简介面向网络安全架构师、运维人员及企业安全决策者的一份技术资料系统梳理2021年国内外主流零信任解决方案。文档以“从不信任总是验证”为核心理念逐一分析Google、思科、微软、IBM、Akamai等厂商的代表性方案包括谷歌BeyondCorp Enterprise的无代理架构与持续验证机制思科结合Duo Security的三大领域零信任策略微软在Azure Active Directory条件访问与异常检测方面的增强IBM基于最小特权与缺陷假设的零信任蓝图以及Akamai在边缘侧交付的远程访问服务。每部分均提炼了设计思路、关键产品和适用场景便于横向对比和选型参考。资料为单个docx文档约133KB已有109人学习。对于正在规划零信任建设或希望了解头部厂商落地实践的技术团队这份盘点可快速建立全景认知节省文献搜集时间适合作为方案预研、技术评审与内部培训的基础材料。1. 零信任不是防火墙升级版先拆开 SDP、ZTNA 与微隔离2021 年安全团队讨论度最高的话题就是零信任但真正动手做过改造的人会发现零信任不是一台设备、不是一款产品而是一套“不信任位置、只信任证据”的决策框架。护网防守和远程办公接入改造中传统边界方案对失陷终端与横向移动几乎无解这正是 Google、思科、微软与腾讯、深信服、奇安信在 2020 至 2021 年间密集发布零信任产品的原因。这篇盘点覆盖国内外十余家方案按 SDP、零信任网络访问ZTNA、微隔离三条路线拆解最后落到单包授权、访问网关与动态信任评估的可复现配置。适合正在做零信任选型、PoC 或等保合规改造的从业者对做攻防对抗的同事也能看到各家方案的取舍差异。2. 海外零信任方案拆解BeyondCorp、Duo、ZPA 的架构取舍海外厂商比本土更早把零信任产品化而且路线分化明显一类从身份与设备侧管控切入一类从网络访问收敛入手还有一类直接在数据中心内部做工作负载微隔离。理解这些取舍能帮我们在规划自研零信任平台时确定哪些组件不可省略也方便对照后面的本土方案。2.1 Google BeyondCorp默认不信任内网设备画像是第一道门Google BeyondCorp 自 2011 年在内部部署是最早把“内网默认不可信”变成工程实践的方案。它不根据用户在办公室还是咖啡厅来开放访问权而是综合设备证书、补丁版本、用户身份、访问上下文做出动态判断并强制执行访问分级。2020 年 BeyondCorp Remote Access 上线2021 年初 BeyondCorp Enterprise 替代旧产品对外商用核心变化是增加了内嵌数据保护、威胁检测、DDoS 防护与证书全生命周期管理。这套体系最值得借鉴的是它的接入层设计访问能力直接做进 Chrome终端无需安装独立客户端服务端对每次交互持续授权。注意 BeyondCorp Enterprise 强调“持续授权”即会话建立后不是一劳永逸而是每个请求都重新评估上下文。从工程落地看它真正的门槛不在策略引擎而在设备身份管理一台设备从不可信到可信需要登记、证书签发、合规状态采集三个环节任何一环缺失都会导致策略误判。能力层关键组件说明接入层Chrome 内置访问控制免装客户端浏览器内生连接降低终端部署阻力策略层设备信息 用户身份 上下文位置不作为信任依据风险信号实时参与授权数据层内嵌数据保护与威胁检测对传输内容和会话行为做持续检查生态层BeyondCorp Alliance与多家终端、网关厂商联动扩展威胁情报来源2.2 思科收购 Duo 补齐身份Tetration 做数据中心微隔离思科的零信任组合是典型的“拼图式”演进。2018 年收购 Duo Security 后思科补齐了多因素认证与设备信任评估能力跨网络、用户和设备的自动化安全更新把身份、端点和网络工具真正串了起来。相比 Google 的单点体系思科更强调分场景管控——面向员工、面向工作负载、面向办公场所三条线并行而不是一刀切封锁。员工侧由 Duo 保证“合法用户 安全设备”才能访问应用工作负载侧用 Tetration 配合 ACI 与 Firepower控制进出工作负载的最小特权重点压制横向移动办公场所侧以 SD-Access 和 ISE 构建接入信任控制IOT 设备同样纳入管控。