01 · 多云网络参考架构：从星型到全互联的取舍
多云网络设计的第一性问题是：云与云之间的流量走哪里？三种基本拓扑各有安全含义——星型（经本地/SD-WAN枢纽中转）：全部跨云流量可经统一出口做检查与DLP，但带宽与时延受制于枢纽，且枢纽本身成为单点与高价值目标；全互联（云间直连）：以AWS Transit Gateway、Azure Virtual WAN、Google Network Connectivity Center及各自的跨云对等/专线能力（Direct Connect、ExpressRoute、Cloud Interconnect）构建，性能最优，但安全设备难以串接，东西向防护必须下沉到云原生机制；混合拓扑（骨干+局部直连）：生产数据面直连、管理与备份流量走枢纽，是多数大型组织的现实选择。
| 互联机制 | 说明 | 安全关注 |
|---|---|---|
| 跨云对等/VPN | 两云VPC/VNet之间经IPsec VPN或专用对等互联 | 密钥与隧道管理归属；两端安全组/防火墙规则需联合评审 |
| 专线服务 | AWS Direct Connect / Azure ExpressRoute / Google Cloud Interconnect | 物理接入点的资产与人员安全；BGP会话劫持面 |
| 云内骨干 | Transit Gateway / Virtual WAN / Network Connectivity Center | 路由表最小化；防止一个云的故障路由经骨干扩散至另一云 |
| SD-WAN叠加 | 第三方SD-WAN在多云之上组网 | 控制面与密钥由供应商持有——供应链信任评估（参考第2页SaaS面） |
设计原则：跨云互联通道在风险台账中应记为「高带宽横向移动通道」——任一云上立足的攻击者可借其直达另一云内网。因此互联边界两侧都必须落地入方向最小化策略，且互联关系本身纳入配置审计（第4页漂移检测的必查项）。
02 · SSE/SASE：多云访问控制的收敛框架
员工与系统访问多云资源的方式（VPN→公网→各云控制台/服务）已不可治理。Gartner 2021年将SSE（Security Service Edge，安全访问服务边缘）定义为「以云交付的、保障对Web、云服务与私有应用安全访问所需的安全能力组合」，核心组件为：SWG（安全Web网关，互联网访问过滤）、ZTNA（零信任网络访问，替代VPN的按身份授权）、CASB（云访问安全代理，SaaS与云服务的可见与控制）、以及FWaaS（防火墙即服务）。SSE与SD-WAN结合即SASE。SSE对多云的治理价值在于：把分散在各云的「访问检查点」收敛为一个统一的策略执行点——无论目标在哪个云，都先过同一个身份感知代理。
| 组件 | 职责 | 多云落地要点 |
|---|---|---|
| ZTNA | 按用户/设备/上下文对应用逐会话授权（NIST 800-207原则） | 私有应用经连接器发布于各云VPC；隐藏控制台与数据库端口 |
| CASB | SaaS/云服务影子IT发现、会话控制、数据防护 | API模式扫描多云控制台类SaaS；阻断未授权云服务上传 |
| SWG | 互联网出口过滤与恶意站点拦截 | 统一出口使跨云DLP与威胁检查成为可能 |
| FWaaS | 云端防火墙即服务，分支与移动办公统一策略 | 与云原生防火墙互补：人侧归SSE，机侧归云原生 |
边界澄清：SSE管「人访问云」，不管「云访问云」——服务间的东西向流量仍须依靠云原生机制（安全组、NetworkPolicy、服务网格，见下节）。把SSE当成多云网络安全的全部，是「SSE已部署却仍遭东西向横向移动」复盘中的共性误判——SSE覆盖人侧访问路径，天然不覆盖云内与云间工作负载流量。
03 · 东西向防护：云原生分段与服务网格
「云访问云」的流量包括同云内服务间、跨云服务间与云到SaaS三类。控制手段按层次递进：L3/L4分段——安全组/NSG/防火墙规则+NetworkPolicy（容器场景，详见子课题02第5页）；L7服务网格——Istio、Linkerd、Cilium Service Mesh等以Sidecar或eBPF/节点代理方式提供服务间mTLS、L7授权策略与遥测，Istio ambient（无Sidecar）模式于1.22版本进入Beta、1.24版本（2024年11月）达到正式发布（GA），显著降低资源开销；跨集群联邦——Istio多集群（多网络/单网络模式）、Cilium ClusterMesh、Linkerd多集群，使跨云K8s服务获得一致的mTLS与命名空间级授权。
