DMZ/WEB VLAN)
• 负载间不具备隔离性，如果HR的数据库服务被感染，同一个VLAN中Finance DB 也会被感染，从而扩展到整个网络
• 不具备持久性和可扩展性，当某个workload中增加一个VLAN时，还需要在该VLAN中添加安全策略

---

图一右边，来看看应用了微分段技术后的网络架构，首先会根据不同的业务来进行分段(Segmentation)，不同的workload根据需要将需要的服务逻辑划分到该子网中。同时，在virtual NIC, VM, OS等多个实体上集成安全能力，从而提供针对NFV网络的东西向流量防护，解决传统网络中出现的问题。

微分段的基本要素

在上面的分析中，我们可以看到微分段为虚拟化安全带来的好处。如果要实现微分段，有哪些必要的因素需要实现呢？
总结下，主要包括三个：

• Persistence: Security must be consistent in the face of constant change
  云平台的一个主要特性就是弹性、可扩展，也意味着管理员提供的安全能力必须具备持久有效性。当计算资源被扩展，网络被重新编排，甚至当前的workload被迁移到另外一个数据中心时，安全服务必须保证一致可用。
  微分段提供一些有效的方式来描述workload，主要使用一些固有特性，而不是仅仅依赖IP地址。可通过如下提问的方式来帮助获取固有特性：

what type of workload is this (web, app, or database)?;
what will this workload be used for (development, staging, or production)?;
and what kinds of data will this workload be handling (low-sensitivity, financial, or personally identifiable information)?
What's more, micro-segmentation even allows administrators to combine these characteristics to define inherited policy attributes.

• Ubiquity:Security must be avaiable everywhere
  传统的数据中心会首先与成本因素，优先保护重要资产，对一些低优先级资产选择忽略。攻击者往往利用这个特点，来有针对性的对整张网络进行攻击。
  为了提供对网络的充分防护，就需要将安全服务部署到系统网络的所有角落。微服务技术使这个需求得以实现，主要是依赖将安全能力集成到网络架构中（virtual network, vm, os, 第三方插件等）
• Extensibility: Security must adapt to new situations
  微服务可以通过集成第三方服务来构建服务链，如在虚拟网络中插入VIPS，VFW等第三方功能，提供新的能力和服务。

几个分段实例

• Multiple VXLAN L2 segements with L3 isolation

  
  
  

• Single L2 segement with distributed firewall segmentation

  
  
  

• Advaced: service chain

  
  
  
  
  
  

以上只是简单分段方法，至于安全策略的配置，还需要在后续实践中进一步总结。

总结

本文重点分析了微服务的概念、基本要素，以及在数据中心及虚拟化网络中如何使用，并在最后简单列出几个分段方式。

参考资料：

1. http://www.linfo.org/microsegmentation.html
2. https://www.sdxcentral.com/sdn/network-virtualization/definitions/how-does-micro-segmentation-help-security-explanation/
3. http://www.vmware.com/content/dam/digitalmarketing/vmware/en/pdf/products/nsx/vmware-nsx-microsegmentation.pdf
4. http://www.networkcomputing.com/networking/three-requirements-true-micro-segmentation/1151379004