安全事件里常见的剧情：一台边缘服务器被攻破，几小时内攻击者拿到数据库权限，影响面从一台机器扩大到整个业务组。这就是横向移动，理解它的常见路径，才能理解为什么要做网络分段。
## 横向移动是什么
攻击者拿下第一台机器后，把它当作跳板，在内网里继续渗透其他目标：更多服务器、数据库、管理后台。第一台机器往往价值有限，真正的损失都发生在横向移动的延伸线上。防御的核心思路也就明确：让一台失守的机器，够不到不该够到的地方。
## 常见路径
第一条是凭据复用。服务器之间共用密码、配置文件里明文保存的数据库口令、脚本里写死的密钥，攻击者在第一台机器上翻到这些凭据，直接登录下一台。第二条是内网互信。防火墙规则全通、数据库对整个内网网段开放、管理后台不做来源限制，内网里的任何人都能访问一切，攻击者拿到的正是这张畅通无阻的通行证。第三条是漏洞扩散。内网里长期不打补丁的老系统，从外部够不着，从跳板机却一打一个准。
## 防御的分段设计
网络分段：按业务角色划分子网，Web 层、应用层、数据层之间的访问按白名单放行，跳板机能到的地方被明确限定。凭据隔离：每台机器、每个服务独立凭据，敏感口令进密钥管理而不是散落配置文件，一台失守不连锁。权限最小化同前文原则，内网里每个账号能碰到的资源越少越好。监控补充：内网横向流量往往有异常特征，陌生端口扫描与非常规登录时间，日志里的这些信号要有人看。
## 常见错误
认为内网是安全的所以全通，这个假设正是横向移动的燃料；防火墙规则配了放行忘了收敛，越积越宽；数据库账号在多台应用间复用，凭据一破全线破。顺云用户从控制台的防火墙规则入手做分段，几条规则就能把 Web 与数据层的访问边界立起来，是成本最低的止血动作。