物理隔离的封闭网络，还要不要再上微隔离？

韩国 SK 电讯被黑导致约 2300 万用户数据泄露，被攻破的归属用户服务器（HSS）竟在”物理隔离”的封闭网内——攻击者用隐蔽恶意软件渗入隔离网得手。这提醒我们：**物理隔离不是终极防线**。

一、隔离为何仍被攻陷

运维通道：隔离网靠跳板机/人工运维，”合规通道”反成入口（如运维私接设备致勒索病毒侵入电力调度）。供应链污染：硬件固件被植入后门，隔离形同虚设。社会工程：伪造身份、工卡混入现场接触内网终端。隐蔽信道：即便离线，电磁、声、光等侧信道仍可外泄数据（如振动编码经激光测振接收）。而更普遍的是**内部粗放互通**——外网隔离了，内网却默认互信，一台设备被渗透即横向扩散整条产线/电网。

二、微隔离的价值

防火墙这类边界设备对内网复杂访问关系”看不见、管不了”。微隔离面向业务做端点级精细管控：① 按业务逻辑划边界（把同业务、同环境的工作负载分组），取代内部粗放互通；② 基于多维标签灵活策略，东西向流量逐个放行；③ 可视化东西向访问关系，异常横向移动可及时发现。本质是把”只守大门”升级为”楼内每道门都管”。

三、结论

隔离网要做好”多重防御”：管住运维与供应链入口、监控隐蔽信道、用微隔离收拢内网东西向。物理隔离降低外部攻击面，但内网精细化管控才是守住最后一公里。

三、微隔离决策

• 物理隔离已够 → 单密级、单业务、无横向移动风险，不必上微隔离。
• 建议补微隔离 → 同网内有多种业务/角色、需控东西向流量、怕一台失陷横向扩散。
• 落地 → 基于身份/标签的微分段，比 IP ACL 更抗漂移。

“物理隔离就安全”是误区：一台机器中招，同网段内仍可被扫。按业务暴露面决定要不要加东西向管控，不盲目也不裸奔。