1. 零信任概述：从边界安全到零信任的演进

1.1 为什么传统边界安全不够用了？

先聊聊我自己的经历。十年前我刚做安全架构时，公司网络拓扑特别简单——一台防火墙守住出口，内网就是“安全区”。那时候大家觉得，只要VPN连进来，你就是“自己人”。

但后来发生了两件事，让我彻底改变了看法。

第一件，有个同事的笔记本在公司咖啡厅被顺走了。那台机器上挂着域，攻击者直接用它登录了财务系统。第二件，我们收购了一家创业公司，对方把核心数据库暴露在公网上，连个防火墙都没配。嗯，边界安全在那一刻显得特别脆弱。

说白了，传统边界安全模型假设“内网可信、外网不可信”。但现实是：

• 边界模糊了——员工在家办公、用个人设备、访问SaaS应用
• 威胁内生了——70%的数据泄露涉及内部凭证滥用
• 攻击面扩大了——API、微服务、云原生环境让传统防火墙形同虚设

1.2 零信任的核心理念：永不信任，始终验证

零信任不是某个产品，而是一套安全思维模型。它的核心就八个字：永不信任，始终验证。

我习惯用一句话跟团队解释：“每一次访问请求，都当作来自公网、来自未知设备、来自未知用户来处理。”

零信任有三大基本原则：

1. 显式验证——每次访问都要基于身份、设备、上下文做授权
2. 最小权限——只给完成任务所需的最小访问权限
3. 假设失陷——默认网络已经被攻破，所有流量都要加密、审计、分段

你想想看，这和传统VPN有什么区别？传统VPN给你一个“内网通行证”，进去后横向移动几乎不受限。零信任则是每个请求都要重新验证——哪怕你前一秒刚访问过数据库，下一秒再请求同一个表，也要再查一遍策略。

1.3 NIST零信任架构标准解读

说到标准，绕不开NIST SP 800-207。这份文档是零信任落地的“圣经”。我建议每个做零信任的人至少读两遍——第一遍通读，第二遍对着自己的架构图逐条对照。

NIST把零信任架构抽象成三个核心组件：

组件	角色	我见过的坑
PEP（策略执行点）	网关/代理，拦截并转发请求	很多人把PEP当成了防火墙，其实它需要感知应用层
PDP（策略决策点）	大脑，根据身份、设备、上下文做决策	PDP的日志和审计能力经常被低估
PA（策略管理员）	生成会话令牌，控制PEP行为	PA和PDP之间的通道必须加密，否则等于白搭

NIST还定义了两种部署模式：

• SDP（软件定义边界）——通过控制器动态建立加密隧道，对公网隐藏服务
• IAM + 微隔离——强化身份认证，同时在东西向流量上做细粒度控制

我个人更倾向于SDP模式。为什么？因为它在“隐藏”这件事上做得最彻底——攻击者连你的服务端口都扫不到，还谈什么渗透？

1.4 零信任架构核心逻辑图

下面这张图是我在项目中经常用来跟团队对齐的。它展示了零信任架构中最核心的请求-决策-执行闭环。

这个闭环看起来简单，但落地时细节特别多。我曾经在一个项目中，PDP和PEP之间的通信没做双向TLS，结果被内部渗透测试直接抓到了中间人攻击的点。嗯，从那以后，我要求所有组件间通信必须走mTLS。

1.5 从边界安全到零信任的演进路径

很多团队问我：零信任是不是要把现有网络全推倒重来？我的回答是：不用，但需要分阶段演进。

我建议的演进路径：

1. 第一阶段：强化身份——上MFA、统一身份源、清理僵尸账号
2. 第二阶段：收敛暴露面——用SDP或应用网关替换VPN，隐藏内部服务
3. 第三阶段：微隔离——在东西向流量上做策略，限制横向移动
4. 第四阶段：持续验证——引入UEBA、设备信任评分，动态调整权限

说白了，零信任不是“买一个东西装上就完事”，而是一个持续优化的过程。我见过最成功的案例，是花了一年半时间，从身份加固开始，逐步替换掉所有传统VPN，最后做到“每次访问都验证、每段流量都加密”。