这套设计对不同资产采用不同强度的管控手段适合网络基础扎实、愿意做多组件联动的企业。2.3 Zscaler ZPA 与 Akamai EAA把应用从互联网上藏起来Zscaler ZPA 和 Akamai Enterprise Application Access 的共同思路是让私有应用不直接暴露地址。ZPA 模式下未授权用户完全看不到应用存在应用连接由内向外延伸而不是把网络开放给用户Akamai 则借助智能边缘平台把用户到应用的连接拆成两段由托管平台完成身份校验与连接转发后端服务的真实入口不对外暴露。这类方案在实战里最大的收益是缩小攻击面端口扫描看不到业务自动化攻击脚本就失去了目标。在验证应用是否真的不可见时我常用 nmap 做全端口基线扫描记录下来作为授权前后对比的依据nmap -sS -p 1-65535 --open -T4 应用网关IP-sS 表示 TCP SYN 半开扫描速度较快且能减少应用日志噪音-p 1-65535 遍历全端口--open 只显示 open 状态端口-T4 是时间模板适合授权测试环境。如果扫描结果里出现大量不必要的 open 端口说明应用服务仍然直接暴露在网络上零信任网关前面的访问控制还没有完全生效。2.4 微软与 IBM身份侧强化与蓝图式合规落地微软在 RSAC2021 发布的新零信任功能核心是 Azure Active Directory 条件访问的精细化配置管理员可以为不同用户组、不同设备状态设置差异化策略Defender for Endpoint 增加了 Linux 支持威胁与漏洞管理能直接下发修复任务。Azure Sentinel 的 UEBA 模块用于发现异常用户行为Cloud App Security 负责检测云服务中的数据外泄尝试。微软路线适合已经深度使用其生态的企业身份源与端点管控天然打通。IBM 更偏向方法论输出。Cloud Pak for Security 在 2021 年推出 SaaS 版本配合“严控特权访问、永不轻易信任、始终进行验证、假设存在漏洞”四项设计原则落到保护客户隐私、混合办公安全、内部威胁防护、混合云安全四个用例。对甲方来说这类蓝图的价值在于把零信任理念映射为可评审、可验收的安全控制项而不是停留在 PPT 层面。厂商与路线信任锚点落地重心Google设备 身份 上下文Chrome 免客户端持续授权思科身份 网络 工作负载员工、负载、场所三层联动Zscaler / Akamai应用可见性隐藏应用地址按会话授权微软 / IBM身份 端点 / 框架条件访问精细化与合规体系海外阵营里还有几个值得注意的玩家Okta 收购 ScaleFT 补齐零信任访问能力Palo Alto Networks 通过多次收购把 CASB、云身份引擎和机器学习防火墙组合成完整产品线Cato Networks 走云原生 SD-WAN 加 SASE 平台路线Illumio 与 Netskope 分别在微隔离和安全 Web 网关侧深耕。这些厂商的存在说明零信任已经渗透到身份、网络、端点、数据四个象限选型时先定位自己的短板象限比对比功能清单更有效。3. 本土零信任方案盘点从 4A 办公到等保合规的落地路线本土零信任的进展不只是理念宣传腾讯把零信任和办公场景深度绑定深信服强调动态自适应访问控制奇安信推动零信任国家标准立项蔷薇灵动专注数据中心内部微隔离。与海外方案相比本土产品更强调与等保 2.0、密评规范以及国产化终端的兼容性落地时通常直接面对“不替换现网设备、不改变员工习惯能不能做零信任”的约束。3.1 腾讯 iOA把零信任拆成“4A 办公”能力腾讯 iOA 5.0 的核心逻辑是以可信身份、可信设备、可信应用、可信链路四要素为授权前提强制所有访问经过认证、授权与加密。2021 年腾讯把 iOA 拆成三个版本KA 版采用集群部署面向大型企业完整体系SaaS 版专门适配企业微信安全访问内网场景轻量版聚焦远程运维和移动办公。特别值得关注的是 iOA 与企业微信的联动在移动端可以直接用企业微信身份完成多因素认证这种与办公生态深度绑定的方式在国内有很强的渗透力。