零信任（Zero Trust）

零信任（Zero Trust）是一种网络安全设计理念与架构方法，核心原则是「从不信任，始终验证」——不因用户或设备位于公司内网就默认其可信，任何访问请求都必须先通过身份与安全状态校验。

概述

传统企业安全采用「城堡加护城河」思路：在网络边界部署防火墙，边界之内的流量被视为可信。但现代企业网络早已不再有清晰边界——云服务、远程办公、移动设备和物联网设备把资源和人员分散到了各处，攻击者一旦突破边界或窃取到内部账号，就能在内网横向移动，边界防御随之失效。

零信任正是针对这一现实提出的：它假设网络内外都可能存在威胁，把校验从「网络位置」转移到「每一次访问」上。无论用户身在何处、使用什么设备，访问应用和数据前都要验证身份、检查设备健康状况，并只授予完成当前任务所需的最小权限。零信任也常被称为零信任架构（ZTA）、零信任网络访问（ZTNA）或无边界安全。

核心原则

• 持续验证：不存在一次登录终身可信，会话和权限会根据风险持续评估。
• 最小权限：用户和设备只能访问其职责所需的资源，减少泄露面。
• 设备可信度评估：结合设备身份、补丁状态、安全配置等信号决定是否放行。
• 微分段：把网络切成细粒度区域，即使某处被攻破也难以横向扩散。
• 默认拒绝：未经明确授权的访问一律拒绝，而非默认放行。

与 VPN 的区别

VPN 解决的是「安全接入内网」，用户连上后往往能访问整个内网，权限过大；零信任（尤其是 ZTNA）则按应用逐一授权，用户只能看到被允许的具体应用，其余资源对其不可见，因此被许多企业视为 VPN 的演进替代方案。

常见问题

问：零信任是一款可以直接购买的产品吗？答：不是。零信任是一套架构理念，通常由身份认证、设备管理、访问网关等多种产品组合落地，不同厂商的方案差异较大。

问：部署零信任是否意味着抛弃现有防火墙？答：不需要。零信任是在边界防御之上叠加以身份为中心的校验层，防火墙等传统设施仍可作为纵深防御的一部分。

问：中小企业有必要用零信任吗？答：如果存在远程办公、使用大量云服务或有敏感数据，就值得逐步引入，可从统一身份认证和多因素验证等基础环节做起。