攻击者拿下一台设备后，最怕“走不远”。用白名单把每类设备能访问的范围限定住，是控制横向移动的朴素而有效的办法。
攻击者最希望看到的，是这样一幅场景：拿下一台不起眼的设备，然后在内网里“随便逛”。反过来，防守方要做的，就是让这台设备即使被拿下，也走不远。
为什么“被拿下”之后更危险
很多内网里，设备之间默认是互通的：
- 一台摄像头，理论上可以尝试连接财务系统；
- 一台打印机，可以去探测数据库服务器；
- 一台工控设备，可以访问办公网里的其他电脑。
这些访问其实都没有业务需要，但网络是通的，所以攻击者拿下任何一个点之后，都能顺着网络一路探索。
“小房间”的思路：只开放必需的访问
控制横向移动的思路，用一句话说就是：默认不让走，需要才开门。
假设一台自助终端，它的业务只是访问某个业务系统。那么：
- 把它能访问的目标列成一份清单，也就是“白名单”；
- 清单之外的访问，一律不放行；
- 一旦出现清单之外的尝试，既是阻断点，也是告警线索。
这样一来，攻击者拿下这台设备，看到的只是一间“小房间”：能去的地方很少，而且每一次试探都可能被发现。
白名单的难点
白名单听起来简单，落地时的难点主要有三个：
- 清单怎么来： 一台台设备人工梳理，工作量大，还容易漏。
- 业务变了怎么办： 设备和业务会调整，清单需要跟着更新。
- 不能影响业务： 控制太严会误伤正常访问。
所以好的做法是：能够学习业务访问规律，辅助形成清单，并随网络变化自适应调整。
可信接入防护平台面向工业场站、营业厅、园区等场景，用的就是这个思路：以非侵入式识别与软硬件指纹在不改动设备的前提下识别设备，以业务学习建立访问基线，以网络自适应应对复杂环境，再基于设备身份、业务关系及访问行为建立可信访问白名单，阻断异常访问与恶意行为，并留存行为审计。
小结
- 内网设备默认互通，是攻击者横向移动的温床。
- 只开放必需的访问，把设备限定在“小房间”，能显著缩小被攻陷后的影响。
- 白名单的难点在于清单的形成与维护，需要结合业务学习与自适应。