第一章 理解零信任的必要性

在本章中，您将了解威胁参与者如何利用消失的网络边界和不断扩大的攻击面来绕过传统的访问控制，以及零信任如何克服这些挑战。

本章概要：

• 认识现代威胁
• 超越传统的访问控制
• 定义零信任的概念
• 感受零信任的好处

审视现代威胁形势

在当今的数字企业中，业务应用程序和数据远离企业数据中心，分散在很远的地方，所以用户现在可以从许多位置使用更多的终端来访问企业资源。物联网（IoT）设备和员工自带设备（BYOD）计划的快速增长导致网络上的接入点和终端设备激增。因此传统的网络边界正在消失，而攻击面正在扩大。与此同时，网络威胁越来越多，攻击者的战术和技术也在不断进化，变得越来越复杂。

注

Remember

IDC预测， 到2025年，会有557亿台物联网设备遍及全球

传统的安全模型基于这样一种假设，即组织单位网络内部的任何东西都应该是可以信任的。

但是，如果任何一个设备或用户受到损害，无论是有意还是无意，自动将信任扩展到任何一个设备或用户都会给组织带来风险。由于这种固有的信任模式，绕过边缘安全检查点的攻击者、恶意软件和受损设备通常可以不受限制地访问网络。凭据盗窃和恶意软件等漏洞使攻击者能够获得合法账户的访问权限。一旦进入网络，他们可以横向移动，并利用可信的内部网络来锁定组织单位的资源。

注意

根据威瑞森2021年数据泄露调查报告（Verizon 2021 Data Breach Investigations Report, DBIR）， 上一年的泄露事件中：70%是由外部人员造成的，45%涉及骇客攻击，86%是出于财务动机，17%涉及某种形式的恶意软件（包括勒索软件），22%是网络钓鱼或者社会工程。

随着企业对其网络进行现代改造以适应远程员工、多云架构和数字创新，他们的安全要求也需要改变

认识到传统访问控制的局限性

传统的访问控制策略默认信任网络上的用户或设备。这种信任的概念通常基于用户或设备的位置：如果他们在网络上，他们是可信的。但是随着网络边界的不断消失，保护网络资源变得越发不可能。用户现在从家庭办公室和移动设备访问公司网络。企业资源也越来越多地位于传统网络之外的多个位置，如私有云和公有云。

为了克服传统访问控制的局限性，组织单位需要一种解决方案能够提供：

• 对用户和设备的持续验证；
• 对网络进行细分以创建控制区域，这有助于限制违规带来的影响以及建立更多的控制点；
• 用户和设备的最低权限访问，因此用户仅被赋予履行其角色所需要的访问权限，这有助于限制身份或者设备收受伤害带来的影响。

注意

今天的网络有巨大的、动态的、在某些情况下甚至是临时的边缘。事实上许多设备经常离线使得持续评估风险和信任更加困难。因为没有办法验证网络内外的用户或者设备是否可信。所以您应当假设网络上的每台设备都可能被感染。

查看零信任的基础知识

零信任模型是约翰·金德瓦格（John·Kindervag）于2009年在弗雷斯特研究公司（Forrester Research）工作时提出的一个概念。支撑零信任的基本原则是“永远不要相信，永远验证。”零信任挑战了传统的基于边界的安全模型，在这种模型中，防火墙保护受信任的公司网络免受不受信任的互联网的攻击。

公平地说，基于边界的模型并不像将事物标记为可信或不可信那样非黑即白。多年来，基于外围设备的方法不断被改进。例如，非军事区(dmz)通常是为面向公众的网站和应用程序创建的，这些网站和应用程序“有些可信”——如果你愿意的话，就是灰色阴影。虚拟专用网(VPN)用于将企业网络扩展(或打洞，取决于您的观点)到远程和移动用户。虚拟局域网(VLANs)和访问控制用于将敏感部门(如人力资源和财务)与网络的其余部分分隔开来。

