1. 零信任概述：从边界安全到零信任的演进
1.1 传统边界安全的困境
说实话，做了十几年安全，我见过太多「城堡护城河」式的防御体系了。企业把防火墙一立，VPN 一开，就觉得万事大吉。但现实很残酷——攻击者只要突破一道边界，就能在内网横向移动，如入无人之境。
我记得 2017 年帮一家金融客户做安全审计，发现他们的核心数据库居然能被一个前台员工的笔记本直接访问。原因很简单：那个员工在咖啡厅连了公共 Wi-Fi，笔记本被植入了后门，而内网没有任何二次校验。这就是边界安全最大的问题——信任一旦建立，就不再验证。
传统边界安全的几个致命缺陷：
- 信任过度：一旦进入内网，默认拥有大量权限
- 边界模糊：云、移动办公、IoT 让传统边界彻底失效
- 静态策略：防火墙规则几个月不更新，形同虚设
- 缺乏可见性：内网流量基本是黑盒，出了问题才发现
1.2 零信任的诞生：从「信任但验证」到「永不信任，始终验证」
零信任这个概念，最早是 Forrester 的 John Kindervag 在 2010 年提出的。他的核心观点很简单：不要相信任何流量，无论它来自内网还是外网。你想想看，既然边界已经守不住了，那干脆就别信了——每次访问都重新验证，多好。
我个人习惯把零信任理解为「安检思维」。你去机场，不会因为昨天坐过飞机，今天就免检吧？零信任也一样——每次请求，都要重新证明你的身份和设备是可信的。
- 从「基于位置」的信任 → 从「基于身份+设备+行为」的信任
- 从「静态策略」→ 「动态风险评估」
- 从「边界防御」→ 「微隔离」
1.3 零信任三大核心原则
零信任不是某个产品，而是一套安全理念。它的三大原则，我每次做项目都会贴在墙上：
原则一：永不信任（Never Trust）
说白了，就是默认拒绝。任何访问请求，在没通过验证之前，一律视为不可信。我在某运营商项目里，把默认策略从「允许所有」改成「拒绝所有」，结果第一天就拦截了 2000+ 异常请求——其中不少是内部员工的误操作，但也有真正的扫描行为。
原则二：始终验证（Always Verify）
验证不是一次性的。每次请求都要检查：你是谁？你的设备安全吗？你的行为正常吗？我建议至少做三层校验：
- 身份层：用户认证（MFA 是标配）
- 设备层：设备合规检查（补丁、杀毒、磁盘加密）
- 行为层：异常行为检测（比如凌晨 3 点批量下载数据）
原则三：最小权限（Least Privilege）
只给完成任务所需的最小权限。别一上来就给管理员权限。我曾经见过一个开发人员，因为图方便，把自己的账号加到 Domain Admins 组——结果他的机器中了勒索病毒，整个域都被加密了。嗯，教训深刻。
1.4 零信任架构（ZTA）的 NIST 标准模型
NIST SP 800-207 是零信任架构的权威标准。它把零信任拆成了几个核心组件，我画了一张图帮你理解：
NIST 模型里，最核心的是三个组件：
| 组件 | 英文 | 职责 | 我见过的坑 |
|---|---|---|---|
| 策略引擎 | PE | 基于身份、设备、行为做出访问决策 | PE 性能不够，导致每次请求延迟 2 秒以上，业务方投诉 |
| 策略管理器 | PA | 将 PE 的决策转化为可执行的策略，下发到 PEP | PA 和 PEP 之间通信没加密，被中间人篡改策略 |
| 策略执行点 | PEP | 在数据平面拦截/放行流量 | PEP 部署在旧交换机上，性能瓶颈严重 |
1.5 零信任的落地路径
很多朋友问我：「零信任听起来很好，但怎么落地？」我的建议是分三步走：
- 先做身份治理：统一身份源，上 MFA，清理僵尸账号。这一步做不好，后面全是白搭。
- 再做设备管控：所有接入设备必须注册、合规检查、持续监控。这就是咱们这门课的核心。
- 最后做微隔离：按业务需求划分安全域，东西向流量也要管控。