零信任 Zero Trust

零信任（Zero Trust）是一种不因用户或设备位于内部网络就默认可信，而是在访问应用、数据和服务前持续验证身份、设备状态与权限的安全模型。

概述

传统网络安全常以边界为中心，通常认为内网比外网更可信。但现代企业广泛使用云服务、移动设备、远程办公和物联网，网络边界日益模糊，攻击者也可能借助被盗账号或受感染设备进入内部系统。

零信任以“从不默认信任，始终进行验证”为原则。它不单纯依据网络位置放行请求，而是综合用户身份、设备完整性、访问对象、环境风险和行为信息作出动态判断。零信任架构常简称 ZTA，零信任网络访问简称 ZTNA，后者通常是实现安全远程访问的一类技术。

部署零信任通常需要结合统一身份管理、多因素认证、终端安全、微隔离、访问代理、日志分析和风险评估。它不是某一种单独产品，也不意味着完全取消网络防火墙，而是对现有安全体系进行持续改造。企业一般会先梳理人员、设备、应用和数据，再按风险逐步建立策略。

问：零信任是否等于不信任所有员工？答：不是。它针对的是访问请求，不以人员身份或网络位置作为默认可信依据。

问：零信任能否完全阻止网络攻击？答：不能，但可通过持续验证和最小权限降低账号失窃、内部滥用及横向移动造成的风险。

问：零信任与 VPN 有什么区别？答：VPN通常提供进入某个网络的通道，ZTNA更强调按身份和策略开放特定应用，两者也可以并存。