📚 课程目录第1章零信任安全概述

1. 零信任安全概述

各位同学，咱们今天聊聊零信任。说实话，这个理念在圈子里已经火了几年了，但真正理解透的人并不多。我最早接触零信任是在2018年，当时客户说“我们要搞零信任”，结果一聊发现他们只是想买个VPN……嗯，这差距还挺大的。

零信任，说白了就是一句话：不再相信任何东西。不管你是内网IP还是外网IP，不管你是CEO的笔记本还是访客的手机，系统默认都不信任你。

我习惯用一个比喻来解释：传统安全像小区保安——你住在这个小区里，保安就默认你是好人，随便进出。零信任像机场安检——哪怕你是机长，也得过安检门、查证件、扫行李。每一次访问，都要重新验证。

核心思想： 信任不是一种状态，而是一次性的授权。用完就作废，下次再来重新验证。

为什么会这样？因为现在的网络边界已经模糊了。员工在家办公、合作伙伴要访问内部系统、应用跑在云端……你根本画不出那个“内网”的圈。我见过太多企业，内网被攻破后横向移动如入无人之境，就是因为默认信任了内网。

咱们先看看传统模型长什么样。典型的做法是：

这个模型在20年前挺好用的。但放到今天，问题就大了。

我曾经帮一家金融客户做安全审计。他们的核心数据库在内网，防火墙策略配得严严实实。结果呢？攻击者通过钓鱼拿到一个普通员工的VPN账号，拨进来之后在内网横向扫描，找到了一个没打补丁的中间件服务器，直接跳到了数据库。整个过程，防火墙没报任何警——因为流量都在“内网”。

注意： 传统模型最大的问题不是技术落后，而是信任假设错了。它假设“内网=安全”，但这个假设在今天已经不成立了。

零信任不是某个产品，而是一套设计原则。我把它总结成三个词：永不信任、始终验证、最小权限。咱们一个一个说。

这个最好理解。不管请求来自哪里，系统都不应该默认放行。每一次访问请求，都要经过评估——你是谁？你的设备安全吗？你为什么要访问这个资源？

你想想看，如果攻击者已经控制了内网的一台机器，他发起的请求和正常员工发起的请求，从网络层面看几乎一模一样。唯一的区别就是上下文——设备指纹、行为模式、访问时间、地理位置……这些信息才能帮你判断“这个请求是否可疑”。

我的经验： 实现“永不信任”最直接的方式就是默认拒绝。所有访问策略都写成白名单，不在白名单里的全部拒绝。别想着写黑名单，那玩意儿永远追不上攻击者的步伐。

验证不是登录一次就完事了。零信任要求持续验证——每次请求都要重新检查。

举个例子：用户早上登录了OA系统，系统验证了他的密码和MFA。但到了下午，他的账号突然从另一个城市发起请求，访问的是他从来没碰过的财务模块。这时候系统应该怎么做？

按照零信任的思路，系统应该重新验证——要么要求二次MFA，要么直接拒绝。我见过一个真实的案例：某公司员工账号被盗，攻击者登录后没有立刻做坏事，而是等了两天，等系统把这次登录标记为“可信设备”之后才开始横向移动。如果系统能做到持续验证，这种延时攻击就很难得手。

我个人习惯把验证分成三层：

三层都通过了，才给放行。而且这个放行是有时效的——可能是几分钟，也可能是几小时，过期了就得重新来一遍。

这个原则其实不新鲜，但零信任把它推到了极致。传统的最小权限是说“给用户刚好够用的权限”，零信任在此基础上加了一条：权限是动态的、按需的。

什么意思呢？就是用户平时只有最基本的访问权限，只有在需要完成某个任务时，系统才临时授予额外的权限。任务做完了，权限立刻收回。

我举个例子：运维人员平时只能看服务器日志。如果他要重启一台服务器，系统会要求他提交工单，审批通过后，系统自动给他一个30分钟的“重启权限”。30分钟后权限自动过期，他想再重启，得重新申请。

关键点： 最小权限不是“给得少”，而是“给得准”。权限和任务绑定，任务结束权限消失。

这三个原则加在一起，就构成了零信任的骨架。下面这张图可以帮你理清它们之间的关系：

这张图我画了好几个版本，最后选了这种“中心辐射”的结构。你看，零信任不是三个独立的原则，而是一个整体——永不信任是态度，始终验证是手段，最小权限是目标。三者缺一不可。

我在实际项目中见过不少翻车案例。有的团队只做了“永不信任”，结果所有请求都被拒绝，业务跑不起来。有的只做了“始终验证”，但权限给得太大，验证了也没用。还有的只做了“最小权限”，但权限回收不及时，漏洞百出。

避坑指南： 零信任不是选择题，是组合拳。三个原则必须一起上，少一个都不行。我曾经帮一个客户做方案，他们坚持只做“最小权限”，觉得其他两个太麻烦。结果上线后，攻击者通过一个合法账号拿到了所有权限——因为系统根本没验证这个账号是不是被盗了。

好了，这一章咱们把零信任的核心理念、传统模型的局限、三大原则都过了一遍。这些是后面所有章节的基础。你如果能把这三个原则刻在脑子里，后面的内容学起来会轻松很多。