3.2 深信服 aTrust网络隐身与动态自适应认证深信服 aTrust 的定位是“流量身份化”与“动态自适应访问控制”。实现上依靠网络隐身默认不对未授权终端暴露服务端口、终端动态环境检测、全周期业务准入和智能权限基线多源信任评估结果决定设备能拿到多高的权限等级。aTrust 能对接态势感知平台把第三方风险信号纳入授权决策也支持 WEB 资源免客户端访问降低终端适配成本。在实际配置时下面的授权维度通常是策略模板的核心字段。这些参数不是随意设定的它们分别回答三个问题谁能进来、设备干不干净、进来之后能做什么。PoC 阶段建议先用宽松基线观察误拦情况后再逐步收紧。策略维度参数示例建议初始值说明身份认证MFA / 短信 / 企业微信扫码全员 MFA设备首次接入必须二次认证设备合规补丁版本、防病毒进程、磁盘加密基线合规才允许访问核心业务合规状态变化后动态收权信任等级0-100 分映射策略区间低于 60 触发二次认证低于 30 阻断等级随环境风险实时调整权限基线按角色划分最小权限集合新员工只放开协作应用定期核对权限基线3.3 奇安信、绿盟与启明星辰信任评估与合规对接的工程化奇安信的零信任身份安全解决方案本身是一套完整方法论以身份为基石对用户、设备、应用程序建立统一数字身份标识业务访问请求一律经过认证、授权与加密持续信任评估汇聚多源数据动态访问控制根据主体属性与信任等级实时调整权限。2020 年由奇安信牵头的《信息安全技术 零信任参考体系架构》在全国信息安全标准化技术委员会立项成为零信任领域第一个国家标准立项这给行业提供了统一术语和框架参照。绿盟把信任拆成用户可信、设备可信、行为可信三类访问会话建立后持续评估行为发现异常立即降低信任等级必要时切断访问。启明星辰强调控制与执行平面分离采用 SPA 和默认丢包策略实现网络及应用隐身同时兼容等保、密评要求。这类方案的共同点是信任不再是一次性认证的结果而是一条随时间变化的曲线策略引擎必须能对曲线变化做出实时响应。3.4 微隔离在国内的落地蔷薇灵动蜂巢与业务流图谱微隔离是零信任里最容易“说了不做”的部分因为要对数据中心内部流量做细粒度访问控制。蔷薇灵动蜂巢平台的做法分五步确定管理对象、构建业务流图谱、构建零信任网络架构、部署安全策略、持续监控网络。业务流图谱的价值在于先搞清楚哪些服务和哪些服务必须通信再生成最小白名单策略直接禁止全部流量通常会把健康检查、监控探针和备份链路一并切断。物理机环境微隔离的常用载体是系统防火墙云环境则用安全组。下面是一个最小落地对照配置# 物理机微隔离仅允许应用服务器访问数据库 3306 端口 iptables -A INPUT -p tcp --dport 3306 -s 172.16.1.10 -j ACCEPT iptables -A INPUT -p tcp --dport 3306 -j DROP{ security_group: db-tier, inbound_rules: [ { source: 172.16.1.0/24, port: 3306, protocol: tcp, action: allow }, { port: 0-65535, protocol: any, action: deny } ] }第一条 iptables 规则放行应用服务器网段对数据库 3306 的访问第二条丢弃其他来源顺序必须是先放行后丢弃否则全部被 DROP。JSON 安全组规则用默认 deny 兜底新增来源必须显式写 allow避免出现“开完又忘”的临时放行规则。策略上线前先在测试环境观察一周流量基线再下发生产策略。国内还有一批差异化厂商值得放进评估清单阿里云的远程办公零信任方案把终端安全管理、动态决策管控和 IDaaS 统一认证组合在一起亚信安全把零信任与 4A 堡垒机结合在运营商 5G 专网场景落地芯盾时代融合 SDP、增强型 IAM 和微隔离三项技术聚焦业务安全网宿 SecureLink 遵循 CSA 的 SDP 标准并整合全链路加速缔盟云太极界用虚拟安全域隔离办公网与互联网访问云深互联深云 SDP 连续入选 Gartner 零信任网络访问市场指南蒲公英基于 SD-WAN 延伸零信任边界主打快速部署。