4、设备身份基线设计原则：最小权限、动态评估、持续验证
设备身份基线，说白了就是给每台设备发一张「数字身份证」，然后告诉系统：这张证能干什么、不能干什么、什么时候该作废。但光发证不够，怎么设计这套规则才是关键。
我个人习惯把设备身份基线的设计原则拆成三个核心：最小权限、动态信任评估、持续验证机制。这三个东西不是孤立的，它们是一条链上的三个环。你想想看，权限给多了不安全，给少了业务跑不动；信任评估做一次不够，设备可能下一秒就被攻陷；验证只做一次更危险，会话劫持分分钟教你做人。
好，我们一个一个来讲。
4.1 最小权限原则：给设备「够用」的权限
最小权限这个概念，在零信任里被提到了无数次。但我发现很多团队在实际落地时，还是习惯「一刀切」——要么给所有设备管理员权限，要么按部门划个大组，组内权限一模一样。
这其实违背了最小权限的初衷。
我在项目中遇到过一件事：某客户内部有个打印服务器，按理说只需要访问打印队列和文件共享。结果运维图省事，直接把它加进了「域管理员组」。后来这台机器中了勒索病毒，攻击者用它的管理员凭据横向移动，三天内加密了 200 多台服务器。嗯，教训很惨痛。
那么，设备身份的最小权限到底怎么设计？我建议从三个维度来拆：
| 维度 | 说明 | 示例 |
|---|---|---|
| 资源维度 | 设备只能访问它业务必需的资源 | 打印机只能访问打印队列，不能访问 HR 数据库 |
| 操作维度 | 设备只能执行它必需的操作 | 监控设备只能读取传感器数据，不能写入配置 |
| 时间维度 | 设备只能在业务时段内拥有权限 | 考勤机只在 7:00-9:00 和 17:00-19:00 有写入权限 |
这里有个容易踩的坑：最小权限不等于「零权限」。有些团队为了安全，把设备权限收得太紧，结果业务跑不起来。我曾经见过一个案例，运维把 IoT 传感器的网络访问权限全关了，导致数据采集服务一直报错，排查了两天才发现是 ACL 配错了。
4.2 动态信任评估：设备信任不是一成不变的
传统安全模型里，设备只要通过了入网认证，后面就一路绿灯。这在零信任里行不通——设备今天安全，不代表明天也安全。
动态信任评估，就是根据设备的实时状态，动态调整它的信任等级。
我习惯把评估因子分成两类：
- 静态因子：设备类型、操作系统版本、安装的软件清单、硬件指纹等。这些变化慢，但能反映设备的基本面。
- 动态因子：补丁更新状态、杀毒软件运行状态、异常进程、网络连接行为、地理位置变化等。这些变化快，能反映设备的实时健康度。
举个例子。一台 Windows 笔记本，早上入网时评估得 90 分，信任等级高，可以访问核心系统。但到了下午，它的杀毒软件被用户关闭了，同时检测到一个可疑进程在尝试外连。这时候信任分骤降到 40 分，系统自动把它踢出高权限区域，只允许访问基础办公资源。
为什么会这样？因为动态评估的核心逻辑就是：信任是流动的，不是固定的。
动态信任评估的关键公式（简化版）：
信任分数 = Σ(静态因子权重 × 静态得分) + Σ(动态因子权重 × 动态得分)
信任等级 = 映射表(信任分数)
→ 分数 ≥ 80：高信任，允许访问核心资源
→ 60 ≤ 分数 < 80：中信任，允许访问一般资源
→ 分数 < 60：低信任，仅允许访问基础资源或隔离这里要注意：权重不是拍脑袋定的。我建议先跑一段时间的基线数据，看看哪些因子对安全事件的影响最大，再动态调整权重。比如你们公司经常因为未打补丁出事，那把「补丁状态」的权重调高一点。
4.3 持续验证机制：信任不是一次性的
最小权限给了，动态评估也做了，但还不够。因为攻击者可能在你评估完之后的下一秒就控制了设备。所以，持续验证是最后一道防线。
持续验证，说白了就是：不要相信设备「曾经」是安全的，要不断确认它「现在」还是安全的。
我把它拆成三个层次：
- 会话级验证：每次设备发起新请求时，重新验证它的身份和信任状态。不是只验证一次就放行整个会话。
- 行为级验证：在会话过程中，持续监控设备的行为是否异常。比如一台打印机突然开始扫描内网端口，这明显不对劲。
- 环境级验证：检查设备所处的网络环境、时间、地理位置是否与预期一致。比如一台本该在办公室的设备，突然从国外 IP 发起请求，直接拦截。
我曾经在项目中遇到过这样一个场景：某客户的 VPN 网关只做了登录时的双因素认证，但会话建立后就不再验证。结果攻击者通过钓鱼拿到了一个合法用户的会话令牌，直接用这个令牌访问了内部系统长达 6 小时，直到数据被拖走才被发现。
后来我们改成了「每 5 分钟重新评估一次信任分数，分数低于阈值立即断开会话」的策略。虽然增加了认证服务器的压力，但再也没有发生过类似事件。
4.4 三条原则的关系：一个闭环
这三条原则不是各自为政的。它们组成了一个闭环：
- 最小权限是「起点」，定义了设备能做什么。
- 动态信任评估是「调节器」，根据实时状态调整信任等级。
- 持续验证机制是「刹车」，确保信任不会过期。
你想想看，如果没有最小权限，设备权限过大，即使动态评估发现异常，攻击者已经拿到了太多资源。如果没有动态评估，持续验证就变成了「无脑验证」，不知道什么时候该收紧、什么时候该放松。如果没有持续验证，最小权限和动态评估都只是「一次性」的，攻击者只要过了入网关，后面就畅通无阻。
下面这张图展示了这三条原则如何协同工作：
从图上你能看到，这三条原则形成了一个「感知-决策-执行-反馈」的闭环。最小权限提供初始基线，动态评估感知风险变化，持续验证执行控制动作，最后把结果反馈回基线，形成持续优化。