1、信任评分概述
各位同学好，我是老张。今天咱们开始聊一个我特别有感触的话题——信任评分。说实话，我在安全这行干了十几年，见过太多「一刀切」的安全策略把业务逼疯的案例。后来我慢慢意识到，安全决策的核心不是「防住所有人」，而是「知道该信任谁、信任多少」。这就是信任评分要解决的问题。
什么是信任评分
信任评分，说白了就是一个数值。它代表系统对某个实体（用户、设备、IP、API调用等）的信任程度。分数越高，我越放心让它访问敏感资源；分数越低，我越要拦下来多问几句。
你可能会问：「这不就是风险评分吗？」嗯，有点像，但侧重点不同。风险评分关注的是「这次操作有多危险」，信任评分关注的是「这个实体有多可靠」。一个是看坏事，一个是看好事。我个人习惯把两者结合着用，效果更好。
核心定义：信任评分 = 基于历史行为、身份属性、上下文环境等多维数据，通过规则或模型计算出的一个0-100的数值，用于量化实体可信程度。
举个例子。我在上一家公司做零信任架构时，给每个员工设备都打了一个信任分。新入职的同事，设备刚加域，分数只有30。用了两周，打了补丁、装了杀毒、正常登录，分数涨到60。三个月后，行为稳定、无告警，分数到85。这时候访问核心系统，基本不用二次认证。你看，这就是信任评分在起作用。
信任评分的核心价值
为什么我们要搞信任评分？直接上白名单黑名单不行吗？我跟你讲，不行。现实世界不是非黑即白的。我遇到过太多「白名单里的用户被盗号」和「黑名单外的IP发起攻击」的案例。信任评分给了我们一个灰度空间。
它的核心价值，我总结为三点：
- 动态决策：信任不是一成不变的。用户今天正常，明天可能异常。信任评分能实时调整，不像静态规则那样死板。
- 减少摩擦：高信任用户少验证，低信任用户多验证。业务体验和安全管控之间，终于不用二选一了。
- 可量化：安全团队能说清楚「为什么拦这个请求」「为什么放行那个操作」。跟老板汇报时，有数据支撑，不是拍脑袋。
| 维度 | 传统方式 | 信任评分方式 |
|---|---|---|
| 决策粒度 | 二值（允许/拒绝） | 连续值（0-100） |
| 更新频率 | 手动、周/月级 | 自动、实时/准实时 |
| 用户体验 | 频繁打断 | 无感或低感 |
| 对抗能力 | 容易被绕过 | 行为基线难模仿 |
我的经验：刚开始做信任评分时，别追求完美模型。先用简单的加权规则跑起来，收集数据后再迭代。我曾经花三个月调一个机器学习模型，结果上线第一天就被业务骂——因为新员工永远拿不到高分。后来改成「基础分+行为加分」的混合模式，才解决问题。
信任评分在安全决策中的角色
信任评分不是万能的，但它是一个很好的「决策中枢」。我习惯把它放在安全策略的中间层。上层是业务规则（比如「财务系统只有财务部能访问」），下层是实时检测（比如「这个请求是不是来自已知恶意IP」）。信任评分把上下两层串起来，形成一个闭环。
具体来说，它在安全决策中扮演这几个角色：
- 准入判断：用户登录时，信任分低于阈值，直接拒绝或引导到MFA。
- 权限动态调整：信任分下降，自动缩小可访问资源范围。
- 异常告警优先级：信任分高的实体出现异常，优先级调低；信任分低的实体出现异常，立即告警。
- 自适应认证：信任分足够高，跳过二次认证；信任分不足，要求补充验证。
你想想看，如果没有信任评分，这些决策怎么做？要么全拦，要么全放。全拦，业务骂你；全放，出了事你背锅。信任评分给了我们一个「看人下菜碟」的能力，而且这个「看人」是动态的、自动的。
注意：信任评分不是「一劳永逸」的方案。攻击者会尝试慢慢提升自己的信任分，然后突然发动攻击。我见过一个案例，攻击者用三个月时间慢慢刷分，从20分刷到90分，然后一次性窃取大量数据。所以信任评分必须配合「行为突变检测」和「定期衰减机制」使用。
下面这张图，是我自己总结的信任评分在安全决策中的核心逻辑。你看一眼，基本就能明白整个流程。
嗯，这张图基本把信任评分的角色说清楚了。数据源进来，引擎算分，决策层根据分数做不同动作。你可能会问：「那分数阈值怎么定？」这个问题很好，我们后面章节会详细讲。但核心原则是：阈值不是拍脑袋定的，而是根据业务风险容忍度和历史数据分布来定的。
最后说一句。信任评分不是银弹，它需要配合其他安全机制一起用。但它确实是我这些年见过的最能平衡「安全」和「体验」的手段。后面的课程，我会一步步带你把这个体系搭起来。