这些方案说明零信任在国内并没有收敛成单一形态而是跟随业务场景分化出远程接入、数据防泄露、统一运维三条细分路线。4. 零信任落地实操SPA 开孔、访问网关与信任评分从厂商盘点回到工程实现零信任落地本质上就是把三件事做成闭环默认拒绝连接、身份与策略校验、按信任等级动态授权。三个环节可以先用开源组件验证再替换为商业平台。4.1 用 fwknop 部署单包授权默认 DROP 才是真正隐身很多团队以为把端口从公网移除就是隐身实际上端口映射、云安全组和边界防火墙都可能残留开放端口。SPA 的思路是服务端默认丢弃一切未授权连接只有携带加密令牌的单包到达后才临时放行来源地址和端口。fwknop 是实现 SPA 的常用工具服务端访问控制配置如下# /etc/fwknop/access.conf SOURCE ANY OPEN_PORTS tcp/8443 FW_ACCESS_TIMEOUT 30 REQUIRE_SOURCE_ADDRESS Y KEY_BASE64 服务端密钥 HMAC_KEY_BASE64 HMAC密钥客户端发送授权包时使用如下命令fwknop -A tcp/8443 -a 客户端IP -D 服务端IP \ --key-base64 客户端密钥 --hmac-key-base64 客户端HMAC密钥配置里 SOURCE 限定允许的源地址OPEN_PORTS 指定鉴权后要放行的端口FW_ACCESS_TIMEOUT 表示放行窗口时长超过后防火墙规则自动删除回归 DROP 状态。客户端 -A 声明目标端口-a 声明自己的来源地址服务端校验 HMAC 后才会实际添加放行规则。客户端与服务端必须使用一致的密钥对FW_ACCESS_TIMEOUT 建议不超过 60 秒窗口越大被伪造成合法请求的利用风险越高。提示SPA 只负责隐藏与放行不负责身份认证。真正授权仍要由应用网关或 IdP 完成两者不要混为一谈。4.2 访问网关策略把身份校验与授权决策固定成配置网关层负责处理“证明你是谁”和“你被允许做什么”两件事。零信任网关不一定要上重型商业产品用 OpenResty 或 Kong 也可以承载关键是策略配置的结构要清晰。下面是一个简化的网关应用策略配置gateway: listener: 8443 tls: min_version: TLSv1.2 apps: - name: finance upstream: https://app-finance.internal:443 severity: high auth: providers: [sso-corp] mfa: required device_policy: os: [windows, macos] disk_encryption: required patch_level: 2021.06 trust: min_score: 70 action_above: allow action_below: challenge_mfa action_under_40: denylistener 声明网关对外端口tls 指定最低 TLS 版本upstream 指向内部应用地址auth.providers 指定统一身份源mfa 表示必须二次认证device_policy 定义终端准入条件trust 段把信任评分映射到三类动作70 分以上直接放行40 到 70 分之间触发追加认证低于 40 分拒绝。阈值按业务风险调整财务系统建议放行线提到 85 分内部 Wiki 可以放宽到 60 分。策略文件上线前要验证证书链、上游健康检查和会话超时参数避免出现“网关通过但业务接口 502”的状态。4.3 动态信任评估把多源风险信号合并成可执行分数信任评估是零信任区别于传统 ACL 的关键。常见信号包括设备补丁状态、是否命中威胁情报、接入位置是否异常、行为是否偏离历史基线。