零信任网络安全：原则与实施

要点： 零信任安全取代了过时的假设，即网络内部的一切都是安全的。每个用户、设备和连接都经过持续验证，大大降低了云连接环境中的违规风险。

什么是零信任网络安全？

传统的网络安全依赖于一个简单的概念：信任周边内部的一切，在边界处阻止威胁。防火墙、VPN 和入侵检测系统围绕公司资源形成了数字护城河。一旦用户或设备通过大门，他们就可以自由行动。

这种模式已经不再有效。云计算、远程工作和移动设备已经完全瓦解了网络边界。员工从咖啡馆的个人笔记本电脑访问敏感数据。第三方供应商直接连接到内部系统。攻击者若破坏了单个端点，就可以在整个组织中横向移动。

零信任网络安全直接应对这一现实。零信任不假设网络内部的任何东西都是安全的，而是将每个访问请求都视为潜在的敌对行为。每个用户、每个设备和每个连接都必须证明其合法性才能获得对任何资源的访问权限。如需更广泛了解威胁形势，请参阅我们的网络安全中心。

NIST 特别出版物 800-207[1]是美国联邦政府的零信任参考架构。它定义了零信任，阐述了零信任设计的七项原则，描述了策略引擎等逻辑组件以及各种部署变体。美国政府还发布了 CISA 零信任成熟度模型[2]，该模型围绕五大支柱（身份、设备、网络、应用与工作负载、数据）组织零信任实践；此外还有 OMB 备忘录 M-22-09[3]，即面向各机构的联邦零信任战略。

零信任不是一个可以购买的单一产品。 它是一种安全模型、一种理念和一种架构方法，重新塑造了组织在各个层级思考访问和信任的方式。

核心零信任原则

下表总结了零信任指南中反复出现的六个实践领域。NIST SP 800-207 本身定义了七项原则,例如:所有数据源和计算服务都被视为资源;无论网络位置如何,所有通信都必须加密保护;访问按会话授予;访问决策由动态策略决定:

零信任原则	实践中的含义
明确验证	认证每个用户、设备和请求 — 每次都验证，而不仅仅在登录时
最小权限访问	仅授予完成特定任务所需的权限，不多不少
假设已被破坏	设计系统时假设攻击者已经在内部；限制影响范围
网络分段	划分网络使受损的区域无法横向扩展
多因素身份验证	对所有访问点要求密码之外的第二个因素
持续监控	实时记录和分析所有活动以尽早发现异常

各项原则相互强化。最小权限访问限制了被入侵账户所能触及的范围。网络分段在攻击者绕过身份验证后仍能遏制损害的扩散。持续监控能够发现静态规则无法识别的异常行为。这些做法共同构成多层重叠的防御体系，从而降低安全漏洞被成功利用的风险。

零信任架构组件

零信任架构依赖多个相互连接的组件协同工作。了解每个组件有助于组织规划现实的部署。

身份和访问管理 (IAM)

IAM 是零信任的基石。Microsoft Entra ID（原 Azure AD）、Okta 和 Ping Identity 等解决方案在授予对任何资源的访问权限前验证用户身份。每个访问请求都通过 IAM 层，该层在做出允许或拒绝决定前评估身份、角色和上下文。强大的身份和访问管理实践也有助于防止凭据收集和账户接管攻击。

多因素身份验证(MFA)

多因素身份验证要求用户通过至少两种独立的因素来证明身份:他们所知道的东西(密码)、他们所拥有的东西(硬件令牌或手机),或他们本身的特征(生物识别)。微软研究院对存在可疑活动的账户所做的一项研究发现,MFA 将整体人群的被入侵风险降低了 99.22%[4],在凭据已泄露的情况下则降低了 98.56%。在任何零信任部署中,MFA 都是不可或缺的。

微分段

微分段不是将网络视为单一信任区域，而是将其划分为小的、隔离的段。每个段强制实施自己的访问策略。如果攻击者破坏了一个段，他们无法横向移动到其他段。VMware NSX、Illumio 和 Cisco ACI 等工具支持大规模微分段。

端点检测和响应 (EDR)

