蜂巢

蔷薇灵动蜂巢自适应微隔离安全平台（简称“蜂巢”）是北京蔷薇灵动科技有限公司面向云化数据中心设计的零信任核心组件，已在国内 3 万点级规模环境中稳定运行，下文基于公开技术资料与落地案例进行系统梳理。

一、产品定位  

• 解决“东西向流量不可见、策略不可控、运维不可扩”三大痛点，实现工作负载级别的细粒度隔离与身份化访问控制。  

• 通过“自适应策略计算 + 统一可视化”将传统网络分段升级为业务驱动的动态微隔离。

二、系统架构  

1. 管理中心（Hive-Master）  

  – 集群化部署，支持横向扩展，单集群可纳管 50 000+ 工作负载；  

  – 提供 RESTful / SDK / WebSocket 三类接口，与 CMDB、SOAR、SIEM 对接。  

2. 策略计算引擎（Policy-Calculator）  

  – 采用图算法 + 机器学习，根据 5 类源数据（资产、身份、流量、漏洞、威胁情报）实时重算策略；  

  – 计算复杂度 O(n log n)，万点规模策略收敛时间 <10 秒。  

3. 数据平面  

  – 主机级 Agent：基于 eBPF/Windows Filtering Platform 实现内核旁路，CPU 占用 <1%，内存 <40 MB；  

  – 无 Agent 旁路模式：通过 NetFlow、sFlow、SPAN 采集，辅助策略学习。  

4. 通信通道  

  – 自研“一步通信”协议：TLS 1.3 + Protobuf，支持 1:100 000 并发心跳，平均带宽占用 <0.5 kbps/节点。  

三、功能特性  

1. 资产与业务拓扑  

  – 实时绘制跨 DC、跨容器集群的“业务-资产-连接”三维拓扑，支持 30 天历史回溯。  

2. 自适应策略  

  – 策略粒度：IP、端口、进程、用户、标签五元组；  

  – 变更触发：工作负载上线/下线、漏洞等级变化、攻防演练评分下降等 12 类事件；  

  – 支持“一键策略”将高危端口瞬时隔离，零人工干预。  

3. 内部威胁检测  

  – 内置 60+ 行为基线模型（横向移动、RDP 爆破、Kerberoasting 等），检出率 >96%，误报率 <0.5%。  

4. 勒索/APT 扩散防御  

  – 针对勒索病毒 Kill-Chain 的 7 个阶段建立 21 条封锁规则，实战演练中平均阻断时间 37 秒。  

5. 合规与审计  

  – 满足等保 2.0、关基、ISO 27001 关于“东西向流量监测、最小权限、快速隔离”条款，自动生成合规报告。  

四、部署与集成  

• 操作系统：CentOS 7/8、RHEL 7/8、Ubuntu 18/20、Windows Server 2012–2022；  

• 云平台：VMware、OpenStack、KVM、Hyper-V、阿里云、腾讯云、华为云、AWS、Azure；  

• 容器：Kubernetes、OpenShift、Rancher，采用 DaemonSet 方式注入 Sidecar，零侵入。  

五、典型场景  

1. 超大规模云原生混合云  

  – 某信息服务企业：两地三中心 200+ 业务系统、20 000+ 容器/VM，通过蜂巢统一纳管，实现业务域间 17 万条策略的分钟级收敛。  

2. 工控环境  

  – 在中石化炼化装置区，对 DCS、PLC、操作员站进行进程级微隔离，阻断 WannaCry 横向移动，保障装置连续运行 1200+ 小时。  

3. 攻防演练  

  – 某部委实战演练期间，利用“一键策略”功能 3 小时内封堵 1 200+ 异常连接，演练评分提升 23 分。  

六、性能与可靠性  

• 单节点策略表容量：100 万条；  

• 集群故障切换：RTO <30 秒，RPO = 0；  

• 支持冷/热补丁、蓝绿升级，业务零中断。  

七、开放接口  

• RESTful API 300+，涵盖资产、策略、事件、拓扑四大域；  

• 预置 Terraform Provider、Ansible Module，可与现有 DevOps 流水线无缝集成。  

总结：蜂巢平台以“主机级 Agent + 自适应策略引擎 + 全栈可视化”为核心，解决了传统防火墙在云化、容器化场景下“看不清、管不住、扩不了”的痛点，成为国内微隔离领域首个通过 ISCCC 专项测试、并支撑 3 万点级生产环境的标杆产品。