📚 课程目录第1章物联网安全现状与零信任起源

1. 物联网安全现状与零信任起源

大家好，我是老周。做物联网安全这行十几年了，今天咱们聊聊零信任。

说实话，每次我去客户现场，看到他们还在用传统防火墙隔离物联网设备，心里就咯噔一下。不是说我瞧不上防火墙，而是——这套打法，在物联网时代真的行不通了。

传统安全模型有个核心假设：内网是安全的，外网是危险的。你想想看，公司内部网络就像一座城堡，防火墙是护城河，VPN是吊桥。只要进了城堡，你就是自己人。

但物联网打破了这一切。

为什么传统边界模型会失效？ 我总结了三方面原因：

我记得有个项目，客户在产线上部署了2000多个温度传感器。这些传感器用的是轻量级RTOS，连TLS都跑不动。安全团队想用传统方式——划VLAN、配ACL、装Agent——结果发现根本装不上。这就是典型的边界失效。

避坑提醒： 我曾经见过一个案例，某工厂把所有IoT设备放在同一个网段，以为物理隔离就安全了。结果一个摄像头被攻破，攻击者直接横向移动到了PLC控制系统。嗯，那次事故直接导致产线停了三天。

为什么会这样？因为物联网设备有几个致命特点：

说白了，传统安全模型假设设备是可控的、可管理的。但物联网设备恰恰相反——它们不可控、不可信、不可预测。

零信任这个概念，最早是Forrester在2010年提出的。但真正落地，还是这几年的事。

它的核心就八个字：永不信任，始终验证。

什么意思？就是不再相信任何网络位置。不管你是从内网还是外网来的，不管你是服务器还是传感器，统统要验证。

我的理解： 零信任不是不信任，而是把信任降到最低。每个请求、每次访问、每个设备，都要重新证明自己是清白的。就像机场安检——不管你穿得多体面，过安检门时该脱鞋还得脱鞋。

我个人习惯把零信任拆成三个层面：

举个例子。一个温度传感器要上报数据到云端。传统模型下，只要它在内网，就直接放行。零信任模型下，它需要：

你看，每一步都在验证。这就是「始终验证」的真谛。

聊完理念，咱们看看落地。零信任架构不是买一个产品就能搞定的，它是一套体系。这里面有三个核心组件，我一个个说。

策略引擎是零信任的大脑。它负责做决策——这个请求该不该放行？

决策依据什么？我列一下：

我在项目中遇到过一个问题：策略引擎的决策延迟不能太高。物联网场景下，很多请求是毫秒级的。如果策略引擎要查数据库、算风险分、调外部API，响应时间就上去了。所以，策略引擎必须支持缓存和预计算。

策略执行点就是那个「动手」的组件。它负责拦截请求、执行策略、转发流量。

在物联网场景下，策略执行点通常部署在：

嗯，这里要注意：策略执行点不能成为性能瓶颈。我曾经见过一个项目，策略执行点用Python写的，结果每秒只能处理几百个请求。后来换成Go重写，吞吐量直接翻了20倍。

信任评估引擎是零信任里最「智能」的部分。它不只看一次请求，而是持续评估设备的信任度。

怎么评估？我常用的方法：

信任评估引擎会输出一个风险分数。比如：

避坑提醒： 我曾经踩过一个坑——信任评估引擎的模型太敏感，导致大量正常设备被误判。后来我加了一个「人工复核」机制：高风险请求先阻断，但允许运维人员在30分钟内手动放行。这样既保证了安全，又避免了误杀。

下面这张图，是我自己画的一个零信任架构核心逻辑。它展示了三大组件如何协同工作：

这张图展示了零信任的核心流程。你看，每次访问都要经过PEP拦截、PE决策、TEE评估，最后才能到达目标资源。这就是「始终验证」的落地形态。

好了，这一章的内容就这些。总结一下：