📚 课程目录第1章零信任安全概述

一、零信任安全概述：为什么我们不再相信"内网就是安全的"

说实话，我入行做安全那会儿，大家还都信奉一个铁律——内网是安全的，外网是危险的。防火墙一拉，VPN 一搭，觉得万事大吉。但这些年，我亲眼看着这个"城堡+护城河"的模型，被现实打得千疮百孔。

零信任（Zero Trust）不是某个厂商炒出来的概念。它是一套被逼出来的安全哲学。说白了就是一句话：不再信任任何网络位置，只信任经过验证的身份和设备。

零信任的核心理念：Never trust, always verify. 不信任任何请求，无论它来自内网还是外网。

我2018年帮一家金融客户做安全审计。他们的网络拓扑堪称教科书级别——三层防火墙、DMZ 区、IDS/IPS 一应俱全。结果呢？一个钓鱼邮件进来，攻击者拿到了内网一台打印机的权限，然后横向移动，最终把核心数据库拖走了。

为什么会这样？因为传统模型有几个致命缺陷：

我踩过的坑：曾经有个项目，我们花了大半年做边界加固，结果上线第一天，一个实习生把数据库端口映射到了公网。嗯，从那以后我明白了一个道理——边界防御做得再好，也防不住人的失误。

零信任不是一套产品，而是一组设计原则。我个人习惯把它拆成三条，好记也好落地：

原则	核心含义	传统做法 vs 零信任做法
1. 始终验证	每一次访问请求，无论来源，都必须经过身份认证、设备检查、权限校验	传统：登录后会话期内信任 → 零信任：每次请求都重新验证
2. 最小权限	只给完成任务所需的最小权限，用完即收回	传统：员工入职就给一大坨权限 → 零信任：按需、动态、临时授权
3. 假设已被攻破	默认网络内已经有攻击者，所有流量都要加密、审计、分段	传统：先信任再验证 → 零信任：先验证再信任，且持续验证

你想想看，这三条原则放在一起，其实就是在说一件事：别信"你是谁"，要看"你凭什么"。IP 地址可以伪造，设备可以冒充，账号可以被盗——唯一能信的，是每一次请求背后的实时证据链。

下面这张图是我自己画的一个简化版零信任逻辑模型。它把整个架构分成了三层：

这个模型看着简单，但落地起来门道很多。我参与过的一个零信任项目，光策略引擎就写了三个月——因为要对接十几个身份源、几十种设备类型、上百个应用系统。但架构本身，就是这三层。

你可能会问：我们这门课讲的是证书轮换，为什么要先讲零信任？

原因很简单——证书是零信任架构中最重要的信任锚点之一。在零信任模型里，每一次请求都要验证身份。而 mTLS（双向 TLS）证书，就是验证服务身份、加密通信流量的核心手段。

但证书有个麻烦事：它会过期。而且一旦私钥泄露，攻击者就能冒充你的服务。所以，证书轮换不是运维杂活，而是零信任安全的基础设施。

我的建议：别把证书轮换当成"到期了换一个"的简单操作。在零信任架构下，证书轮换的频率、自动化程度、审计追踪，直接决定了你的安全水位。我们后面会花大量篇幅讲怎么做好这件事。