Configures microsegmentation for zero-trust architectures to enforce least-privilege access between workloads at application layer, preventing lateral movement and replacing VLANs. Uses Illumio, VMware NSX, Guardicore.
npx claudepluginhub killvxk/cybersecurity-skills-zhThis skill uses the workspace's default tool permissions.
---
Configure microsegmentation policies with VMware NSX, Illumio, Calico for zero trust workload isolation, preventing lateral movement in networks.
Configure microsegmentation policies using VMware NSX, Illumio, Calico for zero trust architectures to enforce least-privilege workload access and prevent lateral movement.
Implements microsegmentation with Akamai Guardicore Segmentation: deploys agents on Linux/Windows/Kubernetes, maps app dependencies, visualizes east-west traffic, enforces least-privilege policies across data centers and clouds.
Share bugs, ideas, or general feedback.
domain: cybersecurity subdomain: zero-trust-architecture author: mahipal tags: [zero-trust, microsegmentation, network-access, lateral-movement, network-security] difficulty: advanced estimated_time: 4-6 hours prerequisites:
微隔离（Microsegmentation）将网络划分为细粒度安全区域，在应用层对工作负载之间执行最小权限访问，而非依赖传统的基于 VLAN 的分段方式。在零信任架构中，微隔离消除了同一网段内工作负载之间的隐式信任，即使攻击者获得初始访问权限后也能阻止横向移动。
本技能涵盖使用工作负载身份设计微隔离策略、实施基于主机和基于网络的执行，以及使用 Illumio Core 和 VMware NSX 等工具验证分段有效性。
传统分段 微隔离
┌─────────────────┐ ┌──────────────────────┐
│ VLAN 10 │ │ 工作负载 A ←策略→ │
│ ┌───┐ ┌───┐ │ │ 工作负载 B ←策略→ │
│ │ A │ │ B │ │ │ 工作负载 C ←策略→ │
│ └───┘ └───┘ │ │ 工作负载 D ←策略→ │
│ （互信） │ │ （每对之间零信任） │
└─────────────────┘ └──────────────────────┘
在创建分段策略之前，使用流量遥测发现工作负载之间的实际通信流。Illumio、Guardicore 和 AppDynamics 等工具提供应用依赖映射，显示哪些工作负载在哪些端口上进行通信以及通信频率。
在执行前以监控/可见性模式起草策略。这允许验证建议的规则不会中断合法流量，同时识别不必要或有风险的通信路径。
现代微隔离使用标签（角色、应用、环境、位置）而非基于 IP 的规则。基于标签的策略在不同环境之间可移植，并在迁移期间 IP 变更时仍然有效。
对关键应用（PCI 持卡人数据环境、SWIFT 金融系统、医疗 PHI）使用严格的允许列表策略进行隔离，拒绝所有未明确允许的流量。
部署可见性 Agent
构建应用依赖映射
分配标签
定义分段区域
创建允许列表策略
在测试模式下建模策略
增量执行
验证分段