| 典型场景 | 内网任意到外网任意放行 |
|---|---|
| 风险 | 策略形同虚设、审计无有效记录、横向移动无阻隔 |
| 收敛方法 | 按业务系统建组、按需放行端口与应用 |
收敛步骤
收敛步骤
1. 统计宽松策略流量构成（应用/端口维度）
2. 与业务方确认必需端口
3. 新精细策略与旧策略并存观察
4. 观察期无异常后删除宽泛策略过渡期可用日志策略替代直接阻断：先记录、后评估、再收紧。
宽松放行策略的收敛
任何地址到任何服务的放行策略便于快速上线，但会让安全设备退化为路由器，风险集中在横向渗透与数据外发场景。
易错点
- 不区分方向就整段内网互相放行，会让边界设备形同虚设
- 收敛过程一次收得太紧容易引发大面积业务中断，按业务分批推进
数据来源与参考
- 华为 USG6000 产品文档：安全策略最佳实践（策略收敛）