第七章 零信任之路的十个步骤

为组织实施零信任策略是一段旅程，而不是一个终点。本章给出十个关键步骤，帮助您成功踏上零信任访问（ZTA）之旅。

本章概要：

• 评估资产对业务流程的重要程度
• 了解组织使用的应用程序
• 应用基于角色的访问控制
• 持续进行验证

第一步：评估资产及其对业务流程的重要程度

您无法采用相同等级保护网络上的每项资产与资源。首先确定哪些资产和资源对业务流程最为关键，并据此安排工作优先级，这一点十分重要。确定起点后，即可开始实施 ZTA 策略，优先保护最关键的资源和最有价值的资产。

提示

业务流程及其依赖的系统和应用程序的重要程度，还将驱动其他重要决策，例如额外的安全策略控制、服务级别协议（SLA）与运行级别协议（OLA），以及业务连续性和灾难恢复的恢复时间目标（RTO）与恢复点目标（RPO）。

第二步：识别网络上的用户、实体和角色

识别网络上的每个用户和实体，是建立有效 ZTA 策略的关键。身份确定之后，将根据用户在组织中的角色制定访问策略。最小权限访问策略只授予执行特定角色或工作所需资源的访问权限；只有在确有需要时，才提供对其他资源的访问权限。

基于角色的访问控制（RBAC）是访问管理的关键组成部分。使用 RBAC 对用户进行身份认证和授权，有助于建立稳健的网络安全态势，使包括合作伙伴、供应商和承包商在内的整个组织受益。

第三步：识别网络上的设备

采用零信任策略的下一步，是发现并识别网络上的所有设备——无论是最终用户的手机或笔记本电脑、虚拟服务器、网络打印机、无界面的物联网（IoT）设备，还是安全门禁卡读卡器。

注

Remember

应用程序和设备的激增不断扩展传统网络边界，形成数十亿个需要管理和保护的边缘。网络访问控制（NAC）工具可以提供网络设备的可见性。

第四步：识别组织使用的应用程序

应用程序是业务运营和流程的核心。如今的应用程序不仅包括安装在终端或数据中心服务器上的程序，还包括软件即服务（SaaS）产品，以及托管在私有云和公有云中的应用程序工作负载。

第五步：在网络和资产内部创建控制区域

网络分段长期用于限制网络特定区域中的流量，并在网络内部提供额外的安全控制。最早的例子可能是许多组织在互联网和企业网络之间为面向公众的 Web 应用程序创建的非军事区（DMZ）。

内部网段防火墙可以在网络内部建立可见性与控制，并提供扫描、保护和阻止流量的能力。

第六步：对资产应用基于角色的访问控制

基于角色的访问控制（RBAC）根据用户在组织中的工作或角色，高效管理各用户组对特定资产拥有的权限。

注意

组织通常重点确保组成员关系得到正确维护且信息准确。这固然是 RBAC 的重要方面，却只是问题的一面。同样重要的是确保分配给某个角色的权限不过度。权限范围应限制在该角色所需的特定资源内，并且只授予履行该角色职能所必需的权限，即最小权限访问。

第七步：控制网络设备的通信范围

零信任安全方法利用微分段，在单项资源周围创建细粒度的信任区域，帮助实施最小权限访问原则。用户和实体只能获得执行特定角色或工作所需资源的访问权限。微分段可阻止用户和攻击者在网络上自由漫游。

相关信息

Technical Stuff

微分段为流量分段增加了动态、基于策略的元素，能够提供比常规网络分段精细得多的控制。

第八步：员工离开网络后仍对其设备实施控制

职场移动性增强和远程办公日益受到重视，包括居家办公（WFH）和随处办公（WFA），使人们更加关注终端安全，其中包括对网络之外终端的可见性、控制、扫描、补丁管理和 Web 过滤。

注

Remember

实施零信任策略后，组织可以通过提高终端可见性来应对保护网络外设备的挑战。漏洞扫描、稳健的补丁策略和 Web 过滤都是零信任策略的关键要素。此外，零信任方法还可以安全地远程访问网络资源，使安全团队无论资产位于网络内还是网络外，都能看到、控制并保护每项资产。ZTNA 超越了 VPN，将传统 ZTA 的网络访问扩展到按应用程序使用，因此管理员不仅知道谁在网络上，甚至还能知道其当前正在使用哪些应用程序，同时持续监控和检查事务与使用情况。

第九步：应用应用程序访问控制

有效的 ZTA 策略同时解决网络连接与应用程序访问问题，其基本假设是任何用户和设备都不具备固有可信性。对于任何事务，都必须先验证用户和设备已获授权访问，之后才能授予信任。

第十步：持续验证用户与设备并进行身份认证

ZTA 要求持续对连接网络的用户和设备进行身份认证、验证和监控。成功登录网络并不意味着用户或设备可以不受限制地访问网络资源。访问受限区域中的某些敏感资源时，可能需要进一步进行身份认证，同时还应限制用户会话的持续时间。这样可以防止会话被劫持，并确保在设备状态于会话期间发生变化、其风险态势变得不可接受时，能够实施适当的控制。

更新历史

Ver	Description	Author	Rev	Date
1.0	First Complete	ysheng	tanga	2026.08.26
0.1	Draft Version	-	-	2026.08.04