零信任需要可见性到连接到网络的每个设备。CrowdStrike Falcon、SentinelOne 和 Microsoft Defender for Endpoint 等 EDR 解决方案持续监控设备健康状况、检测恶意行为并强制实施合规策略。不符合合规要求的设备（过时的 OS、缺失补丁）可以自动被阻止访问敏感资源。

安全信息和事件管理 (SIEM)

SIEM 平台汇总来自整个环境的日志，并应用分析来检测异常。Splunk、Microsoft Sentinel 和 IBM QRadar 等解决方案提供零信任所需的持续监控。实时告警和自动化响应剧本帮助安全团队在数分钟而非数天内对威胁做出响应。

策略引擎和策略管理员

零信任架构的核心是策略引擎。此组件针对定义的策略（用户角色、设备健康状况、位置、时间和风险评分）评估每个访问请求，并做出实时信任决定。策略管理员随后通过指示相应的强制点允许或阻止连接来强制执行该决定。

零信任与传统边界安全

理解零信任与旧版方法之间的对比阐明了组织为什么要进行转变。

因素	传统边界安全	零信任安全
信任模型	信任网络内部的一切	信任任何东西；验证一切
访问范围	身份验证后的广泛网络访问	细粒度的、按应用程序的访问
验证频率	仅在登录时一次	持续的，每个请求
横向移动风险	高 — 攻击者进入后自由移动	低 — 微分段包含违规
远程工作支持	需要 VPN 隧道所有流量	分布式访问的原生支持
可见性	有限的内部流量监控	所有连接的完整可见性

与传统的 VPN 方法不同，传统 VPN 方法在连接后会授予广泛的网络访问权限，而零信任网络访问 (ZTNA) 只授予用户角色所需的特定应用程序的访问权限。仍然依赖隐私保护型 VPN 进行加密的组织可以在其基础上分层 ZTNA 来控制每个用户实际可以访问的内容。VPN 处理加密隧道；零信任处理授权和持续验证。如需查看围绕这两种方法构建的企业平台的并排比较，请参阅我们的企业 VPN 对比。

如何实施零信任架构

实施零信任并非一蹴而就的项目,最好分阶段进行。以下是一套切实可行的分步方法。

第 1 步：绘制您的保护面

确定您最关键的数据、应用程序、资产和服务 (DAAS)。与不断扩大的攻击面不同，保护面是小而清晰的。从这里开始。

第 2 步：绘制交易流

记录流量如何在网络中移动。了解哪些用户从哪些设备通过哪些路径访问哪些应用程序。您无法对不了解的流强制执行策略。

步骤3:围绕保护面构建架构

围绕您的保护面部署下一代防火墙、IAM解决方案和微隔离工具。将策略引擎置于每一项访问决策的核心位置。NIST SP 800-207描述了四种部署变体:基于设备代理/网关、基于飞地(enclave)、基于资源门户以及设备应用沙箱。请根据您现有的基础设施进行选择。

第 4 步：创建细粒度访问策略

使用基普林方法定义细粒度访问策略：谁在请求访问？他们在访问什么应用程序？他们何时访问？他们的位置在哪里？为什么他们需要访问？他们如何连接？这六个问题构成了每个策略规则的基础。

第 5 步:在所有场景中部署多因素认证

在所有访问入口推行多因素认证(MFA)。优先保护特权账户,然后扩展到所有用户。硬件安全密钥(如 YubiKey、Google Titan)具备抗钓鱼能力,这正是 OMB M-22-09[3] 指示联邦机构采用的 MFA 形式。

第 6 步：激活持续监控和分析

部署 SIEM 和 EDR 解决方案以实时监控所有流量。建立正常行为的基线，以便异常触发即时告警。自动化常见威胁模式的响应剧本。

第 7 步：迭代并扩展

从您最敏感的资产开始，向外扩展零信任控制。每个阶段应包括测试、验证和策略优化。零信任不是一个目的地；它是持续改进的过程。

常见零信任用例

远程和混合工作力

拥有员工在家、共工作间或客户现场工作的组织立即受益于零信任。ZTNA 解决方案独立验证每个用户和设备，而不是通过中央 VPN 路由所有流量。这同时降低了延迟并改善了安全性。

