| 默认 | 出方向全部允许（方便但宽） |
|---|---|
| 收窄策略 | 只放：内网段、软件源（80/443 白名单域名）、监控、对象存储 Endpoint |
| 收益 | 木马回连、数据外传需要外联，收窄出方向是第一道闸 |
| 实施 | 先记录一段时间真实外联（流日志），再按需放行 |
出方向收窄思路（文本描述）
出方向收窄思路（文本描述）
允许：10.0.0.0/8 内网全通
允许：TCP 80/443 → 软件源与云服务域名段
允许：TCP 53 → VPC DNS
拒绝：其余（默认拒绝收尾）收窄出方向最怕漏放业务依赖：先流日志观察 1-2 周真实外联，再收。