一、零信任概述：从“内网即安全”到“永不信任，始终验证”

各位好，我是老赵。今天咱们聊聊零信任的起源、核心原则，以及它跟传统边界安全到底有什么不同。

说实话，我最早接触零信任这个概念，是在2015年左右。那时候我还在帮一家金融客户做安全架构改造。客户说：“我们内网被攻破了，攻击者在内网横向移动了三个月，我们才发现。” 嗯，这就是典型的边界安全失效案例。从那以后，我开始认真研究零信任。

1.1 零信任的起源：为什么会有这个“反常识”的理念？

零信任（Zero Trust）这个概念，最早可以追溯到2010年。当时Forrester Research的分析师John Kindervag提出了这个模型。他当时说了句很直白的话：“信任是一个漏洞。”

为什么这么说？你想想看，传统安全模型默认“内网是安全的”。只要设备接入了公司内网，它就自动获得了信任。攻击者只要突破一道边界防火墙，就能在内网里为所欲为。

我见过太多这样的案例了。有一次，一家企业的VPN被钓鱼攻击拿下，攻击者在内网里横向移动，从开发服务器跳到数据库，再到财务系统，整整两周没人发现。为什么？因为内网流量默认是“可信的”，没人去审计。

零信任的核心理念就是：不再信任任何网络位置。不管是内网还是外网，每个请求都要验证。

1.2 核心原则：永不信任，始终验证

零信任的核心原则，说白了就八个字：永不信任，始终验证。

但这八个字背后，其实是一整套逻辑。我个人习惯把它拆成三个层面来理解：

原则一：显式验证

每次访问请求，不管来源是哪里，都要验证。验证什么？身份、设备、上下文、行为。举个例子，你从公司办公室登录OA系统，跟从咖啡店登录，验证策略是不一样的。前者可能只需要密码+设备证书，后者可能需要MFA+地理位置校验。

原则二：最小权限

只给用户完成任务所需的最小权限。我见过很多企业，员工权限大得吓人。一个普通开发，居然有生产数据库的写权限。这合理吗？不合理。零信任要求权限是动态的、按需的、有时效的。

原则三：假设失陷

这是最反直觉的一点。你要假设网络已经被攻破了。假设攻击者就在内网里。假设每个设备都可能被控制。基于这个假设去设计安全策略。

下面这张图，是我自己总结的零信任核心逻辑框架：

1.3 与传统边界安全的区别

传统边界安全模型，就是“城堡+护城河”的思路。你在网络边界上建防火墙、IDS/IPS、VPN，认为只要守住边界，内部就是安全的。

但现实是：边界已经不存在了。员工用手机、笔记本、甚至个人设备访问公司资源。SaaS应用、云服务、合作伙伴系统，都在边界之外。

我整理了一个对比表，大家可以直观感受一下差异：

维度	传统边界安全	零信任
信任模型	内网默认信任	永不信任，始终验证
访问控制	基于IP/端口	基于身份/设备/上下文
网络架构	平面网络，内外分明	微隔离，东西向流量也管控
权限粒度	粗粒度（部门级）	细粒度（应用级/数据级）
安全假设	假设内网安全	假设已失陷
认证方式	一次认证，长期有效	持续认证，动态评估
可见性	边界可见，内部盲区	全流量可见，持续监控

1.4 为什么现在必须谈零信任？

说白了，三个驱动力：

1. 边界瓦解：远程办公、多云架构、SaaS应用，让传统边界形同虚设。
2. 攻击升级：勒索软件、APT攻击、供应链攻击，都在利用“内网信任”这个漏洞。
3. 合规要求：等保2.0、GDPR、行业监管，都在推动零信任落地。

我记得2020年疫情刚爆发时，一家客户紧急要求全员远程办公。他们的VPN撑不住，安全策略也跟不上。结果一个月内发生了三次数据泄露事件。后来他们痛下决心，花了半年时间做零信任改造。改造完成后，安全事件下降了80%。

这个案例让我深刻意识到：零信任不是选择题，而是必答题。

1.5 零信任的常见误解

这些年我接触过很多客户，发现大家对零信任有不少误解。我挑几个典型的说说：

• 误解一：零信任就是VPN的替代品 —— 不对。零信任是一种架构思想，VPN只是其中一种技术组件。零信任可以不用VPN，但VPN不等于零信任。
• 误解二：零信任就是MFA —— 也不对。MFA是零信任的一部分，但零信任还包括设备信任、行为分析、动态策略等。
• 误解三：零信任太贵，只有大公司才能做 —— 其实不然。零信任可以分阶段落地，从最核心的应用开始，逐步扩展。

好了，这一章的内容就到这里。零信任的核心理念其实不复杂，但落地起来细节很多。后面的章节，我会带大家一步步拆解零信任的各个技术组件和实战方案。