云优先组织

跨 AWS、Azure 和 Google Cloud 运行工作负载的公司需要跨多个环境的一致访问控制。零信任策略跟随用户和工作负载，而不是网络边界。

受监管的行业

受 HIPAA 约束的医疗保健组织、受 PCI DSS 和 SOX 管制的金融机构，以及遵循 FedRAMP 的政府机构都需要严格的访问控制和审计跟踪。零信任按设计提供两者。

第三方和承包商访问

供应商和承包商通常需要访问特定的内部系统。零信任仅授予他们所需的资源访问权限，仅在他们需要的持续时间内，并完整记录每项操作。

并购

两个组织合并时，整合其网络会带来重大风险。零信任允许每个环境维持独立的访问控制，同时根据每个应用程序选择性地授予跨组织访问权限。

零信任是否适合您的组织？

零信任网络安全不是一时风尚。它是组织如何保护其数据、应用程序和用户的根本转变。旧的基于边界的模型假设威胁停留在墙外。今天，随着云计算、远程工作和越来越多的复杂攻击（如身份盗窃和凭据收集），该假设使组织处于严重风险中。

采用零信任意味着致力于持续验证、最小权限访问、网络分段、多因素身份验证和实时监控。它需要对技术的投资和重新思考您的组织如何授予和管理访问权限的意愿。

回报是实质性的：降低的违规风险、更强的合规性态势、对网络活动的更好可见性，以及一种能够随您的组织扩展的安全模型。

从您最关键的资产开始。绘制您的流量流。部署 MFA 和 IAM。分段您的网络。监控一切。每一步向前都减少了您对最重要的威胁的暴露。

参考资料

1. S. Rose, O. Borchert, S. Mitchell, and S. Connelly. 2020. Zero Trust Architecture. NIST Special Publication (SP) 800-207. National Institute of Standards and Technology. DOI: https://doi.org/10.6028/NIST.SP.800-207.已归档：Wayback Machine 快照
2. CISA. 日期不详. Zero Trust Maturity Model V2 508. 检索于 2026年10月18日，来源：https://www.cisa.gov/sites/default/files/2023-04/zero_trust_maturity_model_v2_508.pdf.已归档：Wayback Machine 快照
3. Whitehouse. 日期不详. M 22 09. 检索于 2026年10月18日，来源：https://www.whitehouse.gov/wp-content/uploads/2022/01/M-22-09.pdf.已归档：Wayback Machine 快照
4. L. A. Meyer, S. Romero, G. Bertoli, T. Burt, A. Weinert, and J. L. Ferres. 2023. How effective is multifactor authentication at deterring cyberattacks? arXiv.org (2023年5月1日). 检索于 2026年10月18日，来源：https://arxiv.org/abs/2305.00945.已归档：Wayback Machine 快照

本页资源

来自我们研究的图表和参考图片，可免费查看和分享。

• 

• 零信任架构与安全PDF · 0.7 MB

常见问题

全部工作原理威胁保护工具最佳实践

零信任网络安全简单来说是什么?

零信任意味着,即使在企业内部网络中,默认也不信任任何用户、设备或连接。每一次访问请求都必须经过明确验证,只授予完成任务所需的最低权限,并持续进行监控。它取代了过去”信任边界内一切”的旧模式,而该旧模式在云计算和远程办公打破网络边界之后已经失效。NIST SP 800-207 是美国联邦政府的零信任参考架构。

零信任的核心原则是什么?

NIST SP 800-207 定义了七项零信任原则,常见的实践领域包括显式验证、最小权限访问、假设已被入侵、网络分段、多因素身份验证和持续监控。这些原则相互强化:最小权限限制了被入侵账户所能访问的范围,网络分段遏制了横向扩散,持续监控则能发现静态规则无法捕捉的异常。它们共同构成多层重叠的防御体系,而不是某一款产品或单一设置。

与传统 VPN 相比，零信任防护了什么威胁？

传统 VPN 加密隧道但连接后授予广泛的网络访问权限，因此攻击者盗取一个凭证就能在整个网络中横向移动。零信任网络访问 (ZTNA) 仅授予用户角色所需的特定应用程序的访问权限，每个请求都重新验证。这直接限制了横向移动、凭据收集和账户接管，这些是仅依赖边界防御的攻击。

