用途：该技能用于配置微隔离（microsegmentation）策略，在零信任架构下按应用层实施工作负载间最小权限访问，消除同一网段内的隐式信任，防止攻击者获得初始访问后横向移动。
主要能力：涵盖基于工作负载身份的策略设计、基于主机与基于网络的执行方式，以及用 Illumio Core、VMware NSX 等工具验证隔离效果。资料列出四类模型：网络型（VMware NSX、Cisco ACI，在 hypervisor 或网络结构层执行分布式防火墙）、主机型（Illumio、Guardicore，OS 层代理用 iptables/WFP 执行）、容器型（Calico、Cilium，Kubernetes pod/容器级网络策略）、应用型（Zscaler Workload Segmentation，基于软件身份而非 IP）。
使用方式：工作流分四阶段。阶段一发现与映射：部署可见性代理收集 2-4 周流量遥测，构建应用依赖图，按角色、应用、环境、位置分配标签。阶段二策略设计：定义分段区域（环境隔离、层级隔离、应用围栏、管理访问），创建允许列表策略并默认拒绝，先在可见性/测试模式建模 1-2 周。阶段三执行：从最低风险应用开始增量切换为执行模式，监控 24-48 小时，做横向移动渗透测试并测试 break-glass 流程。阶段四运维：与 CI/CD 集成自动打标签，每周审查违规，每季度评估有效性。
适用场景：部署或配置零信任微隔离能力、建立合规对齐的安全控制、改进该领域安全架构、开展需要此实现的安全评估。
限制与前提：需理解 NIST SP 800-207 零信任原则、网络分段概念、防火墙与 SDN 技术，并熟悉 VMware NSX、Illumio、Guardicore 或 Cisco ACI；需 Python 3.8+ 及依赖、测试或实验环境、相应测试授权。资料未提供具体安装命令、收费或价格信息。