Michael Gargiulo要点： 零信任安全取代了过时的假设，即网络内部的一切都是安全的。每个用户、设备和连接都经过持续验证，大大降低了云连接环境中的违规风险。
什么是零信任网络安全？
传统的网络安全依赖于一个简单的概念：信任周边内部的一切，在边界处阻止威胁。防火墙、VPN 和入侵检测系统围绕公司资源形成了数字护城河。一旦用户或设备通过大门，他们就可以自由行动。
这种模式已经不再有效。云计算、远程工作和移动设备已经完全瓦解了网络边界。员工从咖啡馆的个人笔记本电脑访问敏感数据。第三方供应商直接连接到内部系统。攻击者若破坏了单个端点，就可以在整个组织中横向移动。
零信任网络安全直接应对这一现实。零信任不假设网络内部的任何东西都是安全的，而是将每个访问请求都视为潜在的敌对行为。每个用户、每个设备和每个连接都必须证明其合法性才能获得对任何资源的访问权限。如需更广泛了解威胁形势，请参阅我们的网络安全中心。
NIST 特别出版物 800-207[1] 是实施零信任架构的权威联邦框架。它详细涵盖了访问控制模型、部署模式和信任算法。由国家标准与技术研究院发布，它是大多数企业在规划零信任战略时使用的基础。
零信任不是一个可以购买的单一产品。 它是一种安全模型、一种理念和一种架构方法，重新塑造了组织在各个层级思考访问和信任的方式。
核心零信任原则
下表总结了驱动每个零信任架构的六个基础原则：
| 零信任原则 | 实践中的含义 |
|---|---|
| 明确验证 | 认证每个用户、设备和请求 — 每次都验证，而不仅仅在登录时 |
| 最小权限访问 | 仅授予完成特定任务所需的权限，不多不少 |
| 假设已被破坏 | 设计系统时假设攻击者已经在内部；限制影响范围 |
| 网络分段 | 划分网络使受损的区域无法横向扩展 |
| 多因素身份验证 | 对所有访问点要求密码之外的第二个因素 |
| 持续监控 | 实时记录和分析所有活动以尽早发现异常 |
每项原则都加强了其他原则。最小权限访问限制了受损账户能够到达的范围。网络分段在攻击者绕过身份验证时限制了损害。持续监控检测到静态规则会遗漏的异常行为。这些原则共同创造了重叠的防御层，大大降低了成功违规的风险。
重要： 零信任不是一个产品；它是一种安全模型。传统的边界防御假设网络内部的一切都是安全的，但远程工作和云计算已经瓦解了这一界限。采用最小权限访问和持续验证大大降低了攻击者获得初始访问权限后违规扩散的风险。
零信任架构组件
零信任架构依赖多个相互连接的组件协同工作。了解每个组件有助于组织规划现实的部署。
身份和访问管理 (IAM)
IAM 是零信任的基石。Microsoft Entra ID（原 Azure AD）、Okta 和 Ping Identity 等解决方案在授予对任何资源的访问权限前验证用户身份。每个访问请求都通过 IAM 层，该层在做出允许或拒绝决定前评估身份、角色和上下文。强大的身份和访问管理实践也有助于防止凭据收集和账户接管攻击。
多因素身份验证 (MFA)
MFA 要求用户通过至少两个独立因素证明身份：他们知道的东西（密码）、他们拥有的东西（硬件令牌或手机）或他们本身是什么（生物识别）。微软报告称 MFA 阻止了 99.9% 的自动账户破坏攻击。在任何零信任部署中，MFA 都是不可协商的。
微分段
微分段不是将网络视为单一信任区域，而是将其划分为小的、隔离的段。每个段强制实施自己的访问策略。如果攻击者破坏了一个段，他们无法横向移动到其他段。VMware NSX、Illumio 和 Cisco ACI 等工具支持大规模微分段。
端点检测和响应 (EDR)
零信任需要可见性到连接到网络的每个设备。CrowdStrike Falcon、SentinelOne 和 Microsoft Defender for Endpoint 等 EDR 解决方案持续监控设备健康状况、检测恶意行为并强制实施合规策略。不符合合规要求的设备（过时的 OS、缺失补丁）可以自动被阻止访问敏感资源。
安全信息和事件管理 (SIEM)
SIEM 平台汇总来自整个环境的日志，并应用分析来检测异常。Splunk、Microsoft Sentinel 和 IBM QRadar 等解决方案提供零信任所需的持续监控。实时告警和自动化响应剧本帮助安全团队在数分钟而非数天内对威胁做出响应。
策略引擎和策略管理员
零信任架构的核心是策略引擎。此组件针对定义的策略（用户角色、设备健康状况、位置、时间和风险评分）评估每个访问请求，并做出实时信任决定。策略管理员随后通过指示相应的强制点允许或阻止连接来强制执行该决定。
零信任与传统边界安全
理解零信任与旧版方法之间的对比阐明了组织为什么要进行转变。
| 因素 | 传统边界安全 | 零信任安全 |