零信任如何在违规后限制横向移动？

零信任假设攻击者已经在内部，并围绕这一点进行设计。微分段将网络分成隔离的段，因此破坏一个段不会授予对其他段的访问权限，使用 VMware NSX、Illumio 或 Cisco ACI 等工具。结合最小权限访问和通过 SIEM 平台进行的持续监控，这缩小了任何单个受损账户或端点的影响范围。

什么是零信任网络访问 (ZTNA)，它与 VPN 有何不同？

ZTNA 仅授予用户角色所需的特定应用程序的访问权限，而不是 VPN 隧道连接后提供的广泛网络访问。组织可以在现有的注重隐私的 VPN 基础上分层 ZTNA：VPN 处理加密隧道，而零信任处理授权和持续的每请求验证，填补了仅 VPN 访问留下的空隙。

零信任能替代多因素认证吗,还是与之配合使用?

多因素认证(MFA)是零信任的必要组成部分,而不是它的替代品。微软研究院的一项研究发现,MFA 可将账户被攻陷的风险降低 99.22%,因此在所有访问入口都不可或缺。零信任部署通常先从特权账户开始推行 MFA,再扩展到所有用户,并常常使用 YubiKey 或 Google Titan 等硬件安全密钥,以获得更强的抗钓鱼能力。

构建零信任架构实际使用什么工具？

完整的堆栈涵盖身份、端点、网络和监控。IAM 来自 Microsoft Entra ID、Okta 或 Ping Identity。EDR 来自 CrowdStrike Falcon、SentinelOne 或 Microsoft Defender for Endpoint。微分段使用 VMware NSX、Illumio 或 Cisco ACI。Splunk、Microsoft Sentinel 或 IBM QRadar 等 SIEM 平台提供该模型所需的持续监控。

什么是策略引擎，为什么它是零信任的核心？

策略引擎位于零信任架构的中心，根据用户角色、设备健康状况、位置、时间和风险评分等因素评估每个访问请求，做出实时允许或拒绝决定。策略管理员随后通过指示强制点强制执行该决定。NIST SP 800-207 将其作为该模型的核心决策制定组件进行介绍。

如何在不影响运营的情况下开始实施零信任?

首先梳理你的保护面,即少量关键数据、应用、资产和服务,而不是整个攻击面。然后记录交易流程,弄清楚谁在何处访问了什么。NIST SP 800-207 描述了四种部署变体(设备代理/网关、基于飞地、基于资源门户以及设备应用沙箱),因此你可以在向外扩展之前,选择与现有基础设施相匹配的一种。

什么是设置零信任访问策略的基普林方法？

基普林方法围绕六个问题构建细粒度访问策略：谁在请求访问，他们在访问什么应用程序，何时访问，他们的位置在哪里，为什么需要访问，以及他们如何连接。这六个问题构成了由策略引擎强制执行的每个策略规则的基础，用每个请求的上下文化决定取代了广泛的、基于角色的网络访问。

零信任的完整部署需要多长时间？

组织是分阶段推进零信任的，而不是作为一个单独的项目一次完成。大致顺序是：梳理保护面、记录交易流、围绕保护面构建架构、通过 Kipling 方法制定精细化策略、在所有地方部署 MFA、启用 SIEM 和 EDR 监控，然后持续迭代。每个阶段都包括测试和策略优化，之后才会扩展到下一组资产。

零信任对医疗保健或金融等受监管行业是否必要？

是的。HIPAA 监管下的医疗保健组织、受 PCI DSS 和 SOX 管制的金融机构，以及遵循 FedRAMP 的政府机构都需要严格的访问控制和完整的审计跟踪，这些是零信任通过持续验证和按应用程序日志记录按设计提供的。第三方供应商和承包商也仅获得他们需要的特定资源和持续时间的访问权限。

在零信任下，如果设备未通过合规性检查会发生什么？

CrowdStrike Falcon、SentinelOne 或 Microsoft Defender for Endpoint 等 EDR 解决方案持续监控设备健康状况，不符合要求的设备（如运行过时的 OS 或缺失补丁）可以自动被阻止访问敏感资源。这种强制发生在策略引擎处，该引擎在每个访问决定中将设备健康状况重新评估为一个因素，而不仅仅在登录时进行一次。