3. 零信任架构基础模型：SDP、微隔离与IAM

零信任不是某个单一产品，而是一套方法论。我经常跟团队讲，零信任落地需要三个技术支柱撑起来：SDP（软件定义边界）、微隔离和IAM（身份与访问管理）。这三者各有侧重，又互相咬合。今天我们就逐个拆开看，再聊聊它们在工业场景里到底好不好用。

3.1 SDP：把大门拆了，换成动态安检

SDP 的核心思想很简单——不信任网络，只信任身份。传统防火墙是“先连接，后认证”，SDP 反过来：先认证，再连接。你连不上任何资源，直到你证明你是谁。

我个人习惯把 SDP 比作机场的VIP通道。你还没到登机口，系统就已经核验了你的身份、行李、目的地。到了门口，刷个脸就过。不是所有人都能看到登机口，只有被授权的人才知道门在哪。

我在一个化工项目里遇到过这样的场景：PLC 的编程端口暴露在车间网络上，任何能 ping 通的人都能尝试连接。后来我们部署了 SDP 网关，把 PLC 的 IP 和端口全部隐藏。只有安装了 SDP 客户端、通过了多因子认证的工程师，才能“看见”那个 PLC。说白了，攻击者连扫描都扫不到它。

3.2 微隔离：东西向流量的“网格化管控”

传统防火墙只管南北向（外部到内部），但攻击者一旦进了内网，东西向（内部到内部）的流量几乎是裸奔。微隔离要解决的就是这个问题——在每一个工作负载之间建立细粒度的访问控制。

你想想看，车间里一台 HMI 感染了勒索病毒，它会不会横向扩散到旁边的 SCADA 服务器？如果没有微隔离，答案是肯定的。微隔离把网络切成了一个个微小的“细胞”，每个细胞之间只有明确授权的流量才能通过。

维度	传统 VLAN 隔离	微隔离
粒度	子网级别（/24）	工作负载级别（单个容器/VM）
策略变更	改交换机配置，影响面大	策略中心下发，动态调整
可见性	依赖网络拓扑图	实时流量关系图谱
工业适配	适合静态网络	适合动态、多租户场景

嗯，这里要注意：微隔离在 IT 环境里已经很成熟了，但在 OT 环境里有个坑——工业协议的特殊性。比如 Modbus TCP、PROFINET 这些协议，它们对延迟和抖动极其敏感。我曾经见过一个项目，微隔离策略配置不当，导致 PLC 之间的心跳包被拦截，整条产线停了 20 分钟。所以工业场景的微隔离，必须支持协议白名单，而不是简单的 IP+端口过滤。

3.3 IAM：身份是新的安全边界

零信任的核心里有一句话：身份就是新的防火墙。IAM 要解决的是三个问题：你是谁？你能做什么？你做了什么？

在工业场景里，IAM 比 IT 场景更复杂。因为工业系统里的“身份”不只是人，还有设备、应用、服务账号。比如一台温控器的 API 密钥、一个 SCADA 系统的服务账户、一位运维工程师的 VPN 账号——这些都是身份。

我记得有一次在炼油厂做评估，发现 DCS 系统的管理员账号被三个不同厂商的工程师共用。密码写在便利贴上，贴在操作台下面。这就是典型的“身份失控”。后来我们引入了 IAM 系统，给每个工程师分配独立的账号，并启用了基于时间的临时权限——工作完成后权限自动回收。

3.4 三大支柱的协同关系

SDP、微隔离、IAM 不是各自为战，而是互相配合。我画了一张图来展示它们的关系：

这张图想表达的是：IAM 是底座，所有身份信息从这里来。SDP 是第一道门，控制谁能连进来。微隔离是第二道门，控制连进来之后能去哪。工业网关是执行点，把策略落地到实际的工业流量中。

我在实际项目中，通常先部署 IAM 统一身份库，再上 SDP 隐藏关键资产，最后用微隔离收尾。这个顺序能最大程度减少对生产网络的冲击。你想想看，如果一上来就搞微隔离，连流量都还没摸清楚，很容易误伤生产。