宽松放行策略的收敛是什么
任何地址到任何服务的放行规则便于业务快速上线，但会让安全设备退化为路由器：横向渗透没有阻隔，数据外发没有限制，日志里也看不出有效信息。收敛的目标不是一次性收紧，而是把宽松规则替换为按业务系统、按端口与应用的精细规则。可行做法是让新旧策略并存观察，确认精细规则覆盖了真实流量后，再删除宽松规则。
基本信息
| 典型场景 | 内网任意到外网任意放行、整段内网互访放行 |
|---|---|
| 主要风险 | 策略形同虚设、审计无有效记录、横向移动无阻隔 |
| 收敛前提 | 有流量日志或会话统计可分析真实访问构成 |
| 推进方式 | 按业务系统分批收敛，精细规则与旧规则并存过渡 |
| 过渡手段 | 先以记录动作替代直接阻断，评估后再收紧 |
典型使用场景
- 安全整改：等保测评指出策略过宽，需要提供收敛过程记录
- 横向渗透防护：限制内网服务器区之间的互访范围
- 数据外发管控：限制内网访问外部地址的范围与端口
- 策略评审：把长期存在的兜底规则逐条替换为业务规则
- 新业务规范：新上线业务不允许再申请任何到任何放行
收敛步骤
收敛步骤
1. 统计宽松策略的流量构成（按源、目的、应用与端口维度）
2. 与业务方确认必需端口与应用清单，形成书面确认
3. 新精细策略与旧宽松策略并存，观察一段完整业务周期
4. 核对精细规则命中是否覆盖原有流量，遗漏项补齐
5. 观察期无异常后删除宽泛策略，并记录变更与回退方式收敛推进对照
| 阶段 | 动作 | 验证方式 |
|---|---|---|
| 准备 | 梳理流量构成与业务清单 | 流量日志、会话统计 |
| 试点 | 选影响面小的业务先收敛 | 命中计数与业务反馈 |
| 过渡 | 新旧规则并存观察 | 对比两侧命中覆盖情况 |
| 收紧 | 删除宽泛规则 | 变更后按业务清单抽查 |
| 固化 | 新业务禁止再提任何放行 | 策略评审与准入流程 |
过渡期可用记录动作替代直接阻断：先把流量记录下来，评估覆盖情况再收紧，比一步到位阻断更安全，也更容易获得业务方配合。