下面是一个轻量评分函数的 Python 实现演示多信号融合逻辑def trust_score(device_patch_ok, threat_hit, geo_anomaly, behavior_anomaly, base60, patch_weight15, threat_weight35, geo_weight20, behavior_weight25): score base if device_patch_ok: score patch_weight if threat_hit: score - threat_weight if geo_anomaly: score - geo_weight if behavior_anomaly: score - behavior_weight return max(0, min(100, score))初始 base 是 60设备补丁合规加 15 分命中威胁情报减 35 分地理位置异常减 20 分行为异常减 25 分。最后做 0 到 100 的截断。生产中建议把评分拆成实时值和滑动窗口值两部分最近 5 分钟内的行为异常权重更高历史事件影响随时间衰减。分数变化后由策略引擎触发会话重评估而不是等下一次登录才生效。4.4 上线后最常见的四类排错问题零信任体系牵扯终端、网关、身份源三个环节问题排查比传统架构复杂。下面是上线初期最常遇到的四类问题症状可能原因处理方式授权后仍无法访问网关时间不同步导致令牌校验失败用 chronyc tracking 检查客户端与服务端时钟偏差手机端提示连接失败证书链不含中间证书用 openssl s_client -connect 域名:端口 检查签发链部分用户频繁被二次认证设备指纹采集权限未授予检查终端软件是否获得补丁、进程列表读取权限网关日志大量 401身份源回调地址被浏览器拦截检查 IdP 白名单与回调 URL 配置排查的第一步是确认是哪一端拒绝的终端、网关、身份源还是后端应用。可以在客户端和服务端各抓一次包对比连接是否建立如果客户端请求已经发出而网关没有响应优先查防火墙放行规则和端口绑定地址。时间偏移导致的令牌失效在零信任环境里非常常见建议把 NTP 对时写入终端合规基线作为信任评分的必要检查项。5. 用攻击者视角验证零信任从端口探测到会话撤销零信任部署完成后不做验证很可能只是“看起来安全”。我的习惯是从攻击者视角做三轮测试授权前探测、授权后访问、撤销后复测用同一组命令验证策略是否真正生效。5.1 授权前全端口探测应无任何开放在未携带任何令牌的情况下执行全端口扫描理想结果是所有端口都显示 filtered 或 closednmap -sS -p 1-65535 -T4 --reason 192.0.2.10--reason 会显示端口状态判定依据admin-prohibited 说明防火墙显式丢弃connection-refused 说明服务在监听但被拒绝。如果出现 open 端口依次检查服务绑定地址、云安全组入站规则、系统防火墙三条链路。5.2 授权后只有网关端口开放业务路由被强制接管完成 SPA 与网关认证后再扫描应该只能看到网关暴露的访问端口。通过网关访问内部应用正常但绕过网关直连内部服务必须失败。这一步同时验证了网关的强制接管能力——如果直连仍通说明应用侧还存在旁路入口需要收敛服务监听地址。5.3 撤销会话后信任状态必须立即失效最后测试三类撤销场景用户主动注销、管理员踢下线、设备信任评分降到阈值以下。每次撤销后后续请求都应被拒绝可用循环快速验证for i in 1 2 3 4 5; do curl -s -o /dev/null -w %{http_code}\n \ --resolve app.corp.test:8443:192.0.2.10 \ https://app.corp.test:8443/health sleep 2 done每次请求打印 HTTP 状态码撤销后预期输出 401 或 403且不再出现 200。--resolve 的作用是绕过 DNS 直接指定目标 IP排除环境内 DNS 干扰。响应码从 200 变成 401/403 的时间差就是这套零信任体系的实际最大失效时间如果撤销很久后仍能访问说明网关侧的会话缓存或令牌 TTL 配置有遗漏需要缩短授权缓存的有效期。测试完成后把端口扫描结果、状态码变更时间、设备评分变化记录存档作为攻防演练与等保测评的佐证材料。下一轮策略调整时仍然从这三组扫描开始新出现的端口就意味着配置已经发生偏离。本文还有配套的精品资源点击获取