摘要： 针对企业业务上云与远程办公常态化背景下传统边界安全模型失效的问题，本文以某中型制造企业信息系统安全架构升级项目为背景，论述了零信任安全架构的设计与落地实践。项目遵循"永不信任、始终验证、最小权限"原则，以身份为控制核心，采用SDP/ZTNA解决南北向接入信任问题、微隔离压缩东西向横向移动路径的互补技术路线，分阶段完成从传统VPN模式向零信任模式的迁移。重点分析了遗留系统协议断层、持续认证与用户体验的平衡、策略执行性能损耗以及组织文化阻力四类落地难点，并给出了应用网关代理适配、风险自适应认证、控制面与数据面分离及渐进式推广的对应措施。实施后互联网暴露面显著收缩，未授权访问尝试大幅下降，但存量系统适配的长期维护成本与零信任策略治理的复杂性仍是需要正视的不足。
关键词： 零信任架构；软件定义边界；微隔离；持续验证；最小权限
一、项目背景与架构设计职责
1.1 项目概况
2025年至2026年，我参与了某中型制造企业的"信息系统安全架构升级项目"，在该项目中担任架构设计组负责人。该企业拥有员工约一千二百人，核心业务系统包括ERP、MES、PLM以及OA、财务等十余套应用。系统部署形态为混合模式：ERP与MES运行在自建数据中心，PLM及协同办公类应用已迁移至公有云，研发与销售团队存在大量远程和移动办公需求。
项目启动的直接诱因是一次安全事件：攻击者通过钓鱼邮件获取了一名远程办公员工的VPN凭证，利用VPN"认证即入网"的特性进入内网后，借助服务器之间的默认互信关系横向移动，最终触达两台测试服务器，虽未造成核心数据泄露，但暴露了传统边界模型的结构性缺陷------VPN的一次认证赋予的是网段级可达性，而非应用级授权；终端设备的安全状态完全游离于访问决策之外；连接日志无法还原"谁访问了什么"。企业决定以此次事件为契机，将安全架构从"边界防护"转向"零信任"。
1.2 本人承担的主要架构设计工作
作为架构设计组负责人，我的工作贯穿项目全周期，核心职责集中在三个层面。第一，目标架构与迁移路径设计。主导完成了零信任目标架构的分层设计，明确了控制平面（策略决策）与数据平面（策略执行）的分离原则，并制定了"远程接入先行---核心应用加固---内部微隔离延伸"的三阶段迁移路线。第二，关键技术选型与集成方案。负责SDP/ZTNA方案与既有IAM体系、终端管理平台的对接设计，以及数据中心微隔离技术路线的评估与选型，最终确定了南北向以SDP/ZTNA为主、东西向以主机代理式微隔离为主的互补架构。第三，落地难点攻坚与策略治理框架设计。针对遗留系统不支持现代身份协议、持续认证引发体验下降、策略执行路径性能损耗等问题，设计了应用网关代理适配层、风险分级的自适应认证机制以及旁路加速与策略缓存方案，并牵头制定了跨安全、网络、应用三方团队的策略变更评审流程。
二、零信任架构的核心组件、原则及与传统边界安全的对比
2.1 核心原则
零信任并非某一款产品的名称，而是一套以"消除隐式信任"为起点的架构理念。NIST SP 800-207将其凝练为若干核心原则，其中最具操作指导意义的是三条：其一，网络位置不构成信任依据。无论请求源自内网还是外网，都不能因"在内网"而自动获得信任；每一次访问都必须基于身份、设备状态、行为上下文等多维信号进行显式验证。其二，最小权限与按需授权。授权粒度应从"网段可达"收缩到"应用可访问"乃至"功能可操作"，且权限应具有时效性，任务完成后即行回收。其三，假设失陷与持续评估。架构设计应默认网络环境可能已被渗透，安全控制不应寄望于阻止一切入侵，而应着眼于在入侵发生后限制横向移动、缩短攻击驻留时间，并通过持续监控实现快速发现与响应。
2.2 核心组件
从功能架构看，零信任体系可归纳为"一个决策中枢、两条执行路径、一个反馈闭环"。决策中枢是策略引擎与策略管理员（Policy Engine / Policy Administrator），负责汇聚身份系统、终端管理平台、威胁情报和行为分析的多源信号，计算信任评分并生成授权决策。执行路径之一面向南北向流量，以SDP（软件定义边界）或ZTNA（零信任网络接入）为代表，遵循"先认证后连接"原则，通过单包授权（SPA）等机制使未授权主体无法探测到服务端口的存在，并将访问粒度控制在应用级而非网络级。执行路径之二面向东西向流量，以微隔离为核心，在服务器或容器层面实施细粒度的通信白名单，默认拒绝一切未经显式授权的服务器间连接，从而压缩攻击者在数据中心内部的横向移动空间。反馈闭环则由持续监控与分析系统承担，它将每一次策略决策的日志、会话行为序列和设备状态变化回流至分析引擎，驱动信任评分的动态更新和策略的迭代优化。此外，统一身份与访问管理（IAM）和多因素认证（MFA）构成整个体系的身份基座，设备合规检查则提供终端侧信任输入，二者与上述决策和执行组件协同运转。
