零信任概述：定义、核心原则与历史演进

聊零信任之前，我先问一个问题：为什么传统的边界安全模型越来越不管用了？

过去我们习惯在企业网络边界筑墙，内部网络默认是安全的。但云化、移动办公和远程接入让边界变得模糊。我个人在企业做安全规划时，遇到过好几次内网横向攻击得手的事。攻破一台服务器，整个内网就像不设防一样。嗯，从那以后我开始认真思考：信任，到底该不该默认给？

1.1 什么是零信任？

零信任不是一款产品。它是一种安全理念。核心就一句话：永不信任，始终验证。

说白了，不管你是在公司内网还是在外网，不管你用的是什么设备，每个请求都要被验证。没有隐身的内网，没有默认的信任。

我平时跟客户讲的时候，喜欢用一个类比：传统安全像小区的大门，进了门各家各户随便串；零信任像五星级酒店，坐电梯要刷房卡，进楼道要刷房卡，进房间也要刷卡。哪怕你住酒店十年，没房卡照样进不去。

1.2 核心原则：六个你必须记住的点

零信任的原则很多，但最核心的绕不开下面这六个。我自己做架构设计时，这个清单反复用了上百次。

原则	核心含义	我的实战体会
1. 所有数据源和服务都是资源	不仅是服务器，还包括API、数据库、甚至打印服务	我以前漏过一个打印服务，结果被当跳板了，学了一个大教训
2. 所有通信都要加密和认证	没有内部网络可以裸奔，mTLS是标配	别信什么“内网流量安全”
3. 最小权限原则	只给完成任务的最小权限，用完回收	我曾经建议给一个实习生开所有数据库权限，被老人骂醒了
4. 动态信任评估	信任不是固定的，每次访问都要重新算分	某客户的运维账号明明被盗，凭据还在有效期，直接进了核心库
5. 全链路监控与审计	所有访问行为都要记录、分析、告警	不监控等于裸奔，出事连回溯都做不到
6. 策略为中心	所有决策基于统一策略，不依赖网络位置	那朵云里的策略如果和本地对不上，就是大窟窿

1.3 零信任的历史演进：从理论到落地

零信任不是一天冒出来的。我把它分成三个阶段，方便你理解脉络。

1. 2010年以前：萌芽期
   网络安全的主流模型还是“边界防御+纵深防御”。但已经有安全专家开始质疑“内网可信”的假设。我记得2009年参加一个安全会议，有分析师提出“网络是无害的”这个假设正在失效。当时很多人不以为然。
2. 2010-2017年：理论形成期
   Forrester的John Kindervag在2010年正式提出零信任（Zero Trust）这个术语。他定义了一个核心模型——零信任架构（ZTA）。后来Google实践了BeyondCorp项目，把零信任从理论拉到了现实。我自己在2016年参与过一个跨国企业的架构改造，就是从那时候开始接触零信任的。
3. 2018年至今：标准化与落地期
   NIST在2020年发布了SP 800-207，把零信任上升为官方标准。Gartner也开始提SASE和ZTNA。行业内不再是“要不要做零信任”的争论，而是“怎么做”的挑战。我这两年接触的项目，超过一半都已经开始具体实施零信任的某些组件了。

坦率说，这个演进过程中最让我印象深刻的是：好多人以为零信任是“新技术”，其实它更多是“新思维”。技术栈没变太多（加密、认证、权限评估），只是组织方式被重塑了。

1.4 零信任与权限模型的关系

权限模型是零信任落地中绕不开的一环。信任评估了半天，最终还是要落到“谁可以访问什么资源”。

我们这门课叫《权限模型零信任架构设计案例详解》，原因就在这里。很多人学了一大堆零信任概念，真落地时就卡在权限怎么设计上。你去看看真实的零信任案例：权限部分常常是第一步要动的地方，也是最容易出错的地方。

举个简单的例子——动态权限评估。传统RABC模型里，角色是静态的，权限是提前配好的。但在零信任中，权限要根据用户当前的行为、设备状态、地理位置、时间等多维度动态调整。这就是我们这门课后面反复要讲的动态信任评分+权限引擎。

1.5 零信任核心逻辑图

下面这张SVG图，我自己觉得是整章最重要的一个知识浓缩。它把零信任的核心理念、关键组件和流程串在了一起。建议你多看两遍。

1.6 本章小结

零信任不是让你推翻所有安全投资。它是在旧的边界模型上打一个补丁，然后再重新思考信任该怎么建立。

最后，我有个习惯：每次启动一个新项目，都会先用上面这张图过一遍。你可以试着把这张图贴出来，每次做决策时对照一下——你现在做的事情，是在加固信任评估，还是在优化权限策略？别混为一谈。