零信任的三大核心原则：显式验证、最小权限、假设受损
聊零信任，绕不开这三个原则。我见过不少团队，上来就买一堆产品，结果落地效果很差。为什么？说白了，没搞懂这三个原则到底在说什么。
今天咱们就把它们掰开揉碎。你理解透了，后面的架构设计才不会跑偏。
原则一：显式验证（Explicit Verification）
传统安全模型有个默认逻辑：你在内网，我就信你。零信任不认这个。它要求——每一次访问请求，都必须被验证。
注意，是每一次。不是第一次登录后就可以随便浪。
核心含义：不再基于网络位置（IP、VLAN）做信任决策，而是基于身份、设备、行为、上下文等多维信息，实时评估每次请求。
我在项目中遇到过一件事。某客户内网有个老系统，只校验源IP。攻击者拿到一台内网机器后，直接横向移动，把整个数据库拖走了。这就是典型的「内网即信任」的坑。
显式验证怎么落地？我习惯从三个维度入手：
- 身份维度：用户是谁？属于哪个组织？用了什么认证方式？（密码、证书、生物特征）
- 设备维度：这台机器合规吗？补丁打了没？有没有运行恶意进程？
- 行为维度：这个用户平时几点登录？访问了哪些资源？今天突然凌晨三点访问财务系统，正常吗？
你想想看，这三个维度组合起来，就是一个动态的信任评分。低于阈值，直接拒绝或要求二次认证。
避坑指南：我曾经帮一个团队做评估，他们把显式验证做成了「每次都要输密码」。结果员工怨声载道，最后偷偷关了。记住，显式验证不等于重复认证。用设备指纹、行为分析、SSO 结合，让验证过程对用户透明，才是正解。
原则二：最小权限（Least Privilege）
这个原则听起来简单：给用户刚刚好的权限，不多给。但落地时，我见过太多翻车案例。
为什么？因为传统权限模型是「静态分配」的。你入职时申请了一堆权限，离职时都没清理干净。更可怕的是，很多系统只有「管理员」和「普通用户」两种角色。
最小权限在零信任里，有两个关键点：
- 按需分配：只给完成工作所必需的最小权限。不是「可能用到」，而是「现在就要用」。
- 动态回收：权限用完即收回，或者设置有效期。比如临时运维窗口，到期自动失效。
我举个例子。某次渗透测试，我拿到一个普通开发账号。结果发现这个账号能访问生产数据库。为什么？因为开发说「我调试时需要看数据」。这就是典型的权限泛滥。
注意：最小权限不是「一刀切」。有些团队为了省事，把所有普通用户权限都砍到最低，结果业务跑不动了。正确做法是：先做权限基线分析，搞清楚每个角色真正需要什么，再逐步收敛。
落地时，我建议用这个表格梳理权限：
| 角色 | 资源 | 操作 | 条件 | 有效期 |
|---|---|---|---|---|
| 运维工程师 | 生产服务器 | SSH、查看日志 | 仅限办公网络 + 工作时间 | 8小时（自动过期） |
| 开发工程师 | 测试数据库 | SELECT、INSERT | 需审批 + 绑定设备 | 24小时 |
| 审计员 | 所有系统日志 | 只读 | 多因素认证 | 永久（可撤销） |
你看，每个角色、每个资源、每个操作都明确。这才是最小权限的落地姿势。
原则三：假设受损（Assume Breach）
这个原则最反直觉。传统安全默认「我是安全的」，零信任默认「我已经被攻破了」。
听起来很悲观？其实不是。这是一种防御思维的根本转变。
假设受损意味着：
- 不信任任何网络边界
- 默认所有流量都可能被劫持
- 所有用户凭证都可能被盗
- 所有设备都可能被控制
那怎么办？做最坏的打算，做最好的防御。
核心策略：即使攻击者已经进入内网，也要让他寸步难行。通过微隔离、加密、持续监控，把横向移动的路径全部堵死。
我记得有一次做红蓝对抗。蓝方部署了零信任架构，红方费了九牛二虎之力拿到一台边缘服务器的权限。结果呢？这台服务器只能访问它自己的数据库，连不到其他任何机器。红方折腾了两天，愣是没横向移动出去。
这就是假设受损的价值——不是防止入侵，而是限制破坏。
落地时，我建议从这三个方面入手：
- 网络微隔离：把网络切成小块，每个服务只能访问它需要的资源。用防火墙策略或服务网格实现。
- 全链路加密：不仅仅是 HTTPS，内部服务间通信也要加密。mTLS 是个好选择。
- 持续监控与响应：假设已经有人进来了，那就要能发现异常行为。UEBA（用户实体行为分析）工具可以帮忙。
个人经验：我曾经帮一个金融客户做假设受损演练。我们模拟攻击者拿到了一个运维账号。结果发现，这个账号能访问 80% 的核心系统。这就是典型的「假设受损」没做好。后来我们做了三件事：强制多因素认证、实施 Just-In-Time 权限、部署网络微隔离。再演练时，攻击者拿到账号后只能访问 3 个系统，而且所有操作都被实时告警。
三大原则的关系
这三个原则不是孤立的。它们互相支撑，形成一个闭环。
我画了一张图，帮你理解它们的关系：
从图上你能看到：
- 显式验证是入口，确保每个请求都经过检查
- 最小权限是授权，确保通过检查后只能做该做的事
- 假设受损是兜底，确保即使前两道防线被突破，损失也可控
这三者形成一个完整的防御链。少了任何一个，零信任都是空谈。
常见误区：有些厂商宣传「买了我们的产品就实现零信任了」。别信。零信任不是产品，是架构原则。产品只是工具，原则才是灵魂。我见过最惨的案例，某公司花了几百万买零信任产品，结果权限管理还是一团糟，攻击者照样横向移动。为什么？因为他们只买了工具，没改思维。
好了，三大原则就聊到这儿。你理解了这些，后面的架构设计、技术选型、落地步骤，才能踩在点上。