📚 课程目录第1章零信任起源与核心思想

1. 零信任起源与核心思想：从边界安全到零信任的演进

我记得刚入行那会儿，企业安全就一个思路——修墙。防火墙、VPN、DMZ，说白了就是画个圈，圈里是好人，圈外是坏人。那时候大家觉得，只要把内网守住了，就万事大吉。

但现实很骨感。你想想看，现在的IoT设备有多少？传感器、摄像头、智能网关，它们根本不在你画的圈里待着。有的在工厂车间，有的在户外基站，有的甚至装在移动车辆上。边界在哪？根本找不到。

我2018年帮一家制造企业做安全评估，发现他们的温湿度传感器直接暴露在公网上，连密码都没改。问运维为什么，他说：「这设备在内网啊，没事的。」结果一查，那个「内网」早就被第三方供应商的笔记本穿透了。嗯，这就是典型的边界思维陷阱。

核心问题：传统边界安全假设「内网可信」，但IoT场景下，内网和外网的界限已经模糊到几乎不存在。攻击者只要突破一个边缘设备，就能在内网横向移动。

零信任这个概念，最早是Forrester的John Kindervag在2010年提出来的。他当时就说了一句话：「信任是一个漏洞。」

什么意思？你信任了内网，就等于给了攻击者一张通行证。零信任的核心逻辑很简单——不信任任何来源，验证每一个请求。

我刚开始接触零信任时也觉得这太极端了。每个请求都要验证？那系统不得卡死？后来在IoT项目里踩了坑才明白，不极端不行。一个被攻陷的摄像头，能伪装成合法设备去访问你的核心数据库。你信任它，它就出卖你。

我的经验：零信任不是让你把所有设备都拦在外面，而是让你对每个设备、每次访问都问一句：「你是谁？你要去哪？你凭什么？」

零信任不是一套产品，而是一套思想。它的骨架就是三个原则，我一个个说。

默认情况下，任何设备、用户、网络流量都是不可信的。不管它是在内网还是外网，不管它之前有没有访问过。说白了，就是「清零心态」。

我在一个智慧园区项目里遇到过这种情况：一个门禁控制器，IP地址固定，每天只上报开关门记录。按传统思维，这设备太「老实」了，不用管。结果它被植入了挖矿程序，因为运维从来没验证过它的行为是否正常。嗯，永不信任，就是要你连「老实设备」也得盯着。

每次访问都要验证身份、设备状态、上下文环境。不是登录时验证一次就完事，而是持续验证。

举个例子：一个温度传感器，平时只上报数据。突然有一天，它开始尝试访问数据库。这时候就要立刻拦截并告警。为什么？因为它的行为偏离了基线。始终验证，验证的是「行为」而不是「身份」。

避坑指南：我曾经在项目中只做了设备身份验证，没做行为验证。结果攻击者盗用了合法设备的证书，在内网横行了三周才被发现。记住：身份可以伪造，但行为模式很难复制。

给每个设备、每个用户只分配完成任务所需的最小权限。不多给，也不少给。

IoT场景下这一点特别重要。一个智能灯泡，它只需要发送开关状态和接收控制指令。你给它访问文件服务器的权限干嘛？你给它读写数据库的权限干嘛？

我见过最夸张的案例：一家工厂的PLC（可编程逻辑控制器）竟然有域管理员权限。问原因，答：「方便远程维护。」方便是方便了，一旦PLC被攻破，整个工厂的工业网络就裸奔了。

IoT设备有几个特点：数量大、算力弱、分布广、生命周期长。传统安全方案根本管不过来。

零信任给IoT带来的改变，我总结为三点：

你想想看，一个智能水表，平时只上报用水量。如果它突然尝试连接外部IP，零信任架构会立刻阻断并告警。而在传统边界模型里，这个行为可能被忽略，因为「它在内网啊」。

一句话总结：零信任不是让IoT更复杂，而是让IoT安全回归本质——不相信任何东西，验证所有东西。

下面这张图展示了零信任在IoT场景下的核心架构逻辑。我习惯把它叫做「三层验证模型」。

这张图我画了很多次，每次讲零信任都会拿出来。三层模型看起来简单，但落地时每一层都有坑。设备层的证书怎么管理？策略层的基线怎么建立？执行层的网关性能够不够？这些我们后面章节会一个一个拆解。

我的建议：刚开始做零信任IoT改造时，别想着一步到位。先选一个场景，比如「智能门禁系统」，把三层模型跑通。跑通了再横向扩展。贪多嚼不烂，我吃过这个亏。

零信任不是新技术，而是一种新思维。它告诉我们：别信任何人，验证所有事。对于IoT来说，这种思维尤其重要——设备多、攻击面广、传统边界失效，零信任几乎是唯一可行的出路。

三大核心原则——永不信任、始终验证、最小权限——不是口号，是每行代码、每条策略、每次访问都要遵守的铁律。我在项目中见过太多因为「图省事」而绕过这些原则的案例，结果无一例外都出了问题。

嗯，这一章就到这里。记住：信任是漏洞，验证是解药。