3、零信任架构（ZTA）基础：NIST SP 800-207标准解读、ZTA的逻辑组件（PEP、PDP、PIP）、针对IoT场景的ZTA变体
好，咱们进入第三章。这一章是零信任的“地基”。
很多朋友一上来就问我：“零信任到底长什么样？是不是装个软件就行了？”
说实话，我早年也这么想过。直到我在一个智慧园区项目里，被几十种不同协议的IoT设备搞得焦头烂额，才真正意识到——没有架构思维，零信任就是一盘散沙。
今天，我们就拿NIST SP 800-207这个“行业宪法”来拆解。我会结合IoT场景，聊聊标准里的逻辑组件，以及我们实际落地时做的变体。
3.1 NIST SP 800-207：零信任的“宪法”
NIST SP 800-207，全称是《零信任架构》。它不是一本产品手册，而是一套原则框架。说白了，它告诉你“为什么要这么做”，而不是“买哪个牌子的防火墙”。
我个人习惯把这份文档的核心思想浓缩成一句话：不再信任网络位置，只信任身份和上下文。
标准里定义了七大原则，我挑几个跟IoT强相关的说说：
- 所有数据源和计算服务都被视为资源——哪怕是一个温度传感器，它产生的数据也是资源，需要保护。
- 所有通信无论网络位置，都必须加密和认证——内网流量不再默认安全。我在项目里见过太多人觉得“内网没事”，结果一个被攻破的摄像头就能横向移动。
- 访问权限基于每个请求动态授予——不是登录了就万事大吉。每次请求都要重新评估。
- 持续监控并评估信任等级——设备行为异常？立刻降权或阻断。
核心观点： NIST 800-207 的本质是“从不信任，始终验证”。对于IoT来说，这意味着你不能因为设备接入了公司Wi-Fi，就让它随意访问服务器。
3.2 ZTA的逻辑组件：PEP、PDP、PIP
标准里把零信任架构拆成了三个逻辑组件。你想想看，这就像人体的“执行、决策、情报”三个系统。
| 组件 | 全称 | 职责 | IoT场景比喻 |
|---|---|---|---|
| PEP | Policy Enforcement Point | 策略执行点。拦截请求，放行或阻断。 | 门禁闸机。刷卡（身份）对了才开门。 |
| PDP | Policy Decision Point | 策略决策点。根据策略和上下文，决定“允许还是拒绝”。 | 保安队长。他看你的工牌、访客记录，然后决定让不让你进。 |
| PIP | Policy Information Point | 策略信息点。提供决策所需的“情报”，比如设备状态、用户角色、威胁情报。 | 监控中心。它告诉保安队长“这个人昨天违规了”或者“这个设备固件有漏洞”。 |
这三者的协作流程，我画了张图，你看一眼就明白了：
实战经验： 我在做IoT网关时，经常把PEP直接嵌入到网关固件里。这样设备流量在进入内网前，就已经被策略拦截了。比在核心交换机上做策略，延迟更低，也更安全。
3.3 针对IoT场景的ZTA变体
标准是死的，场景是活的。IoT设备有个特点：资源受限、协议碎片化、无人值守。你不可能让一个温湿度传感器去跑完整的TLS握手，它连内存都不够。
所以，我们在实际落地时，必须做变体。我总结了几种常见的模式：
3.3.1 网关代理模式（Gateway Proxy）
这是最常用的模式。所有IoT设备不直接访问后端，而是通过一个智能网关。网关充当PEP和轻量级PDP的角色。
- 设备侧： 只发MQTT或CoAP报文，不做复杂认证。
- 网关侧： 终结设备连接，进行设备身份校验（比如基于PSK或证书），然后代表设备向后端发起请求。
我曾经在一个智能楼宇项目里，用这种方式管理了3000多个传感器。网关统一做策略缓存，PDP的负载压力小了很多。
3.3.2 设备SDK嵌入模式
如果设备算力够（比如树莓派级别），我会建议在固件里嵌入一个轻量级SDK。这个SDK负责：
- 定期向PIP上报设备状态（固件版本、运行进程）。
- 在发起请求时，携带设备身份令牌。
- 接收PDP下发的策略更新。
嗯，这里要注意：SDK不能太臃肿。我见过一个团队把完整的OpenSSL塞进去，结果设备启动要30秒，直接被客户骂了。
3.3.3 无代理模式（Agentless）
对于那种连SDK都跑不了的设备（比如Zigbee传感器），怎么办？
只能靠网络侧的“行为指纹”了。PIP通过分析流量特征（比如报文间隔、目标端口、协议类型）来判断设备是否异常。
说白了，就是“我不信你说的，我信我看到的”。
避坑指南： 我曾经在一个项目中，过度依赖无代理模式。结果一个被篡改的摄像头，因为流量特征跟正常设备一模一样，成功绕过了检测。后来我加了“设备身份注册”环节——设备第一次上线时，必须通过带外方式（比如扫码）绑定一个唯一身份。这个教训让我明白：无代理只能作为辅助，不能作为唯一手段。
3.4 三种变体的对比
为了让你看得更清楚，我把这三种模式放在一起对比：
| 模式 | 适用设备 | 安全强度 | 部署复杂度 | 典型场景 |
|---|---|---|---|---|
| 网关代理 | 资源受限设备 | 高 | 中 | 智能家居、工业传感器 |
| SDK嵌入 | 中等算力设备 | 最高 | 高 | 智能摄像头、边缘服务器 |
| 无代理 | 超低算力设备 | 中 | 低 | Zigbee、RFID标签 |
你想想看，没有一种模式是银弹。我个人的习惯是：在一个网络域内，混合使用这三种模式。核心资产用SDK嵌入，普通传感器走网关代理，遗留设备用无代理兜底。
好了，这一章的内容就这些。记住：ZTA不是买来的，是设计出来的。理解PEP、PDP、PIP的协作关系，再根据IoT设备的实际情况做变体，你就能搭建出真正可落地的零信任架构。