1. 零信任概述：从边界安全到零信任的演进
1.1 为什么传统边界安全失效了？
我们先看一个场景。你公司的内网，是不是默认就信任？
传统安全模型有个假设：内网是安全的，外网是危险的。所以我们在边界上堆防火墙、IPS、VPN，像个护城河一样。但问题是——攻击者一旦进了内网，基本就畅通无阻了。
我2018年帮一家金融客户做渗透测试，只用了三天就拿到了核心数据库的权限。怎么做到的？一台运维跳板机弱口令，进去之后横向移动，一路畅通。内网没有任何二次验证，没有任何微隔离。说白了，边界一旦被突破，整个内网就像不设防一样。
为什么会这样？因为传统模型是「一次验证，全程信任」。你只要通过了VPN认证，内网所有资源就对你开放。攻击者只要偷到一个合法用户的凭证，就能为所欲为。
- 内网默认信任——攻击者进入内网后几乎无限制
- 静态边界——云、移动办公、远程协作让边界模糊
- 过度授权——员工能访问远超工作所需的资源
- 缺乏持续验证——一次认证后就不再检查
1.2 零信任的核心逻辑：永不信任，始终验证
零信任的理念其实很简单：不再信任任何位置、任何设备、任何人。不管请求来自内网还是外网，每次访问都要验证。
我习惯把零信任比作「机场安检」。你想想看，就算你买了头等舱机票，过安检时照样要掏手机、脱外套。到了登机口还要再刷一次登机牌。这就是「永不信任，始终验证」——每次访问都是一次独立的授权决策。
零信任有三个核心原则：
- 明确验证——每次访问请求都要验证身份、设备、上下文
- 最小权限——只给完成任务所需的最小访问权限
- 假设失陷——默认网络已经被攻破，所有流量都要加密和审计
1.3 零信任的三大核心组件
零信任不是单一产品，而是一套架构。落地时主要靠三个组件：SDP（软件定义边界）、IAM（身份与访问管理）、微隔离。它们各管一摊，又互相配合。
| 组件 | 核心作用 | 解决什么问题 |
|---|---|---|
| SDP | 隐藏网络入口，按需授权访问 | 边界模糊、暴露面过大 |
| IAM | 统一身份认证与权限管理 | 身份冒用、权限泛滥 |
| 微隔离 | 东西向流量控制，阻止横向移动 | 内网横向扩散、攻击者在内网畅行 |
SDP：让攻击者找不到你的入口
SDP 的核心思路是「先认证，再连接」。传统 VPN 是先给你一个网络通道，再让你认证。SDP 反过来——你不认证，连网络入口都看不到。
我在一个电商客户那里落地过 SDP。他们的 API 网关之前直接暴露在公网上，每天被扫描几万次。上了 SDP 之后，所有 API 入口对未认证用户完全不可见。扫描器连端口都扫不到，更别说攻击了。
IAM：管好你是谁、能做什么
IAM 是零信任的「门禁系统」。它负责三件事：
- 认证——确认你是谁（密码、MFA、生物特征）
- 授权——你能访问什么（基于角色的权限控制）
- 审计——你做了什么（全程记录，可追溯）
零信任场景下的 IAM 和传统 IAM 有个关键区别：动态评估。传统 IAM 是静态的——你是管理员，就永远有管理员权限。零信任 IAM 会结合上下文动态调整——比如你从陌生 IP 登录，即使密码对了，也可能被降权或要求二次认证。
微隔离：切断横向移动的路径
微隔离解决的是「内网横向移动」的问题。传统网络里，同一网段的服务器之间可以随便通信。攻击者只要拿下一台服务器，就能扫描整个网段，找下一个目标。
微隔离的做法是：在服务器之间建立细粒度的访问控制策略。比如，Web 服务器只能访问应用服务器，不能直接访问数据库。数据库只对特定的应用服务器开放端口。
我帮一家银行做微隔离时，发现他们的核心业务系统之间居然有 2000 多条未使用的防火墙规则。清理之后，攻击面缩小了 60%。嗯，这里要注意——微隔离不是一上来就全封，而是先观察流量，再逐步收紧策略。
1.4 零信任架构全景图
下面这张图展示了零信任架构的核心逻辑。你可以看到，所有访问请求都要经过策略决策点（PDP）的评估，然后由策略执行点（PEP）来放行或阻断。SDP、IAM、微隔离分别在不同层面发挥作用。
1.5 从边界安全到零信任的演进路径
很多团队问我：零信任是不是要推翻现有架构重来？其实不是。我建议分三步走：
- 第一步：强化身份——先上 MFA、统一身份源、清理僵尸账号。这一步成本最低，效果最明显。
- 第二步：收缩暴露面——用 SDP 替换 VPN，隐藏内部服务。同时开始做微隔离的流量观察。
- 第三步：持续验证与动态授权——引入行为分析、风险评分，实现真正的「始终验证」。