2.3 与传统边界安全架构的差异与适用场景
传统边界安全与零信任的分野不在于是否使用防火墙或加密，而在于信任的授予逻辑。传统模型以"内网可信、外网不可信"为基本假设，安全策略集中施加于网络边界，一旦主体穿过边界（如通过VPN接入），便在较大范围内获得隐式信任，内部资源之间的访问约束相对薄弱。这种模型在业务集中于单一数据中心、人员固定办公的条件下具有部署简单、管理成本低的优势，至今对于物理隔离环境或高度封闭的OT网络仍有一定适用性。但其根本缺陷在于：当业务上云、远程协作和第三方接入成为常态，网络边界本身已不再是稳定的控制点；更关键的是，隐式信任意味着攻击者一旦突破一道防线，就能在内部以极低成本扩展控制范围。
零信任则用身份边界替代网络边界，将信任决策从"一次性的边界检查"转变为"每一请求的持续评估"。在访问控制粒度上，它从网段/端口级收缩到应用/功能级；在会话管理上，它从登录后长时间有效转变为会话期间持续评估、风险变化即触发重认证或降权；在安全效果的着眼点上，它不追求"绝对不被突破"，而是追求"突破之后无法扩散"。代价是架构复杂度和持续运营成本的显著上升：零信任需要统一身份源、终端agent覆盖、策略引擎和全链路审计的协同运转，其落地是一个持续工程而非一次性采购。因此，零信任更适用于边界模糊、远程接入频繁、内部横向移动风险高的信息系统场景，尤其是已发生或高度担忧凭证泄露导致横向渗透的组织；而对于网络拓扑高度静态、内部互访需求极少的封闭系统，传统边界加固仍具有合理的经济性。
三、项目实践：方案设计、技术选型、难点与效果
3.1 方案设计与技术选型
项目采用了"SDP/ZTNA管控南北向 + 主机代理式微隔离管控东西向"的分层方案，控制平面与数据平面分离。
南北向接入层选型SDP/ZTNA。核心机制为SPA单包授权：客户端在获得访问权限之前，对目标服务的网络探测得不到任何响应，服务端口对未授权主体"隐身为不可见"。认证通过后，SDP网关建立应用级隧道，用户只能访问策略授权的特定应用，无法通过该隧道到达其他内网地址。这一设计直接消除了VPN模式下"一次认证、全网可达"的风险。身份源方面，对接企业既有AD/LDAP并同步组织架构，同时集成钉钉作为移动端辅助身份源；MFA覆盖全部远程接入用户，对高敏感应用（财务、ERP核心模块）强制启用TOTP二次验证。
东西向隔离层选型主机代理式微隔离。在数据中心服务器和云上工作负载上部署轻量级代理，以工作负载为最小策略单元，采集进程级通信关系，生成"默认拒绝、按需放通"的通信白名单。选型时曾评估基于SDN流表的网络侧微隔离方案，但其对既有网络设备改造要求高、且难以覆盖跨云和混合部署场景；主机代理方案虽然需要在每台服务器上部署agent，但对存量网络拓扑的侵入性更低，且策略粒度可以下沉到进程和端口，更契合本项目混合部署的现实条件。
决策与评估层由策略引擎统一承担。策略输入包括：用户身份与角色（来自IAM）、设备信任评分（来自终端管理系统，综合OS版本、补丁状态、杀毒软件、磁盘加密等维度）、访问上下文（时间、地理位置、行为基线）以及应用敏感等级。策略输出不仅包含"允许/拒绝"的二值决策，还支持"降级授权"（如低信任设备仅允许只读访问）和"触发重认证"的中间态，从而在安全与可用性之间保留调节空间。
迁移路径遵循"并行运行---核心迁移---VPN下线"的三阶段策略。第一阶段将远程办公和OA类应用接入SDP，与VPN并行运行，验证体验和策略正确性；第二阶段将ERP、MES等核心系统迁入SDP管控，同时启动数据中心首批高价值子网的微隔离策略部署；第三阶段在策略稳定运行后下线VPN，并将微隔离扩展至应用层与办公网。
3.2 落地难点与解决措施
难点一：存量系统的身份协议断层。企业ERP系统建设于十余年前，仅支持用户名/密码的本地认证，不兼容SAML或OAuth 2.0，直接改造认证模块风险极高------核心业务逻辑复杂，"动一发而牵全身"。解决措施是引入应用网关代理适配层：在SDP网关与老旧应用之间部署反向代理组件，由代理层完成现代身份协议的终结与转换，对后端应用以"虚拟用户+固定强凭证"的方式发起连接。用户侧的零信任认证在代理层完成，应用本身无需感知协议变化。这一方案以较低的侵入性实现了存量系统的零信任接入，但代价是增加了一层需要维护的代理组件和额外的凭证管理复杂度，属于可接受的工程折中。