|---|---|---|
| 信任模型 | 信任网络内部的一切 | 信任任何东西；验证一切 |
| 访问范围 | 身份验证后的广泛网络访问 | 细粒度的、按应用程序的访问 |
| 验证频率 | 仅在登录时一次 | 持续的，每个请求 |
| 横向移动风险 | 高 — 攻击者进入后自由移动 | 低 — 微分段包含违规 |
| 远程工作支持 | 需要 VPN 隧道所有流量 | 分布式访问的原生支持 |
| 可见性 | 有限的内部流量监控 | 所有连接的完整可见性 |
与授予连接后广泛网络访问的传统 VPN 方法不同，零信任网络访问 (ZTNA) 仅授予用户角色所需的特定应用程序的访问权限。仍然依赖注重隐私的 VPN 进行加密的组织可以在其上添加 ZTNA 层来控制每个用户实际可以到达的内容。VPN 处理加密隧道；零信任处理授权和持续验证。
如何实施零信任架构
实施零信任不是一夜之间的项目。大多数组织在 12 到 24 个月内分阶段采用它。以下是一种实用的、循序渐进的方法。
第 1 步：绘制您的保护面
确定您最关键的数据、应用程序、资产和服务 (DAAS)。与不断扩大的攻击面不同，保护面是小而清晰的。从这里开始。
第 2 步：绘制交易流
记录流量如何在网络中移动。了解哪些用户从哪些设备通过哪些路径访问哪些应用程序。您无法对不了解的流强制执行策略。
第 3 步：围绕保护面构建架构
在保护面周围部署下一代防火墙、IAM 解决方案和微分段工具。将策略引擎放在每个访问决定的中心。NIST SP 800-207 列出了三种部署模型：设备代理/网关、飞地和资源门户。根据您现有的基础设施进行选择。
第 4 步：创建细粒度访问策略
使用基普林方法定义细粒度访问策略：谁在请求访问？他们在访问什么应用程序？他们何时访问？他们的位置在哪里？为什么他们需要访问？他们如何连接？这六个问题构成了每个策略规则的基础。
第 5 步：随处部署多因素身份验证
在所有访问点推出 MFA。优先考虑特权账户，然后扩展到所有用户。硬件安全密钥（YubiKey、Google Titan）提供最强的网络钓鱼防护。
第 6 步：激活持续监控和分析
部署 SIEM 和 EDR 解决方案以实时监控所有流量。建立正常行为的基线，以便异常触发即时告警。自动化常见威胁模式的响应剧本。
第 7 步：迭代并扩展
从您最敏感的资产开始，向外扩展零信任控制。每个阶段应包括测试、验证和策略优化。零信任不是一个目的地；它是持续改进的过程。
常见零信任用例
远程和混合工作力
拥有员工在家、共工作间或客户现场工作的组织立即受益于零信任。ZTNA 解决方案独立验证每个用户和设备，而不是通过中央 VPN 路由所有流量。这同时降低了延迟并改善了安全性。
云优先组织
跨 AWS、Azure 和 Google Cloud 运行工作负载的公司需要跨多个环境的一致访问控制。零信任策略跟随用户和工作负载，而不是网络边界。
受监管的行业
受 HIPAA 约束的医疗保健组织、受 PCI DSS 和 SOX 管制的金融机构，以及遵循 FedRAMP 的政府机构都需要严格的访问控制和审计跟踪。零信任按设计提供两者。
第三方和承包商访问
供应商和承包商通常需要访问特定的内部系统。零信任仅授予他们所需的资源访问权限，仅在他们需要的持续时间内，并完整记录每项操作。
并购
两个组织合并时，整合其网络会带来重大风险。零信任允许每个环境维持独立的访问控制，同时根据每个应用程序选择性地授予跨组织访问权限。
零信任是否适合您的组织？
零信任网络安全不是一时风尚。它是组织如何保护其数据、应用程序和用户的根本转变。旧的基于边界的模型假设威胁停留在墙外。今天，随着云计算、远程工作和越来越多的复杂攻击（如身份盗窃和凭据收集），该假设使组织处于严重风险中。
采用零信任意味着致力于持续验证、最小权限访问、网络分段、多因素身份验证和实时监控。它需要对技术的投资和重新思考您的组织如何授予和管理访问权限的意愿。
回报是实质性的：降低的违规风险、更强的合规性态势、对网络活动的更好可见性，以及一种能够随您的组织扩展的安全模型。
从您最关键的资产开始。绘制您的流量流。部署 MFA 和 IAM。分段您的网络。监控一切。每一步向前都减少了您对最重要的威胁的暴露。
Sources
常见问题
什么是零信任网络安全？简单来说是什么意思？
零信任意味着默认情况下，任何用户、设备或连接都不受信任，即使在公司网络内部也是如此。每个访问请求都经过明确验证，仅授予所需的最小权限，并持续监控。它取代了较旧的”信任周边内部的一切”模型，该模型在云计算和远程工作瓦解该周边后失效。NIST SP 800-207 是实施零信任的权威联邦框架。
零信任的六个核心原则是什么？
