零信任的三大技术支柱：SDP、IAM 与微隔离

聊零信任架构，绕不开三个核心组件：SDP（软件定义边界）、IAM（身份与访问管理）和微隔离（MSG）。我经常跟团队说，这三样东西就像零信任的“三驾马车”，缺一个都跑不稳。

很多人一开始觉得零信任很玄，说白了就是把“信任”这件事从网络位置剥离出来，放到身份、设备和行为上。那具体怎么落地？就是靠这三根柱子撑起来的。

1. SDP：把大门藏起来

SDP 的核心思想，我总结为四个字：默认拒绝。传统的防火墙是“默认允许，例外拒绝”，SDP 反过来——你不经过认证，连网络端口都看不到。

我记得有一次帮一家金融客户做渗透测试，他们的核心交易系统暴露在公网上，虽然前面有 WAF，但端口扫描还是能扫到 SSH、RDP 这些服务。后来我们上了 SDP 网关，部署完之后再扫，整个 IP 就像消失了一样。客户的安全总监当时说了句：“这玩意儿比我想象的狠。”

SDP 的典型架构分三部分：

• SDP 控制器：负责认证和策略决策，不处理数据流量
• SDP 网关：负责转发流量，只听从控制器的指令
• SDP 客户端：安装在用户设备上，发起连接请求

你想想看，攻击者连端口都扫不到，还怎么打？这就是 SDP 的厉害之处——把攻击面降到几乎为零。

2. IAM：身份才是新边界

零信任里有一句老话：身份是新的安全边界。我个人非常认同。网络边界已经模糊了，员工用手机、在家、在咖啡厅都能办公，你靠 IP 段来管控？不现实。

IAM 在零信任架构里承担的角色，不只是“登录认证”那么简单。它要回答三个问题：

1. 你是谁？——多因素认证（MFA）、生物识别、设备指纹
2. 你能干什么？——基于角色的访问控制（RBAC）、属性基访问控制（ABAC）
3. 你现在安全吗？——实时风险评估，比如设备是否越狱、IP 是否来自高风险地区

我曾经遇到过一个案例：某公司的 VPN 账号被钓鱼，攻击者用合法账号登录了内网。传统 VPN 根本拦不住，因为账号密码是对的。但如果我们上了零信任 IAM，登录时会要求 MFA，同时检测到设备指纹和平时不一样、登录地点在境外，直接拒绝访问并告警。这就是 IAM 的“持续验证”能力。

3. 微隔离：堵住横向移动的路

防火墙管南北向流量（用户到服务器），但东西向流量（服务器到服务器）呢？传统网络里，一旦攻击者打进一台服务器，内网基本就“裸奔”了。微隔离就是干这个的——在服务器之间建立细粒度的访问控制。

我记得帮一家电商平台做微隔离改造时，发现他们的应用服务器可以直接访问数据库服务器的 3306 端口，甚至还能 SSH 到运维跳板机。这太危险了。我们上了微隔离之后，策略改成：

你看，策略写清楚之后，攻击者就算拿下了 Web 服务器，也没法直接访问数据库。这就是微隔离的价值——把横向移动的路一条条堵死。

三者如何协同工作？

光有 SDP、IAM、微隔离还不够，得让它们配合起来。我画个简单的流程：

1. 用户打开 SDP 客户端，发送 SPA 敲门包到 SDP 网关
2. SDP 控制器验证用户身份（调用 IAM 系统），检查 MFA、设备合规性
3. 验证通过后，SDP 网关临时开放应用端口，建立加密隧道
4. 用户访问应用时，应用服务器再向微隔离策略引擎查询：这个请求允许吗？
5. 微隔离引擎根据策略放行或拒绝，同时记录日志用于审计

整个过程对用户来说几乎是透明的，但背后每一层都在做“最小权限”的校验。说白了，就是步步为营，层层设防。