North-South vs East-West Traffic

Ruch North-South i East-West to dwa kierunki, w których dane poruszają się po sieci. Nazwy biorą się z tego, jak rysuje się diagramy centrum danych. North-South to ruch, który wchodzi do środowiska z zewnątrz albo z niego wychodzi — na przykład między użytkownikiem w Internecie a serwerem w data center lub chmurze (na diagramie biegnie z góry na dół). East-West to ruch poziomy, który zostaje w środku i krąży między serwerami, maszynami wirtualnymi, kontenerami, mikroserwisami i bazami danych. To rozróżnienie ma znaczenie głównie dla architektury sieci i bezpieczeństwa. Ruch North-South kontroluje się na brzegu sieci (firewall, IPS, WAF). Ruch East-West zwykle te kontrole omija — i właśnie dlatego jest głównym kanałem, którym atakujący przemieszcza się po sieci (lateral movement).

Czym jest ruch North-South?

Ruch North-South przekracza granicę środowiska — wchodzi do niego z zewnątrz albo je opuszcza. Nazwa pochodzi od konwencji rysowania sieci: klientów umieszcza się u góry, serwery u dołu, więc taki ruch biegnie pionowo. Część przychodzącą nazywa się czasem southbound, a wychodzącą northbound.

• Użytkownik loguje się do aplikacji firmowej przez Internet.
• Zewnętrzne zapytania API trafiają do serwera w data center.
• Serwer pobiera aktualizacje albo odpytuje zewnętrzne API.
• Klient finalizuje płatność w sklepie internetowym.
• Połączenia VPN i ruch zdalnych pracowników do zasobów wewnętrznych.

Czym jest ruch East-West?

Ruch East-West zostaje wewnątrz środowiska i biegnie poziomo między jego elementami — stąd nazwa, bo na diagramie serwery rysuje się obok siebie. Należy tu komunikacja serwer-serwer, replikacja baz danych, wywołania między mikroserwisami, ruch między klastrami oraz wymiana między hostami w tym samym data center lub chmurze.

• Replikacja i synchronizacja baz danych między węzłami.
• Wywołania API między mikroserwisami w klastrze Kubernetes.
• Komunikacja aplikacji z backendem i warstwą pamięci masowej.
• Wewnętrzne kopie zapasowe i transfery plików między systemami.
• Wymiana tras między routerami i komunikacja między hypervisorami.

Czym różni się ruch North-South od East-West?

Najważniejsze różnice dotyczą kierunku, miejsca, gdzie egzekwuje się polityki, oraz widoczności:

• Kierunek: North-South przekracza brzeg środowiska; East-West zostaje w środku.
• Punkt kontroli: North-South filtrują firewalle brzegowe, IDS/IPS, WAF i bramy; East-West wymaga kontroli wewnętrznych — mikrosegmentacji, firewalli na hostach, polityk service mesh.
• Wolumen: w wielu nowoczesnych centrach danych ruch East-West jest ilościowo większy niż North-South.
• Widoczność: ruch North-South niemal zawsze przechodzi przez urządzenia brzegowe, gdzie zostaje zalogowany; ruch East-West często krąży między hostami, nie przechodząc przez żaden punkt inspekcji.
• Model zaufania: ruch wewnętrzny bywa domyślnie uznawany za zaufany. To błąd, który koryguje podejście zero trust.

Dlaczego ruch East-West rośnie?

Ruch East-West rośnie przez to, jak buduje się dzisiejsze aplikacje i infrastrukturę:

• Wirtualizacja: wiele zadań, które kiedyś robił osobny sprzęt, przeniesiono do maszyn wirtualnych i oprogramowania, a to mnoży komunikację między elementami.
• Mikroserwisy: jedno żądanie użytkownika (jeden przepływ North-South) potrafi wywołać dziesiątki wewnętrznych wywołań między usługami (ruch East-West).
• Kontenery i orkiestracja: Kubernetes i podobne platformy generują intensywny ruch między podami i między usługami.
• Rozproszone dane: replikacja, sharding i rozproszone bazy danych wymagają ciągłej wymiany między węzłami.

Ten wzrost wymusił zmianę architektury sieci. Tradycyjne, trójwarstwowe topologie (access-aggregation-core) zastępuje się projektami leaf-spine, w których każdy przełącznik leaf łączy się z każdym spine. Dzięki temu droga między dowolnymi dwoma hostami jest krótsza, a opóźnienie dla ruchu serwer-serwer niskie i przewidywalne.

Dlaczego to rozróżnienie jest ważne dla bezpieczeństwa?

