Doğu-batı Trafik Nedir?

Terimler bir ağ şemasının yönlerinden gelir. Şemalarda internet yukarıda, sunucular aşağıda çizilir; dışarıyla olan trafik dikey, iç sistemler arasındaki trafik yatay görünür.

Adlandırma keyfi olsa da ayırdığı şey gerçektir.

Hacim Farkı

Çoğu kurumsal ağda doğu-batı trafik, kuzey-güney trafikten kat kat büyüktür. Bir web isteği dışarıdan tek bir bağlantı olarak gelir; içeride uygulama sunucusu, veritabanı, önbellek, kimlik doğrulama servisi ve kayıt sistemi arasında onlarca bağlantıya dönüşür.

Buna karşılık denetim yatırımının çoğu sınıra yapılır.

Görünürlük Boşluğu

Sınırdaki cihaz yalnız kendi üzerinden geçen trafiği görür. Aynı VLAN’daki iki sunucu birbiriyle konuşurken paket o cihaza hiç uğramaz; anahtar üzerinden doğrudan gider.

Bu boşluk saldırganın çalıştığı alandır. İlk erişim çoğunlukla bir kullanıcı makinesinden ya da dışa açık bir servisten sağlanır, ama hedef oradan uzaktadır. Aradaki mesafe yanal hareketle kat edilir ve o hareketin tamamı doğu-batı trafiktir.

Görünür Kılmanın Yolları

Trafiği görmek için üç yaklaşım kullanılır ve maliyetleri farklıdır:

• Akış telemetrisi. Anahtar ve yönlendiricilerden akış kaydı toplanır. Kim kiminle konuşuyor sorusunu ucuza cevaplar; içeriği göstermez.
• Bölümler arasına politika koymak. Trafiği bir cihazdan geçmeye zorlar. Hem görünürlük hem denetim verir, yönlendirme tasarımı ister.
• Mikrosegmentasyon. Kararı iş yüküne indirir. En yüksek çözünürlüğü verir, işletim yükü en yüksek olanıdır.

Uygulamada ilk adım genellikle ölçmektir. Hangi sistemlerin gerçekte konuştuğu bilinmeden yazılan bir segmentasyon planı, üretimde çalışan bir şeyi kırar.