- 默认拒绝：各分段策略基线从「默认全通」翻转为「默认拒绝+显式放行」，白名单按服务身份（ServiceAccount/mTLS SPIFFE ID）而非IP表达
- 证书生命周期：网格CA与证书轮换纳入审计；跨云联邦的信任根统一设计
- 策略等价核查：云A的NetworkPolicy与云B的安全组语义对齐检查（本页与第4页语义间隙表联动）
- 遥测汇聚：东西向L7指标（如Istio metrics）汇入第7页统一观测层，弥补云厂商流日志的L4局限
04 · 出口、DNS与DDoS的跨云基线
4.1 出口（Egress）管控
数据外渗的主通道是云资源的出向互联网流量。跨云出口基线：集中出口（经NAT网关+SSE/SWG检查）与分级出口（生产子网禁直连公网，仅经代理）二选一或组合；出口目的地白名单化（限定SaaS API域名清单）；大数据量出境告警（与第6页跨境规则联动）。各云实现：AWS NAT Gateway+Network Firewall、Azure Firewall/路由、GCP Cloud NAT+Cloud Firewall；流日志（VPC Flow Logs/NSG Flow Logs/VPC Flow Logs）统一归档。同时纳入IPv6出口核查：双栈环境下v6默认路由与v4安全策略等强度，是多云出口的常见盲区（子课题总览IPv6攻击面条目衔接）。
4.2 DNS安全
多云DNS基线：内部域名解析统一（私有Zone跨云同步）；DNS查询日志留存并接入检测（域名生成算法DGA、隧道特征）；防篡改（DNSSEC在关键域启用）；云端DNS服务（Route 53 Resolver、Azure DNS Private Resolver、Cloud DNS）的出口策略与白名单一致化。
4.3 DDoS与边缘防护
| 防护层 | AWS | Azure | GCP |
|---|---|---|---|
| L3/4容量清洗 | AWS Shield Standard（默认）/Advanced | Azure DDoS防护（标准层付费） | Google Cloud Armor 与 Google 全球前端 |
| L7/WAF | AWS WAF + CloudFront/ALB | Azure WAF（Application Gateway/Front Door） | Cloud Armor（WAF与自适应防护） |
| CDN/边缘 | CloudFront | Azure Front Door/CDN | Cloud CDN |
多云DDoS要点：攻击面随接入点数线性增长——每一朵云、每一个入口、每一条专线都是清洗与回源策略的独立配置点。基线核查必须「按入口点列清单」而非「按云打勾」，并定期以演练验证跨云切换时防护策略的等价性。
本节参考来源（第5页）
Gartner关于SSE/SASE的定义与公开研究综述（2021年起）：gartner.com。
NIST SP 800-207《Zero Trust Architecture》（2020年8月）：csrc.nist.gov。
Google BeyondCorp相关公开论文与产品化历程（BeyondCorp Enterprise于2020—2021年商业化）：cloud.google.com/beyondcorp。
Istio官方文档（含ambient模式说明，1.22版本起推进）：istio.io；Cilium ClusterMesh官方文档：docs.cilium.io；Linkerd多集群官方文档：linkerd.io。
各云官方文档：AWS Transit Gateway/Direct Connect/Shield/WAF、Azure Virtual WAN/ExpressRoute/DDoS Protection/Application Gateway WAF、Google Network Connectivity Center/Cloud Interconnect/Cloud Armor（以当前版本为准）。
CISA《Guide to Securing Cloud Service Accounts》等云安全公开指南：cisa.gov。