一、零信任概述：从“信任但验证”到“永不信任，始终验证”
各位同学，咱们今天聊零信任。说实话，我第一次听到这个词的时候，心里想的是：“这不就是安全圈又造了个新概念嘛？”
但后来我踩过坑，吃过亏，才明白——零信任不是噱头，它是安全架构的一次根本性转向。
1.1 零信任的核心理念：打破默认信任
传统安全模型有个隐含假设：内网是安全的。你想想看，防火墙一立，VPN 一拨，进了内网就“自己人”了。我在 2018 年帮一家金融客户做渗透测试，结果呢？从一台打印机横向移动，三天内拿到了核心数据库的权限。打印机啊，谁会防它？
零信任把这个假设彻底推翻了。它的核心就一句话：永不信任，始终验证。
零信任三大基本原则：
- 显式验证——每一次访问请求，不管来源是内网还是外网，都要做身份认证、设备认证和权限校验。
- 最小权限——只给完成任务所需的最小访问权限，用完即收。
- 假设失陷——默认网络已经被攻破，所有流量都不安全，需要持续监控和微隔离。
说白了，零信任不关心你在哪，只关心你是谁、你的设备安不安全、这次访问合不合理。
1.2 NIST 标准框架：零信任的“施工蓝图”
零信任概念提了很多年，但真正让它落地有章可循的，是美国国家标准与技术研究院（NIST）在 2020 年发布的 SP 800-207 标准。我个人习惯把这个框架当作零信任的“施工蓝图”。
NIST 把零信任架构拆成了几个核心组件：
| 组件 | 作用 | 我踩过的坑 |
|---|---|---|
| 策略引擎（PE） | 制定和评估访问策略，决定“允许还是拒绝” | 策略写得太粗，结果业务部门天天投诉 |
| 策略管理员（PA） | 执行策略引擎的决策，下发到具体设备 | PA 和 PE 之间的通信没加密，差点出大事 |
| 策略执行点（PEP） | 在网关或终端上拦截/放行流量 | PEP 性能瓶颈，高峰期把业务拖垮了 |
| 信任评估器 | 持续收集设备状态、用户行为、威胁情报 | 数据源太多，评估器差点被撑死 |
| 身份与设备数据库 | 存储用户身份、设备指纹、证书等信息 | 设备指纹库没做去重，一台设备注册了 5 次 |
我的建议：刚开始做零信任，别想着一步到位。先把策略引擎和身份数据库搭起来，再逐步加其他组件。我曾经见过一个团队，上来就搞了 7 个组件，结果半年了还在联调。
1.3 从边界安全到零信任：一次不得不做的演进
为什么说这是“不得不做”的演进？我给大家画个时间线就清楚了。
边界安全时代，我们靠防火墙和 VPN 画了个“城墙”。但问题是，城墙一旦被攻破，里面就是一片坦途。我记得 2020 年有个著名的案例：攻击者通过钓鱼邮件拿到一个普通员工的 VPN 凭证，然后在内网横向移动，最终窃走了 100GB 的敏感数据。整个过程，防火墙没报过一次警——因为流量都是“合法”的。
增强边界阶段，大家开始做网络准入控制（NAC）和 802.1X 认证。设备入网时要检查一下，但检查完就放行了，后续行为不再管。这就像机场安检——过了安检口，你在候机厅干什么都没人管了。
零信任的思路完全不同。它把“信任”这个属性从网络位置上剥离了。不管你的 IP 是 10.0.0.1 还是 192.168.1.1，每一次访问都要重新验证。嗯，这里要注意：零信任不是不要防火墙，而是把安全控制点从网络边界下沉到了每一个访问请求。
避坑指南：我曾经帮一家企业做零信任迁移，他们坚持要把所有旧防火墙策略原封不动搬到新架构里。结果呢？策略冲突了 300 多条，业务中断了 4 小时。零信任不是“旧瓶装新酒”，你得重新梳理访问关系，别偷懒。
1.4 为什么设备认证是零信任的“第一块砖”？
说到这，你可能要问了：零信任涉及的东西这么多，为什么咱们这门课专门讲设备认证？
原因很简单——没有设备认证，零信任就是空中楼阁。
你想想看，如果连接入网络的设备都确认不了身份，你怎么判断这次访问是合法的？用户身份可以伪造，但设备指纹、证书、TEE 这些硬件级凭证，伪造成本高得多。我在项目中遇到过好几次：攻击者盗用了合法用户的凭证，但因为设备指纹对不上，被策略引擎直接拦下来了。
设备认证要解决的核心问题有三个：
- 设备身份确认——这台设备是不是它声称的那台？
- 设备健康度评估——设备有没有被篡改？补丁打全了吗？
- 持续信任评估——设备在会话过程中有没有异常行为？
后面的章节，我们会一步步把这些技术细节拆开来讲。从设备证书签发、TLS 双向认证，到 TPM 远程证明、设备指纹采集，再到持续信任评分——每一个环节我都会结合真实案例来讲。
好了，第一章就到这里。记住一句话：零信任不是产品，是一种安全思维。设备认证，就是这种思维落地的第一步。