零信任架构规划：业务资产盘点与分级
说实话，很多团队一上来就搞零信任，结果连自己到底要保护什么都不知道。我见过最夸张的项目，花了三个月搭微隔离，最后发现核心数据库根本没在保护范围内。嗯，这就是典型的「先开枪后瞄准」。
零信任的起点，永远是搞清楚三件事：你的业务资产在哪、谁在用、流量怎么走。这一章，我就带你把这几个硬骨头啃下来。
业务资产盘点与分级
资产盘点不是让你拿个Excel去机房抄IP。零信任语境下的资产，要按业务价值来定义。
核心原则：资产分级决定保护力度。别把核心交易系统和访客WiFi路由器放在同一个安全等级里。
资产盘点四步法
- 业务系统清单——列出所有承载业务的应用、数据库、中间件。别漏了影子IT（Shadow IT），我遇到过客户财务部自己搭的报销系统，没人知道它连着核心账务库。
- 数据分类——按敏感度分：公开、内部、敏感、绝密。举个例子，用户密码哈希算「敏感」，但产品宣传册图片算「公开」。
- 资产依赖关系——画清楚哪个API调了哪个数据库，哪个前端依赖哪个后端。这一步最容易被忽略，但后面做微隔离全靠它。
- 风险标签——给每个资产打上「是否暴露公网」「是否有已知漏洞」「是否合规监管」等标签。
我的习惯：用CMDB（配置管理数据库）做底座，但一定要人工复核。自动化工具扫出来的资产清单，通常有20%-30%的遗漏或误报。我曾经在一个客户的K8s集群里发现三个没人认领的命名空间，里面跑着挖矿程序。
资产分级矩阵
| 等级 | 定义 | 示例 | 保护要求 |
|---|---|---|---|
| L4 绝密 | 泄露会导致企业生存危机 | 核心交易数据库、密钥管理系统 | 必须MFA+动态微隔离+全量审计 |
| L3 敏感 | 泄露会造成重大经济损失或合规风险 | 客户PII数据、财务报表系统 | 强制加密+访问审批+行为基线 |
| L2 内部 | 仅限内部员工访问 | 内部Wiki、OA系统 | 身份认证+基础网络隔离 |
| L1 公开 | 可对外发布 | 官网、帮助文档 | 标准WAF防护即可 |
为什么分级这么重要？说白了，零信任的资源是有限的。你不可能给每个资产都上最高规格保护，那成本谁也扛不住。分级之后，你才能把预算花在刀刃上。
用户与设备身份体系建设
零信任的第二个基石，就是身份。没有可靠的身份，你连「谁在访问」都搞不清楚，后面的策略全是空谈。
用户身份：从账号到实体
传统身份体系只认「用户名+密码」，零信任要的是多维度身份。我建议至少包含以下要素：
- 基础身份——来自IdP（如LDAP、Azure AD、Okta）的员工/外包/合作伙伴账号
- 行为身份——登录时间、地理位置、设备指纹、历史行为模式
- 风险身份——实时风险评分（比如从陌生IP登录、短时间内多次失败尝试）
避坑指南：我曾经帮一家金融客户做身份改造，他们坚持用AD账号直接对接零信任策略。结果发现外包人员的账号和正式员工混在一个OU里，权限根本分不开。最后不得不重建一套身份映射层，多花了两个月。所以，身份源必须先做清洗和标准化。
设备身份：让终端可信任
用户身份搞定了，设备身份也不能落下。你想想看，一个合法账号从一台被感染的笔记本登录，照样能把数据偷走。
设备身份的核心是设备证书。每台终端在入网前必须注册，拿到唯一的设备证书。之后每次访问请求，都要同时验证用户身份和设备身份。
# 设备注册流程示例（简化）
1. 终端向注册服务提交硬件指纹 + TPM证明
2. 注册服务验证设备合规性（OS版本、补丁、杀毒软件状态）
3. 通过后，CA签发设备证书（有效期24小时）
4. 设备证书绑定到用户身份，形成「用户-设备」二元组
5. 后续每次访问，PEP（策略执行点）校验二元组有效性我的经验：设备证书的有效期别设太长。我见过设成30天的，结果设备被偷了，攻击者拿着证书逍遥了快一个月。现在我的项目里，设备证书默认24小时，配合自动续签，安全性和体验都能兼顾。
网络流量与数据流梳理
资产和身份都清楚了，接下来要回答一个关键问题：数据到底怎么流的？
这一步很多人觉得简单，不就是画个网络拓扑吗？错了。零信任要的是应用层的数据流，不是网络层的IP五元组。我举个例子：同样是访问数据库，一个来自前端API的查询和一个来自后台批处理脚本的查询，安全策略应该完全不同。
数据流梳理三要素
- 源——哪个用户/设备/服务发起请求
- 目标——访问哪个资产（精确到API端点或数据库表）
- 协议与操作——HTTP GET/POST、SQL SELECT/UPDATE、SSH、RDP等
梳理方法我推荐抓包+日志分析+人工访谈三管齐下。自动化工具能扫出80%的流量，但剩下20%的业务关键路径，必须找开发团队一个一个确认。
关键产出：一份「数据流矩阵」，每一行记录一个合法的访问路径。这个矩阵就是后面写零信任策略的蓝图。
制定零信任实施路线图
前面三步做完，你手里应该有三份东西：资产分级清单、身份体系方案、数据流矩阵。现在可以画路线图了。
我个人的习惯是分三个阶段走，别想一口吃成胖子。
第一阶段：基础加固（1-3个月）
- 完成L4/L3资产的微隔离部署
- 上线统一身份认证平台（SSO + MFA）
- 设备证书注册流程跑通
第二阶段：策略精细化（3-6个月）
- 基于数据流矩阵，逐条编写零信任策略
- 引入动态风险评估（用户行为分析）
- 覆盖L2资产
第三阶段：持续优化（6-12个月）
- 全量资产纳入零信任管控
- 自动化策略调优（基于AI的异常检测）
- 常态化红蓝对抗验证
我曾经踩过的坑：第一阶段就想把所有资产都纳入微隔离，结果策略冲突导致核心业务中断了两次。后来学乖了，先挑非关键业务试点，跑通再推广。记住，零信任是渐进式改造，不是大拆大建。
本章知识体系总览
下面这张图，把本章的核心逻辑串起来了。你可以把它贴在墙上，做项目时随时对照。
这张图的核心逻辑很简单：先盘点、再建身份、后理流量，最后用三份产出驱动路线图。顺序不能乱，跳步必踩坑。
好了，这一章的内容就到这。你手头如果有正在做的零信任项目，不妨先停下来，对照这四步检查一下——资产分清楚了吗？身份体系能支撑二元认证吗？数据流矩阵画完了吗？如果答案都是「是」，那恭喜你，路线图已经在你脑子里了。