3. 零信任安全模型：身份、设备、网络、应用、数据五大支柱
零信任不是某个单一产品，也不是买一套设备就能搞定的事。它本质上是一套安全模型，把传统"内网可信"的思路彻底翻了个个儿。NIST SP 800-207 里定义了核心组件，但在实际落地时，大家更习惯从五个维度去拆解——身份、设备、网络、应用、数据。这五个支柱，说白了就是零信任的"五指山"，少一个都不行。
你想想看，一次完整的访问行为，从"谁"发起，到"用什么"发起，经过"什么路径"，访问"什么应用"，最终拿到"什么数据"——这五个环节刚好对应五个支柱。任何一个环节出了问题，信任链条就断了。
3.1 为什么是这五个维度？
这五个维度不是拍脑袋想出来的，而是从攻击路径反推的结果。我参与过几个大型企业的零信任评估，发现大多数安全事件都能归因到某个支柱的缺失或薄弱。
举个例子，钓鱼邮件骗走了身份凭证——这是身份支柱没守住。员工用个人电脑接入内网——设备支柱失守。攻击者在内网横向移动——网络支柱没做好。API 接口被未授权调用——应用支柱失效。敏感数据被拖库——数据支柱形同虚设。你看，每个环节都有对应的坑。
核心观点：零信任的本质是不信任任何单一维度的验证结果，而是通过身份、设备、网络、应用、数据五个维度的交叉验证，建立动态信任。
3.2 身份支柱——新边界的第一道关卡
在零信任模型里，身份就是边界。传统网络边界消失了，身份成了新的"门禁系统"。这一点很多团队都理解，但容易做过头。
我在项目中遇到过一家客户，把所有系统都接入了统一身份平台，MFA、SSO 全套上马。听起来很完美对吧？结果用户每天要认证十几次，业务部门怨声载道。最后我们做了个评估，发现 60% 的认证请求是重复的、不必要的。
身份支柱的关键在于持续验证，不是认证一次就放行。用户拿到 后，每次请求都要重新评估上下文——IP 变了？设备指纹变了？行为模式异常？这些都要触发二次认证。
- 核心能力：统一身份治理、MFA、SSO、RBAC/ABAC
- 审计要点：认证频率、会话生命周期、权限变更记录
- 常见坑：认证流程太重，影响业务效率；或者太轻，形同虚设
3.3 设备支柱——信任的载体
身份对了，但如果设备已经被攻陷，那认证还有什么意义？设备支柱解决的就是这个问题——信任必须建立在可信的载体上。
我建议在做设备信任评估时，别只看有没有装杀毒软件。设备合规至少包括：操作系统补丁版本、磁盘加密状态、是否越狱/root、是否有未授权外设、进程白名单。这些指标要实时采集，而不是每天扫一次。
讲一个实际案例。某金融客户的移动办公方案，员工用个人手机接入内网。设备合规检查只做了"是否有锁屏密码"这一项，结果呢？员工的手机中了木马，键盘记录器把 VPN 密码抄走了。设备支柱的漏洞，直接导致身份凭证泄露。
实践建议：设备证书的轮换周期不要超过 90 天。我曾经见过一家公司把设备证书有效期设了两年，结果有台离职员工的设备一直没注销，成了后门。
3.4 网络支柱——微隔离与分段
网络支柱在零信任里的角色很明确——不让攻击者舒服地做横向移动。传统网络靠 VLAN 做粗粒度隔离，零信任要做的是微分段，把隔离粒度精确到应用甚至进程级别。
南北流量（用户到应用）要控制，东西流量（应用到应用）更要管。很多团队把精力全放在南北流量的管控上，东西流量完全放开。结果攻击者只要打穿一台服务器，就能在整个数据中心里"逛街"。
我曾经帮一个电商客户做网络策略审计。他们的微隔离策略写了 3000 多条，但没有任何策略可视化工具，安全团队自己都搞不清哪些策略在生效。最后我们用流量镜像做了个策略命中分析，发现 40% 的策略是冗余的，还有 15% 的策略互相冲突。
避坑指南：我曾经见过一个团队，微分段策略上线后没有做灰度验证，结果直接把生产环境的支付链路拦断了。微隔离一定要从"监控模式"开始，先看流量，再逐步启用阻断。
- 核心能力：微分段、应用级防火墙、流量可视化、策略自动化
- 审计要点：策略命中率、东西流量覆盖率、策略变更审批记录
3.5 应用支柱——工作负载的保护
应用支柱关注的不是用户，而是应用本身。在零信任模型里，应用也要有身份。服务 A 调用服务 B，必须先证明自己是谁、有没有权限。
这一点在微服务架构里尤其重要。容器启动、服务注册、API 调用，每一个环节都要做身份鉴权。别只依赖网络层面的 IP 白名单——Kubernetes 的 Pod IP 是动态分配的，靠 IP 做访问控制迟早出问题。
| 支柱 | 核心目标 | 关键技术 | 审计关注点 |
|---|---|---|---|
| 身份 | 确认"你是谁" | IAM、MFA、RBAC | 认证频率、权限变更 |
| 设备 | 确认"你用什么访问" | 终端合规、设备证书 | 合规基线、证书轮换 |
| 网络 | 控制"怎么连" | 微分段、策略自动化 | 策略冗余、东西流量 |
| 应用 | 保护"访问什么" | 服务身份、API 网关 | 鉴权配置、依赖关系 |
| 数据 | 保护"拿什么" | 分级分类、加密、DLP | 加密覆盖率、访问审计 |
3.6 数据支柱——最终保护目标
绕了一大圈，我们为什么要做身份验证、设备检查、网络隔离、应用鉴权？说到底，数据才是最终要保护的东西。其他四个支柱都是为数据支柱服务的。
数据支柱的落地，第一步永远是分级分类。没有分级，加密策略就没法差异化。我在项目中见过最典型的场景：一家互联网公司把所有数据都用了同一套 AES-256 加密，结果日志查询性能下降 70%，业务方直接投诉。因为他们的日志里 90% 是非敏感数据，根本不需要这么强的加密。
- 核心能力：数据分级分类、动态脱敏、透明加密、DLP
- 审计要点：加密密钥生命周期、数据访问异常检测、分级标签覆盖率
一个实用的判断标准：数据支柱做得好不好，就看两个数字——加密覆盖率和数据访问异常检出率。加密覆盖率低于 80% 的，基本等于没做。
3.7 五大支柱的协同关系
这五个支柱不是孤立的。我画了张图，你一看就明白它们怎么配合的——数据在最中心，其他四个支柱从不同方向把它围起来。每个支柱负责一道防线，任何一道被突破，其他支柱还能兜底。
实际落地时，身份和设备往往是起点。先把"谁"和"用什么"管住，再逐步扩展到网络、应用和数据。我见过最成功的案例，是一家制造企业用 18 个月分三阶段完成五个支柱的建设，每阶段只聚焦 1-2 个支柱，稳扎稳打。
避坑指南：千万不要五个支柱同时启动。我曾经见过一个团队，半年过去了哪个都没做好，资源全摊薄了。建议按"身份+设备 → 应用+网络 → 数据"的顺序推进。
这张图把五个支柱的关系讲得很清楚了。数据在最中心，是最终要保护的东西。身份、设备、网络、应用从四个方向支撑起对数据的保护。外围那条虚线框代表零信任安全边界——它不是固定的物理边界，而是动态的、由五个支柱共同构建的逻辑边界。
一句话总结：零信任安全模型的五大支柱，从身份、设备、网络、应用到数据，逐层递进又相互兜底。任何单一支柱都不足以建立信任，五者协同才能实现"持续验证，永不信任"。