一、零信任的起源与核心思想：从边界安全到永不信任，始终验证的范式转变

1.1 传统边界安全的困境

我们先聊聊传统安全模型。说白了，就是“外紧内松”。

企业建个数据中心，拉一圈防火墙，架个 VPN。外面的人想进来，得先过几道关。但一旦进了内网，基本就畅通无阻了。我早年做安全评估时，见过太多这样的场景：内网一台打印机都能访问财务数据库。你想想看，这合理吗？

这种模型有个致命假设——内网是安全的。但现实呢？

• 边界模糊了：员工用手机、笔记本在家办公，数据在云端流转。你的“内网”到底在哪？
• 攻击面扩大了：一次钓鱼邮件，攻击者拿到一个普通员工的 VPN 凭证，就能在内网横向移动。
• 信任被滥用：一旦进入内网，默认信任所有流量。攻击者最喜欢这种环境。

我记得有一次帮一家金融客户做渗透测试。我们只用了三天，就从一台暴露的 Jenkins 服务器跳到了核心交易库。中间没遇到任何阻力。为什么？因为内网防火墙规则太宽松，东西向流量基本不设防。这就是边界安全的典型死穴。

1.2 零信任的起源：从 Google BeyondCorp 说起

零信任这个概念，最早可以追溯到 2010 年。当时 Forrester 的分析师 John Kindervag 提出了这个术语。但真正把它推向大众视野的，是 Google 的 BeyondCorp 项目。

Google 当时面临一个现实问题：员工越来越多，设备越来越杂，传统 VPN 根本撑不住。于是他们决定——不再区分内网和外网。所有访问请求，不管来自哪里，都必须经过同样的认证和授权流程。

这个思路在当时很激进。我 2015 年第一次读到 BeyondCorp 白皮书时，第一反应是：“这能行吗？”但仔细一想，逻辑其实很清晰：

• 不信任网络位置
• 只信任设备状态和用户身份
• 所有流量都要加密和验证

后来 NIST 在 2020 年发布了 SP 800-207 标准，正式定义了零信任架构。这套标准成了行业共识。我个人觉得，这是安全领域近十年最重要的范式转变之一。

1.3 核心思想：永不信任，始终验证

零信任的核心就八个字：永不信任，始终验证。

怎么理解？我拆成三个层面：

层面	传统模型	零信任模型
信任依据	基于网络位置（内网=可信）	基于身份、设备、行为上下文
访问控制	一次认证，全程通行	每次请求都要验证
网络模型	城堡+护城河（外紧内松）	微隔离+最小权限（处处设防）

你可能会问：“每次请求都验证，那性能怎么办？”

嗯，这是个好问题。实际落地时，我们不会对每个数据包都做完整认证。而是通过策略执行点（PEP）和策略决策点（PDP）的协同，在会话层面做细粒度控制。后面章节我会详细讲这个架构。

1.4 零信任的三大核心原则

根据 NIST SP 800-207，零信任架构遵循三个基本原则：

1. 所有数据源和计算服务都被视为资源：不管是在本地还是云端，每个资源都是独立的保护对象。
2. 所有通信都必须加密和认证：不管是在内网还是外网，通信链路必须安全。
3. 基于动态策略授予最小权限：权限不是静态的，而是根据用户、设备、行为实时计算出来的。

我曾经帮一家电商公司做零信任改造。他们有个典型场景：客服人员需要访问订单系统。传统做法是给客服开个 VPN 账号，然后就能访问整个内网。零信任的做法是：只允许客服在上班时间、用公司配发的设备、通过特定应用访问订单 API。其他时间、其他设备、其他路径，一律拒绝。

这就是最小权限的落地。听起来简单，做起来需要大量基础设施改造。

1.5 零信任架构的逻辑组件

为了帮你更直观地理解，我画了一张零信任架构的核心逻辑图：

这张图展示了零信任架构的核心交互逻辑。用户/设备发起请求，经过 PEP 拦截，PDP 根据 PIP 提供的上下文做决策，最终决定是否放行到数据源。整个过程没有“内网信任”这个环节。

1.6 从边界安全到零信任的转变路径

很多团队问我：“我们该从哪里开始？”

我的建议是分三步走：

1. 盘点资产：搞清楚你的数据、应用、API 都在哪。没有资产清单，零信任就是空谈。
2. 梳理访问路径：谁需要访问什么？从哪访问？用什么设备？
3. 实施微隔离：先把东西向流量管起来。这是最立竿见影的一步。

1.7 本章小结

零信任不是某个具体产品，而是一种安全思维方式的转变。它告诉我们：不要相信任何网络位置，只相信经过验证的身份、设备和行为。

从 Google BeyondCorp 到 NIST SP 800-207，这套思想已经经过了大规模验证。接下来的章节，我会带你一步步拆解落地路径。从策略设计到技术选型，从试点到全量推广，每一步都有实战经验可以借鉴。

记住一句话：零信任的终点不是“绝对安全”，而是“最小化攻击面”。