#SummerCreationCamp

# 超越边界：为何零信任架构不再是可选项

---

在 2023 年，数据泄露的平均成本达到了 445 万美元。到 2024 年，这一数字上升至 488 万美元。其发展轨迹十分明确，根本原因是结构性的：组织继续投入基于边界的防御，而攻击者则利用这样一种假设——网络内的任何事物都天然值得信任。

这并非纯理论问题。它是当下每一位安全负责人、CISO 和基础设施架构师都必须面对的运营现实。边界已经消散。远程办公、云迁移、SaaS 的激增以及第三方集成，让传统的城堡与护城河模型不再适用。然而，许多组织仍然仿佛防火墙就是最终的信任裁决者在运作。

其后果是可以衡量的。根据 IBM 的《数据泄露成本报告》，来自被泄露凭据的漏洞（最常见的最初攻击向量）的泄露，平均需要 292 天才能识别，75 天才能遏制。这几乎是一整年的未授权访问才被发现。边界并未阻止泄露，甚至连察觉都没有做到。

这篇文章将探讨为何零信任架构必须成为现代企业的基础安全范式，它的原则如何转化为可执行的工程决策，真实世界的部署揭示了哪些落地挑战，以及该框架的局限性为何需要辅助手段。

---

## 问题：信任本身是一种漏洞

传统网络安全中的核心漏洞，并不是缺失的补丁或未配置的规则。真正的问题在于“信任”的假设本身。

在基于边界的模型中，认证只在边缘发生一次。只要用户、设备或连接通过防火墙或 VPN 网关，就会被授予对内部资源的广泛访问权限。这种隐式信任会形成巨大的攻击面。只要一个凭据被攻破、边界处存在的一个漏洞被利用，攻击者就能在整个网络中横向移动。

证据十分充分：

- SolarWinds 供应链攻击（2020）通过一次单一受信软件更新，约影响了 18,000 家组织。攻击者在受害者网络中横向移动持续数月，访问电子邮件系统、源代码仓库以及受分类保护的关键基础设施，同时由于他们已使用合法凭据跨过边界，因此不会触发边界告警。

- MOVEit Transfer 漏洞（2023）被 Clop 勒索软件团伙利用，入侵了全球超过 2,500 家组织。该攻击利用了存在于网络边界内部的受信文件传输应用，而零日 SQL 注入缺陷使攻击者无需横向移动即可直接进行数据外传。

- MGM Resorts 攻击（2023）以对 IT 帮助台的社交工程电话开始。攻击者获取了合法凭据，访问了内部系统，并在 14 个场所持续数天扰乱运营。没有任何防火墙被攻破。边界毫无意义。

在每一种案例中，攻击者都利用了边界模型默认赋予的信任。网络假设已认证的用户和已批准的软件是安全的。正是这种假设构成了漏洞。

---

## 零信任究竟意味着什么

零信任并不是一种产品、一个供应商类别，或单一技术。它是一种架构理念，由一个基本原则定义：永不信任，始终验证。

这一概念最初由 John Kindervag 在 2010 年于 Forrester Research 提出，随后在 NIST 特别出版物 800-207 中被进一步正式化；该文件提供了权威的参考框架。NIST 的定义指出：

> “零信任是一个不断演进的网络安全范式集合的术语，它将防御从静态的、基于网络的边界转向对用户、资产与资源的关注。零信任架构使用零信任原则来规划工业和企业基础设施以及工作流程。”

如 NIST SP 800-207 所定义，零信任的七项要点是：

1. **所有数据源与计算服务都被视为资源。** 网络、终端、API、数据存储以及 SaaS 平台都同等受到策略的约束与执行。

2. **所有通信都必须加固，不论其网络位置如何。** 加密、认证与完整性校验同样适用于内部流量，就像适用于外部连接一样。不存在“内部天然安全”的区域。

3. **对每个资源的访问都以会话为单位授予。** 信任不应是持续性的。每一次访问请求都要被单独评估，并且授权要限定在满足最低必要时长与最小范围。

4. **对资源的访问由动态策略决定，包括身份状态与环境上下文。** 策略会实时评估用户身份验证强度、设备健康与合规状态、所请求资源的敏感度、行为模式、威胁情报信号以及环境风险因素。

5. **企业会监测并衡量所有自有及相关资产的完整性与安全态势。** 设备合规性、补丁状态、配置漂移以及行为异常都要持续评估，而这些评估会直接反馈到访问决策中。