4. 零信任架构模型与实施路径
零信任（Zero Trust）这个概念，这几年被炒得火热。但说白了，它的核心就一句话：再也不相信任何东西了。不管是内网还是外网，不管是人还是机器，通通先验证再说。
我在帮一家金融客户做安全改造时，他们最头疼的就是内网横向移动。攻击者只要突破一个边缘节点，就能像逛超市一样在内网里随便溜达。嗯，这就是传统“城堡-护城河”模型的死穴——一旦城墙破了，里面全是信任的内鬼。
4.1 零信任的三大核心原则
我个人习惯把零信任理解为三个基本信条：
- 显式验证（Explicit Verify）：每次请求都要检查身份、设备状态、上下文。不缓存信任。
- 最小权限（Least Privilege）：只给刚好够用的权限，动态取消。
- 假设受损（Assume Breach）：默认已经有人在里面了，所以加密、分段、审计都要做到极致。
你想想看，如果三个原则都做到了，攻击者就算拿到了一个普通用户的凭据，也没法和隔壁服务器通信。我曾见过一个银行项目，他们用微隔离把2000台服务器分成300多个安全组，横向移动几乎被锁死。
4.2 传统模型 vs 零信任模型
来看一个表格，对比一下区别：
| 维度 | 传统信任模型 | 零信任模型 |
|---|---|---|
| 网络位置 | 内网=可信，外网=不可信 | 所有网络都不可信 |
| 凭据 | 一次登录，永久信任 | 每次请求都验证 |
| 权限 | 静态 ACL | 动态、基于上下文的最小权限 |
| 流量监控 | 边界防火墙 | 全流量加密 + 微分段 |
| 运维复杂度 | 较低 | 较高，但安全提升明显 |
关键点：零信任不是一套产品，而是一种架构思想。不要指望买个“零信任网关”就完事了。
4.3 实施路径：五步法
我在多个项目中梳理出一套可落地的路径，分享给你：
- 定义保护面——先圈出最核心的数据、应用、API。别想着一步覆盖全部。
- 架构映射——画清数据流、信任边界。我曾经发现客户有十几个“非标”接口根本没上认证。
- 策略引擎建设——用统一的策略决策点（PDP）来做授权判定。
- 强制执行——在网关、代理、主机防火墙上落实策略。
- 持续监控与改进——日志、行为分析、自动调整。
经验之谈：第一步最容易卡住。不要追求大而全，选一个业务单元做试点，比如“HR系统”，覆盖身份、设备、网络三个维度。
4.4 关键技术组件
零信任落地需要几个核心组件协同工作。下面这张SVG图展示了我常用的架构关系：
4.5 策略引擎的设计要点
策略引擎（Policy Decision Point）是整个零信任的大脑。我习惯用 PDP + PEP 的解耦模式：PDP 只做决策，PEP 只做执行。这样升级一方不影响另一方。
下面是一个简化的策略JSON示例（注意，这只是示意结构）：
{
"version": "1.0",
"rules": [
{
"id": "rule-001",
"subject": { "user_group": "finance" },
"resource": { "app": "erp", "api": "/revenue" },
"condition": {
"device_compliant": true,
"geo": "cn",
"time": "09:00-18:00"
},
"effect": "ALLOW",
"audit": true
}
]
}重要提醒：策略文件不要硬编码在PEP设备里。我曾经见过一个客户把策略写在网关的配置文件中，结果每次改策略都要重启网关，业务中断长达半小时。正确做法：PDP实时下发，PEP缓存并定期刷新。
4.6 落地中的常见坑
- 忽略身份枚举风险。零信任暴露了更多认证接口，攻击者可以尝试枚举有效用户名。解决办法：使用统一登录门户 + 速率限制。
- 过度微隔离导致运维灾难。策略规则从几十条暴涨到上千条，没人维护。我建议先粗分“高安全域”和“普通域”，逐步细化。
- 监控盲区。虽然加密了流量，但也让安全设备看不到内容。可以部署旁路解密代理，或者用端点行为分析替代网络DPI。
4.7 小结
零信任不是银弹，但它确实改变了安全建设的底层逻辑。从“信任位置”转向“信任身份”，从“静态防御”转向“动态评估”。
如果你正在规划零信任项目，我的建议是：先做身份治理和端点基线，再切网络分段。工具可以选开源的（比如Keycloak做IAM、WireGuard做隧道），也可以买商业套件。关键是要有一个懂架构的人来把控全局，否则很容易变成“买一堆盒子”的零信任。