这六个原则是明确验证、最小权限访问、假设已被破坏、网络分段、多因素身份验证和持续监控。每个原则都加强其他原则：最小权限访问限制了受损账户能够到达的范围，分段包含了横向扩展，持续监控检测到静态规则会遗漏的异常。它们共同形成了重叠的防御层，而不是单一产品或设置。
与传统 VPN 相比，零信任防护了什么威胁？
传统 VPN 加密隧道但连接后授予广泛的网络访问权限，因此攻击者盗取一个凭证就能在整个网络中横向移动。零信任网络访问 (ZTNA) 仅授予用户角色所需的特定应用程序的访问权限，每个请求都重新验证。这直接限制了横向移动、凭据收集和账户接管，这些是仅依赖边界防御的攻击。
零信任如何在违规后限制横向移动？
零信任假设攻击者已经在内部，并围绕这一点进行设计。微分段将网络分成隔离的段，因此破坏一个段不会授予对其他段的访问权限，使用 VMware NSX、Illumio 或 Cisco ACI 等工具。结合最小权限访问和通过 SIEM 平台进行的持续监控，这缩小了任何单个受损账户或端点的影响范围。
什么是零信任网络访问 (ZTNA)，它与 VPN 有何不同？
ZTNA 仅授予用户角色所需的特定应用程序的访问权限，而不是 VPN 隧道连接后提供的广泛网络访问。组织可以在现有的注重隐私的 VPN 基础上分层 ZTNA：VPN 处理加密隧道，而零信任处理授权和持续的每请求验证，填补了仅 VPN 访问留下的空隙。
零信任是否取代 MFA，还是与其并行工作？
MFA 是零信任的必需组件，而不是替代品。微软报告称 MFA 阻止了 99.9% 的自动账户破坏攻击，使其在所有访问点上不可协商。零信任部署从特权账户开始推出 MFA，然后扩展到所有用户，通常使用 YubiKey 或 Google Titan 等硬件安全密钥以获得更强的网络钓鱼防护。
构建零信任架构实际使用什么工具？
完整的堆栈涵盖身份、端点、网络和监控。IAM 来自 Microsoft Entra ID、Okta 或 Ping Identity。EDR 来自 CrowdStrike Falcon、SentinelOne 或 Microsoft Defender for Endpoint。微分段使用 VMware NSX、Illumio 或 Cisco ACI。Splunk、Microsoft Sentinel 或 IBM QRadar 等 SIEM 平台提供该模型所需的持续监控。
什么是策略引擎，为什么它是零信任的核心？
策略引擎位于零信任架构的中心，根据用户角色、设备健康状况、位置、时间和风险评分等因素评估每个访问请求，做出实时允许或拒绝决定。策略管理员随后通过指示强制点强制执行该决定。NIST SP 800-207 将其作为该模型的核心决策制定组件进行介绍。
在不中断运营的情况下如何开始实施零信任？
首先映射您的保护面，即小的、关键的数据、应用程序、资产和服务集合，而不是整个攻击面。然后记录交易流，以了解谁从哪里访问什么。NIST SP 800-207 概述了三种部署模型（设备代理/网关、基于飞地和基于资源门户），因此您可以选择一种与现有基础设施相匹配的模型，然后向外扩展。
什么是设置零信任访问策略的基普林方法？
基普林方法围绕六个问题构建细粒度访问策略：谁在请求访问，他们在访问什么应用程序，何时访问，他们的位置在哪里，为什么需要访问，以及他们如何连接。这六个问题构成了由策略引擎强制执行的每个策略规则的基础，用每个请求的上下文化决定取代了广泛的、基于角色的网络访问。
完整的零信任推出实际需要多长时间？
大多数组织在 12 到 24 个月内分阶段采用零信任，而不是作为单一项目。顺序包括：映射保护面、记录交易流、在其周围构建架构、通过基普林方法创建细粒度策略、随处部署 MFA、激活 SIEM 和 EDR 监控，然后迭代。每个阶段在扩展到下一个资产组之前都包括测试和策略优化。
零信任对医疗保健或金融等受监管行业是否必要？
是的。HIPAA 监管下的医疗保健组织、受 PCI DSS 和 SOX 管制的金融机构，以及遵循 FedRAMP 的政府机构都需要严格的访问控制和完整的审计跟踪，这些是零信任通过持续验证和按应用程序日志记录按设计提供的。第三方供应商和承包商也仅获得他们需要的特定资源和持续时间的访问权限。
在零信任下，如果设备未通过合规性检查会发生什么？
CrowdStrike Falcon、SentinelOne 或 Microsoft Defender for Endpoint 等 EDR 解决方案持续监控设备健康状况，不符合要求的设备（如运行过时的 OS 或缺失补丁）可以自动被阻止访问敏感资源。这种强制发生在策略引擎处，该引擎在每个访问决定中将设备健康状况重新评估为一个因素，而不仅仅在登录时进行一次。