零信任架构与微分段：从理念到落地

零信任这个概念，这几年被炒得很热。但说实话，很多人把它理解成了「不信任任何人」——这其实是个误区。我刚开始接触零信任时也犯过这个错，直到在一次攻防演练中被现实狠狠教育了一课。

零信任的核心，不是「不信任」，而是「持续验证」。你想想看，传统安全模型就像一座城堡，墙外是敌人，墙内是好人。但现实是，攻击者一旦进了墙，就能在内部横向移动，为所欲为。我见过太多案例，边界防火墙防得死死的，结果一个钓鱼邮件就全盘皆输。

零信任的三大核心理念

我个人习惯把零信任拆成三个关键词：

• 永不信任，始终验证——不管请求来自内网还是外网，每次访问都要重新认证和授权
• 最小权限——只给完成任务所需的最小权限，不多给一丁点
• 假设失陷——默认网络已经被攻破，所有流量都可能是恶意的

我在给一家金融客户做架构评审时，发现他们内部数据库居然可以通过内网IP直接访问，没有任何二次验证。我问他们为什么，回答是「内网是安全的」。嗯，这就是典型的城堡思维。后来我们帮他们做了零信任改造，把数据库访问全部改为基于身份的细粒度控制，效果立竿见影。

微分段在零信任中的角色

微分段，说白了就是零信任在「网络层面」的具体落地手段。它解决的是零信任里最头疼的问题——东西向流量管控。

传统防火墙只能管南北向（进出数据中心），但攻击者一旦进入内部，横向移动时走的都是东西向流量。微分段的作用，就是把数据中心内部切成一个个微小的安全区域，每个区域之间都做访问控制。

我举个例子：

传统模式	微分段模式
Web服务器和数据库在同一网段	Web服务器和数据库分属不同微段
Web服务器可以ping通数据库	只有特定端口（如3306）才允许访问
攻击者拿下Web服务器后，可以直接访问数据库	攻击者拿下Web服务器后，无法横向移动到数据库

你看，微分段的核心价值就是「横向移动防护」。我曾经帮一个电商平台做微分段改造，他们之前被攻击者从Web服务器横向移动到支付系统，损失惨重。改造后，每个应用组件之间都做了严格的微隔离，攻击面大幅缩小。

SDP与微分段的关系

SDP（软件定义边界）和微分段，经常被人搞混。它们其实是零信任架构中的两个不同层面：

• SDP 解决的是「谁可以连接」的问题——它做身份验证和授权
• 微分段 解决的是「连接后能去哪」的问题——它做东西向流量控制

你可以把SDP理解成「门禁系统」，只有持有效证件的人才能进门。而微分段是「楼内的分区管控」，即使进了门，你也只能去你被允许去的楼层和房间。

我记得有一次给客户做方案，他们问：「我们上了SDP，是不是就不用做微分段了？」我的回答是：不行。SDP管的是南北向的接入控制，但攻击者如果通过合法身份进来了呢？或者内部人员恶意操作呢？这时候微分段就是最后一道防线。

三者的协同关系

零信任、微分段、SDP，它们的关系可以用一张图来概括：

从这张图可以看得很清楚：SDP负责「进门」，微分段负责「在楼内活动」，而零信任架构则是整个安全体系的设计思想。三者缺一不可。

落地时的常见误区

这些年我见过不少团队在落地零信任和微分段时踩坑，总结几个典型的：

1. 过度依赖单一技术——以为上了SDP就万事大吉，忽略了微分段
2. 策略过于粗放——微段划分得太大，失去了隔离效果
3. 忽视运维复杂度——微段太多，策略管理变成噩梦
4. 没有持续验证——策略配完就不管了，业务变化后策略失效