1. 零信任起源与核心理念：从边界安全到零信任的演进

1.1 边界安全模型：那个“城堡与护城河”的时代

说起网络安全，十年前大家脑子里想的都是防火墙、VPN、DMZ区。说白了，就是“城堡与护城河”模型——内网是安全的，外网是危险的。我在2015年给一家制造企业做安全评估时，他们的核心PLC网络居然连密码都没改，理由是“反正外网进不来”。

这种模型有个致命假设：内网的一切都是可信的。一旦攻击者跨过了边界，就像进了不设防的村庄。你想想看，工业网络里动辄几十台PLC、上百个传感器，只要一台被控，横向移动简直如入无人之境。

我记得有一次，客户问我：“我们上了下一代防火墙，是不是就安全了？”我反问他：“如果攻击者是从内部员工的笔记本发起的呢？”他沉默了。嗯，这就是边界安全的死穴——它防不住来自内部的威胁。

1.2 零信任的诞生：从“默认信任”到“永不信任”

零信任这个概念，最早是Forrester的分析师John Kindervag在2010年提出的。核心思想就一句话：不再信任任何网络位置，无论内外。

为什么会这样？因为现实已经变了。云原生、远程办公、工业互联网，让网络边界彻底消失。我曾经参与过一个跨国制造企业的项目，他们的工程师需要从全球各地远程访问产线数据，传统VPN根本扛不住这种场景。

零信任不是某个产品，而是一套安全架构思想。它要求：

• 每个访问请求都要验证，不管来源是内网还是外网
• 权限只给到“刚好够用”的程度，不多给一丁点
• 持续监控行为，发现异常立刻切断

1.3 零信任三大核心原则

零信任不是玄学，它有明确的三大原则。我习惯把这三点记成“三不”：不信任、不放过、不多给。

1.3.1 永不信任（Never Trust）

这条原则最反直觉。你想想看，传统网络里，同一个VLAN的设备之间通信是不受限制的。但在零信任里，所有流量都必须经过策略引擎的检查。

我曾经在项目里遇到过客户质疑：“同一个机柜里的两台PLC，通信还要加密认证？太慢了吧？”我的回答是：“如果攻击者已经控制了其中一台，另一台就是待宰的羔羊。你愿意赌吗？”

1.3.2 始终验证（Always Verify）

验证不是一次性的。用户登录后，设备状态、行为模式、地理位置都可能变化。零信任要求持续评估信任等级。

举个例子：工程师早上登录时是正常的，但突然在凌晨3点从国外IP发起固件写入请求——这时候信任等级应该立刻降为0，触发二次认证或直接阻断。

我在做工业网关项目时，设计了一个“信任评分”机制：

• 设备证书有效：+20分
• 访问时间在正常工作时段：+10分
• 操作行为与历史基线一致：+30分
• 总分低于60分：拒绝访问

1.3.3 最小权限（Least Privilege）

这条原则在工业场景里尤其重要。传统IT里，最小权限可能只是“用户不能装软件”。但在工业里，权限意味着能不能改配方、能不能下指令、能不能停产线。

我见过最夸张的案例：一家工厂的普通操作员账号，居然有权限修改所有PLC的IP地址。这不是操作员的问题，是权限设计的问题。最小权限要求：

• 每个身份只能访问它“需要”的资源
• 每个操作只能执行它“必须”的动作
• 权限动态调整，用完即收回

1.4 零信任对工业互联网的意义

工业互联网把OT（操作技术）和IT（信息技术）打通了。好处是数据能上云、能远程运维、能AI分析。但坏处是——攻击面扩大了十倍不止。

传统工业网络是物理隔离的，攻击者要进来得先过门禁、过网闸。现在呢？一个OPC UA连接就能从云端直接下发指令到PLC。你想想看，如果没有零信任，这有多危险？

我记得2021年，某石油公司的OT网络被勒索软件攻击，就是因为一台联网的传感器被攻破后，攻击者通过内网横向移动到了核心DCS系统。如果当时用了零信任的微隔离策略，这种悲剧完全可以避免。

零信任不是银弹，但它给了工业互联网一个可落地的安全框架。从网关做起，逐步覆盖到每一个PLC、每一台HMI、每一个传感器——这才是务实的路径。

这张图很直观：左边是传统模型，边界一破全完蛋；右边是零信任模型，每个请求都要过策略引擎，权限最小化，行为持续监控。说白了，就是从“一次验证，永远信任”变成了“永不信任，始终验证”。