零信任架构落地：从「边界防御」到「永不信任、始终验证」
上篇《从零加固一台 Linux 服务器》解决的是「单机别被攻破」；这一篇回答一个更根本的问题：当网络边界已经名存实亡，我们凭什么相信一个请求是安全的？零信任给出的答案是——不要信任任何东西，包括已经在「内网」里的东西。
一、为什么传统边界模型失效了
过去的安全思路是「城堡 + 护城河」：外围一道防火墙，里面默认可信。这个模型有三个致命假设，今天全部失效：
| 旧假设 | 现实的反击 |
|---|---|
| 内网是可信任的 | 一次钓鱼或一个弱口令，攻击者就能进入内网，然后横向移动几乎不受阻碍 |
| 边界是清晰且固定的 | 云、SaaS、移动办公、BYOD 让「边界」消散，员工与设备都在墙外 |
| 一次认证终身有效 | 凭证被窃后，静态信任会被无限期滥用 |
数据也印证了这一点：绝大多数企业入侵事件里，攻击者突破边界后，横向移动才是真正造成损失的关键阶段。零信任的本质，就是把「信任」从「你在内网」这个位置属性，迁移到「你是谁、你的设备是否健康、你在做什么」这个可验证的动态属性上。
二、三大信任锚点：身份、设备、网络
零信任把「是否放行」拆成对三个锚点的持续评估。任何一个锚点不可信，访问就被拒绝或降级。
1. 身份：不是「有密码」就够
身份是零信任的第一锚点，也是最常被攻破的一环。MFA（多因素认证）是底线而非可选项——密码是「你知道什么」，OATH TOTP、FIDO2 安全密钥是「你有什么/你是什么」，两者叠加才叫强身份。
# 身份侧的工程化要点
- 统一身份源（IdP）：SSO + OIDC/SAML，收敛账号体系，别让每个系统各存一份密码
- 强 MFA：优先 FIDO2/WebAuthn（抗钓鱼），退而求其次 TOTP，短信验证码要慎用（SIM 劫持）
- 条件访问（Conditional Access）：新设备/异地/异常时段 → 强制二次验证或直接阻断
- 身份生命周期：员工离职即时吊销，服务账号定期轮换，杜绝「幽灵账号」关键认知：身份不是一次性的门禁，而是贯穿整个会话的持续信号。登录时验证一次，不代表会话后半段还安全——所以才需要下面的「持续验证」。
2. 设备：把「健康度」纳入决策
一个健康的身份，配上一台已被植入木马的设备，等于把钥匙递给攻击者。零信任要求在授权前评估设备姿态（device posture）：
- 是否由组织管理（MDM 注册 / 加入域）
- OS 与安全补丁是否最新
- 是否开启了磁盘加密、是否有 EDR 且状态正常
- 设备证书是否有效、是否被标记为风险
这些信号由终端上的 agent（EDR、MDM）持续上报到策略引擎。设备不合规，策略引擎可以「拒绝访问」或「限制到只读/隔离区」，这就是「把不健康的设备挡在敏感数据之外」。
3. 网络：从「信任内网」到「微隔离 + 加密」
零信任不意味着不要网络控制，而是把信任粒度从「网段」细化到「单条连接」。两个关键手段：
| 手段 | 做法 | 解决的问题 |
|---|---|---|
| 微隔离（Micro-segmentation） | 东西向流量按应用/身份细分，默认拒绝，逐条授权 | 阻止横向移动，把「一旦破防就全网沦陷」变成「破防只影响一小块」 |
| 全链路加密（mTLS 等） | 服务间、客户端到服务都加密，且双向认证 | 杜绝明文流量被嗅探，确保「你连的是你以为的那个服务」 |
微隔离的落地难点在「策略梳理」：你得先搞清楚应用之间的真实依赖（谁调谁、什么端口、什么协议），否则一上来默认拒绝会把生产打挂。这也是为什么零信任往往「先旁路观测、再逐步收紧」。
三、核心支柱：持续验证与最小权限
1. 持续验证（Continuous Verification）
零信任的口头禅「永不信任、始终验证」里，「始终」两个字最重。它意味着：
- 会话不是永久的——按风险动态续期或中断（连续验证失败 → 强制重认证）
- 行为纳入评估——深夜从异常地域登录、下载量突然暴增、访问从未碰过的系统，都会触发风控
- 每次资源访问都重新授权，而不是「登录后畅通无阻」
实现上，这依赖一个统一的策略引擎（Policy Engine）实时接收身份、设备、网络、行为等多路信号，输出 allow / deny / 挑战 的决策。持续验证不是「频繁让人输密码」，而是用尽可能无摩擦的信号做后台风险判断，只在风险升高时才打扰用户。
2. 最小权限（Least Privilege）与 Just-In-Time
最小权限是零信任的落脚点：只授予完成任务所需的最小访问，且用后即收。进阶做法是 JIT（Just-In-Time）提权——平时没有管理员权限，需要时临时申请、自动审批、限定时间、用完自动撤销。这比「人人都有长期 admin」能阻断一大类凭证滥用。
# 最小权限的工程实践
- 按角色（RBAC）+ 按属性（ABAC）授权，而不是按「职位」粗放授权
- 服务账号：每个微服务独立账号、独立密钥，最小作用域，定期轮换
- 密钥集中托管（Vault / KMS），代码里零明文，动态签发短期凭证
- JIT 提权 + 审批留痕 + 到期自动回收四、落地路线：不可能一夜切换到零信任
零信任是长期演进，不是「买一套产品上线」的项目。一个务实的迁移路线通常是五步：
- 清点资产与数据——先搞清楚「要保护什么」：敏感数据在哪、谁在访问、经由什么路径。
- 统一身份与设备——先补身份与设备这两块最容易见效的短板：SSO、强 MFA、MDM/EDR 覆盖。
- 旁路观测流量——用「监听模式」摸清东西向依赖，为微隔离策略打底，别上来就一刀切。
- 逐步收紧——从最敏感的资产开始做微隔离 + 最小权限，验证无误再扩大范围。
- 接入持续验证——让策略引擎汇聚多路信号，实现动态的、风险驱动的访问决策。
五、与已有安全体系的配合
零信任不是推倒重来，而是把散落的控制点串成一个「持续评估的信任链」。它需要与这些能力协同：
| 能力 | 在零信任中的角色 |
|---|---|
| IAM / SSO | 身份锚点，统一登录与条件访问 |
| MDM / EDR | 设备姿态与威胁信号来源 |
| CASB / DLP | SaaS 访问控制与数据防泄漏 |
| SIEM / SOAR | 汇聚日志、关联分析、自动响应 |
| 密钥管理（Vault/KMS） | 支撑最小权限与短期凭证 |
回到上一篇文章的主题：单机加固是「纵深防御」的底，零信任是「信任模型」的顶。两者不冲突，而是叠加——纵深防御假设攻击者可能突破某层，零信任假设攻击者可能已经在里面。把这两条都做实，安全水位才会真正上一个台阶。