难点二：持续认证与用户体验的张力。零信任要求会话期间持续评估风险，但若每一次网络切换或设备状态微小波动都触发重认证，远程办公和移动场景下的体验将严重恶化。项目初期采用全量MFA后，用户投诉量明显上升。解决措施是实施风险分级的自适应认证：将信任评估结果划分为若干等级，仅在风险等级跨越阈值时触发重认证或降权，而非每一请求都执行交互式验证。具体规则包括------同一可信设备在短时间内网络环境变化（如Wi-Fi切换）不触发重认证；设备信任分持续下降（如杀毒软件关闭）触发降级授权而非直接中断；访问敏感度跃升（从OA跳转到财务模块）时强制重认证。这一设计将"持续验证"从"持续打扰"中解耦出来，在维持安全底线的同时显著降低了认证疲劳。
难点三：策略执行路径的性能损耗。零信任的每一请求决策和隧道加解密都会引入延迟。项目在压测阶段发现，SDP网关在并发连接数攀升时，TLS终结和策略匹配成为瓶颈，远程访问的文件传输场景出现了可感知的延迟增加。解决措施包括三个层面：在数据面，对SDP网关采用DPDK加速的用户态协议栈优化，将TLS终结和策略查表从内核协议栈路径中旁路，降低单包处理开销；在策略层面，对高频访问路径的策略进行预编译和缓存，缩短决策时延；在架构层面，将SDP网关按地域和业务域分布式部署，避免单点汇聚导致的排队延迟。经过优化，生产环境中SDP接入引入的附加延迟控制在可接受范围内，未成为业务体验的显性瓶颈。
难点四：组织文化阻力与策略治理。零信任的最小权限原则必然触及既有工作习惯。业务部门对"以前能直接访问的资源现在需要申请"存在抵触，倾向于以"影响业务"为由申请策略豁免。项目的应对不是单纯依靠安全团队推动，而是建立了三方策略变更评审机制（安全、网络、应用团队联合评审）和基于访问日志的定期权限复核。每一次策略豁免必须有明确的业务理由和有效期，到期自动回收；同时通过可视化的访问关系图谱向业务方展示"你实际用到的资源"与"你被授予的资源"之间的差距，将"最小权限"从安全团队的诉求转化为可被业务方理解的效率与风险议题。这一治理安排虽然增加了策略管理的流程开销，但有效遏制了策略的"熵增"趋势。
3.3 实施效果
迁移完成后，以下几项指标的变化具有代表性：互联网暴露面大幅收缩，SDP"先认证后连接"机制使未授权扫描无法发现服务端口，对外暴露的服务端点数量较VPN时期下降了一个数量级；横向移动风险显著降低，微隔离策略在核心数据子网实现默认拒绝后，即便在渗透测试中获得了单台服务器的控制权，向邻近高价值资产扩散的路径也被大幅切断，攻击路径长度明显缩短；访问审计覆盖率从VPN时期的"连接日志"提升为"应用级操作日志"，安全团队能够还原"谁、从什么设备、在什么时间、访问了哪个应用的哪个功能"的完整链路，事件溯源的效率从数天级压缩到小时级；设备合规基线得到强制执行，不合规终端不再像VPN时代一样可以"带病入网"，而是根据信任评分被降级或阻断，终端合规率在策略强制执行后持续处于高位。
3.4 不足与反思
尽管项目达到了预期的安全目标，但仍存在若干需要正视的不足。第一，存量系统适配层的长期技术债。应用网关代理虽然解决了协议断层问题，但代理层本身成为新的维护负担：每新增一个遗留系统接入，就需要配置和维护一套代理规则；代理层的高可用和性能容量规划也需要持续投入。长期来看，推动核心系统的身份协议现代化仍是更彻底的解法，但受制于业务连续性约束，这一进程将相当漫长。第二，策略治理的复杂性随覆盖范围非线性增长。SDP阶段策略主要围绕"用户---应用"维度，管理难度尚可；进入微隔离阶段后，策略维度扩展到"工作负载---进程---端口---方向"，策略数量和冲突可能性急剧上升。项目目前依赖人工评审和定期复核，尚未建立自动化的策略一致性校验和冲突检测能力，这是后续优化的重要方向。第三，零信任对"内部人员滥用合法权限"的约束仍有边界。零信任擅长限制凭证泄露后的横向扩散，但当一名合法用户在授权范围内进行恶意操作（如导出其有权访问的数据），访问控制本身无法阻止，需要依靠数据分类分级、DLP和行为分析来形成补充防线。第四，"安全---效率"的平衡在初期确实存在摩擦。零信任部署初期可能因身份管理和持续评估的开销而降低接入效率，效能随成熟度提升呈先降后升的"U型"关系。本项目的体验投诉集中在迁移初期，随着自适应认证策略的调优和用户习惯的建立而逐步回落，但这提示零信任的推进节奏不宜追求"一步到位"，渐进的、可回退的迁移策略更为稳妥。