安全
验证网络分段控制
组织证明只有预期流量能穿越信任边界，并在不中断关键服务的前提下关闭非预期路径。
流程
按这个顺序做。
- 取得授权，并界定源目的区域、允许流、排除资产、测试方法、时机、安全限制和回滚联系人。
- 审阅当前图、路由、防火墙与云规则、安全组、身份感知策略和流日志，推导预期访问矩阵。
- 识别过宽、被遮蔽、过期、临时、不对称或未记录的规则，并与责任人核验服务依赖。
- 从批准测试点用安全协议和速率演练允许与拒绝路径，记录源、目的、端口、身份、结果和时间戳。
- 将测试结果与控制面配置和遥测对照，区分执行缺口与测试或路由错误。
- 经变更控制整改，分阶段测试更窄策略，并保持监控与回滚就绪。
- 复测失败路径和有代表性的允许服务，更新图与规则归属，并安排周期性漂移检查。
先准备
猫会向你要的输入。
- 书面测试授权与边界
- 网络与云拓扑图
- 预期流矩阵与服务责任人
- 批准测试点与维护窗口
路由器 + 一份 playbook
先路由。只选一份。
Cat Paw 每次任务只加载一份 playbook，不合并多份。先走这个路由器；其余路径是此 workflow 可检查的候选。
- 路由器：
cybersecurity-pack skills/cybersecurity-skills/conducting-network-penetration-test/SKILL.mdskills/cybersecurity-skills/configuring-network-segmentation-with-vlans/SKILL.mdskills/cybersecurity-skills/implementing-network-segmentation-with-firewall-zones/SKILL.md
界限
界限跟着提示一起走。
- 不要扫描或产生超出指定资产、协议、速率和时间的流量。
- 使用非破坏连通测试，遇不稳定立即停止。
- 仅在负责人批准、分阶段发布和已测试回滚路径下更改控制。
完成代表
一个可核对的终点。
每条关键允许与拒绝流都有与策略匹配的测试证据，非预期路径已关闭，所需服务仍可用，图与归属为最新。
来源
这个流程从哪来。
- www.cisa.gov/resources-tools/resources/microsegmentation-zero-trust-part-one-introduction-and-planning
- www.cisa.gov/resources-tools/resources/layering-network-security-through-segmentation-infographic
- csrc.nist.gov/pubs/sp/800/207/final
来源确立 workflow 的模式。如有 Reddit 或社区帖子，视为实务轶事，不是普遍事实。