Klasyczny model bezpieczeństwa skupia się na brzegu sieci. Zakłada, że zagrożenia przychodzą z zewnątrz (North-South), więc na granicy stawia firewalle, IPS i WAF. Problem w tym, że gdy ktoś już przełamie brzeg — przez phishing, wykradzioną tożsamość albo lukę w usłudze wystawionej na zewnątrz — porusza się dalej w ruchu East-West, którego kontrole brzegowe po prostu nie widzą.

To przemieszczanie się po sieci (lateral movement) to typowy etap ataku. Po zdobyciu przyczółka na jednym hoście atakujący rozpoznaje sieć, zbiera kolejne hasła i dane logowania i kieruje się ku najcenniejszym celom — kontrolerom domeny, bazom danych, systemom kopii zapasowych. Większość tych połączeń nigdy nie opuszcza sieci, więc nie trafia na brzeg i pozostaje niewidoczna dla narzędzi pilnujących tylko ruchu North-South. Ten brak widoczności East-West to jedna z najczęstszych luk w wykrywaniu.

Jak zabezpiecza się ruch East-West?

Skoro kontrole brzegowe nie sięgają do środka sieci, ruch East-West zabezpiecza się inaczej:

• Mikrosegmentacja: dzieli środowisko na małe, odizolowane strefy z politykami na poziomie pojedynczego obciążenia. Ogranicza zasięg, na jaki atakujący może się rozprzestrzenić po pierwszym włamaniu, i zmniejsza powierzchnię ataku.
• Zero trust: usuwa domyślne zaufanie do ruchu wewnętrznego — każde połączenie trzeba uwierzytelnić i autoryzować zgodnie z zasadą najmniejszych uprawnień.
• Firewalle na hostach i polityki service mesh: egzekwują reguły blisko obciążenia, często z szyfrowaniem mutual TLS między usługami.
• Monitoring i wykrywanie: telemetria z wnętrza sieci (przepływy NetFlow/IPFIX, logi, kopia pakietów z portów SPAN/TAP) pozwala wychwycić anomalie, których sama segmentacja nie zatrzyma.

Jakie znaczenie ma widoczność East-West dla SOC i NDR?

Dla zespołu SOC ruch East-West jest najtrudniejszy do objęcia monitoringiem, bo nie przechodzi przez naturalny punkt inspekcji. Tu kluczową rolę odgrywa NDR (Network Detection and Response): analizuje telemetrię sieciową — przepływy i, gdzie się da, zawartość pakietów — uczy się, jak wygląda normalna komunikacja, i sygnalizuje odchylenia od tej normy.

Oznaki przemieszczania się po sieci, które widać w warstwie East-West, to m.in.:

• Skanowanie wewnętrzne i nietypowe próby łączenia między hostami, które normalnie się ze sobą nie komunikują.
• Nadużycia protokołów administracyjnych — SMB, RDP, WinRM, SSH — w nietypowych relacjach źródło-cel.
• Ataki typu pass-the-hash, Kerberoasting i inne nadużycia uwierzytelniania w ruchu wewnętrznym.
• Beaconing do wewnętrznych węzłów pośrednich i przygotowywanie eksfiltracji wewnątrz sieci.

Skuteczny monitoring łączy oba kierunki: kontrole North-South wychwytują zagrożenia na wejściu i wyjściu, a widoczność East-West skraca czas wykrycia atakującego, który już jest w środku. Pełne pokrycie obu płaszczyzn jest też zwykle wymagane przez normy i regulacje (np. ISO/IEC 27001).

Dowiedz się więcej

• Architektura Zero Trust – rola widoczności sieci i mikrosegmentacji w bezpieczeństwie — Zero Trust ogranicza ruch East-West przez mikrosegmentację i ścisłą kontrolę połączeń.
• Czym jest NetFlow i jak ten protokół jest wykorzystywany w praktyce? — NetFlow pomaga rozróżnić ruch North-South i East-West na podstawie przepływów.
• Błędy konfiguracji sieci – jak unikać network configuration errors i poprawić konfigurację routera — Błędy konfiguracji mogą zaburzać trasowanie i analizę ruchu North-South oraz East-West.
• Monitoring sieci i network visibility – analiza ruchu sieciowego jako podstawa visibility cybersecurity — Monitoring i widoczność sieci pozwalają odróżnić ruch North-South od East-West.
• ARP Spoofing – jak wykryć atak Man-in-the-Middle i zatruwanie ARP w sieci LAN — ARP Spoofing często dotyczy ruchu East-West w sieci LAN i ataków Man-in-the-Middle.
• Compliance i regulacje z Sycope — Compliance wymaga kontroli i raportowania ruchu North-South oraz East-West.