为什么东西向重要
攻击者拿到一台主机之后，大部分时间花在内网横向移动上：扫描存活主机、尝试远程执行、抓取凭证、访问数据库。这些流量全部发生在内网之间，部署在出口的检测设备一点也看不到，东西向检测就是为了补上这段盲区。
难点在规模与形态
数据中心内部流量往往远大于南北向，加密比例高，业务协议复杂，直接在核心串联检测设备容易成为瓶颈。常见做法是先摸清关键路径与资产分组，再决定检测点位置与检测强度，从告警模式开始逐步收紧。
基本信息
| 覆盖位置 | 数据中心汇聚、核心交换、虚拟化平台 |
|---|---|
| 检测重点 | 横向扫描、远程执行、凭证传递、异常服务访问 |
| 主要难点 | 流量大、加密多、性能成本高 |
| 前置工作 | 梳理东西向关键路径与资产分组 |
典型使用场景
- 等保或检查要求证明内网有检测能力
- 发生过横向移动事件，需要补检测盲区
- 数据中心多网段、平面大，风险集中在内网
- 评估虚拟化环境下检测流量如何引流
- 规划微隔离前的访问关系梳理
- 对核心数据库区域加强访问行为检测
落地步骤
落地步骤
# 1. 梳理东西向关键路径与资产分组（谁是重点保护对象）
# 2. 选定检测点：物理设备串联或虚拟化平台引流
# 3. 建立内网行为基线，先跑告警模式收集数据
# 4. 从高价值资产做起，逐步启用阻断
# 5. 与微隔离策略配合，收敛合法访问关系检测重点与特征
| 重点 | 典型特征 |
|---|---|
| 横向扫描 | 单主机在短时间内访问大量内网地址与端口 |
| 远程执行 | 异常的远程管理协议调用与管理工具流量 |
| 凭证传递 | 认证协议流量在非预期路径上出现 |
| 异常服务访问 | 办公网主机直接访问数据库或管理端口 |
东西向检测结合微隔离效果更好：先把合法访问关系理清楚，异常流量才有稳定的判断依据。
内网设备多样、协议复杂，一开始就启用阻断容易误伤业务，先跑告警模式收集基数是必要的过渡。
虚拟化环境下流量可能不经过物理设备：需要确认引流方案，否则检测点选好了却看不到流量。