但是基于边界的安全方法有一个固有的缺点：它授予了过度的隐性信任。一旦您连接上了，无论是直接连接还是使用VPN连接，您都会和内部网络的其他部分一样受到信任。

零信任模型将安全性从基于用户或设备的网络位置的隐含信任中移除。相反，信任是基于每个事务进行评估的。零信任时，您的网络位置或IP地址不再传达信任的含义。相反，零信任模型要求在非常精细的级别上，从基于身份和基于上下文的控制的组合中显式地派生出信任，从而根据最小特权和需要知道的安全原则授予访问权限。

零信任始于对所有人和所有事的默认拒绝态度——也就是零信任。在零信任模型中，每当用户或设备请求访问资源时，在授予访问权限之前必须验证他们的身份。验证不仅基于用户和/或设备的身份，还基于其他属性，包括上下文(如日期和时间)、地理位置和设备安全状况。

注

Remember

然而，允许进入并不是“一劳永逸”的达成共识。仅仅因为用户或设备被授权访问资源并不意味着他们可以在网络上自由漫游。访问权限是在非常精细的级别上授予的。它只提供给在有限时间内执行特定功能所需的资源，而不是整个网络。零信任模型的一个关键要素是信任必须不断重新评估。如果用户或设备的重要属性改变，则信任可能被撤销，并且对资源的访问可能被移除。

零信任访问(Zero-trust access, ZTA)建立在零信任模型的基础上，侧重于了解和控制谁和什么在访问网络。基于角色的访问控制(Role-Based access control, RBAC)是ZTA的重要组成部分。只有明确知道用户是谁，才能根据他们的角色授予适当的访问级别。ZTA覆盖需要管理控制和可见性的用户终端。与零信任模型保持一致意味着实施最小访问策略，授予用户其角色所需的最低级别的网络访问权限，并取消任何访问或查看网络其他部分的能力。

提示

除了了解网络上的用户和内容，ZTA还为网络上的内容提供了安全保护。越来越多的联网设备现在包括物联网设备。这些“无头”设备没有用户名和密码来识别它们自己以及它们在网络中的角色。相反，网络访问控制(Network Access Control，NAC)解决方案可用于发现和控制这些设备的访问。使用NAC策略，最小访问权限的零信任原则可以应用于这些物联网设备，授予足够的网络访问权限来履行其职责，仅此而已。

零信任网络访问(ZTNA)是ZTA的一个元素，它控制对应用程序的访问，而不管用户或应用程序位于何处。用户可能在公司网络上、在家或其他地方工作。应用程序可以托管在企业数据中心，或者私有或公共云中。

注

Remember

ZTNA是VPN的自然演进。鉴于当今网络的复杂性，ZTNA提供了比传统VPN更好的安全性、更精细的控制和更好的用户体验。你可以在第五章了解更多关于ZTNA的知识。

实现零信任的好处

为了在现代威胁环境中实现有效的安全性，组织必须从试图保护动态网络边界转变为保护可能分布在数十亿个边缘、用户、系统、设备和其他关键资源上的应用程序和数据。零信任战略通过“永远不信任，永远验证”的安全方法，提供跨设备、用户、终端、云和基础架构的全面可见性和保护。

零信任为组织带来以下好处:

• 降低风险：当您自动将信任扩展到网络中的任何设备或用户时，无论是有意还是无意，您的组织都会面临风险。零信任通过限制用户的网络访问以及采用广泛的身份验证来消除漏洞，以便用户只能访问与其在组织中的角色或职位相关的数据和系统。
• 提高可见性：您随时知道谁和什么连接到网络。
• 扩展安全性：通过ZTNA，安全性可以扩展到网络之外。与只关注网络层的VPN不同，ZTNA更上一层楼，有效地提供了独立于网络的应用程序安全性。

更新历史

Ver	Description	Author	Rev	Date
1.0	First Complete	ysheng	tanga	2026.08.26
0.1	Draft Version	-	-	2026.08.04