6 项 Zero Trust 实施挑战（以及应对之道）

Zero Trust 的前景与悖论

Zero Trust 已成为现代网络安全战略的基石。其核心原则“从不信任，始终验证”处于零信任原则的中心，这些原则已在政府机构、受监管行业以及推进数字化转型的企业中获得广泛认同。其目标十分明确：实施严格的访问控制，验证身份与上下文，并假定每一个用户或设备都是潜在威胁。随着美国联邦 Zero Trust 战略等强制要求的出台，以及业界对零信任网络访问（ZTNA）的兴趣不断增长，这一势头是真实存在的。但对许多组织而言，零信任网络安全所承诺的成果仍然遥不可及，令人沮丧。原因何在？并非 Zero Trust 本身失败，而是当把 Zero Trust 项目当作一场非此即彼的全面转型来推进时，它们才会失败。

6 项常见的 Zero Trust 实施挑战

从理论上讲，将 Zero Trust 作为安全模型来实施并不复杂。但要在运行中的企业网络中将其落地运营，则完全是另一回事。大多数 Zero Trust 计划都会在以下环节受阻：

1. 成本与资源限制

Zero Trust 的难度常被低估。在混合网络中整合身份、分段与策略执行需要投入大量资源。

2. 部署复杂性

基于代理的方案会带来额外阻力，在存在遗留系统、既有资产和云原生应用的环境中尤为明显。由于软件与操作系统冲突，代理也未必能够安装在每一个工作负载上。

3. 策略蔓延

分散的防火墙、云 ACL 以及相互重叠的规则集，使得实施一致的零信任分段几乎无法实现。

4. 动态世界中的静态基础设施

常设规则、静态 IP 和手动配置会造成安全缺口，并削弱 Zero Trust 所要求的灵活性。

5. 可见性不足

孤立的工具、碎片化的环境和过时的资产清单，阻碍了统一的策略执行与审计（零信任网络分段的两大关键要素）。

6. 企业采用方式

另一项挑战在于企业采用 Zero Trust 的方式。通常有两条路径，而两者都伴随着风险：

• 一些组织从宏观层面入手，力求自上而下构建全面的 Zero Trust 架构。但项目范围会迅速膨胀。时间、人才和工具方面的投入变得难以承受，在缺乏针对关键资产的清晰访问管理时尤其如此，最终计划在自身的宏大目标之下陷入停滞。
• 另一些组织则直接投入战术性部署，在网络的某个特定区段中采用零信任网络访问（ZTNA）工具。这类部署往往在尚未全面了解资产关系或业务工作流的情况下就已展开。其结果是：技术上没有问题，但实施彼此孤立、无法扩展，也无法让组织更接近统一的 Zero Trust 态势。

这两种策略往往后继乏力，原因不在于技术存在缺陷，而在于策略缺乏一致性以及组织内部缺乏协同。如果没有切实可行、可扩展的策略基础，从基于边界的安全模式转型会比预期更加困难，而 Zero Trust 也会沦为又一个停留在试点阶段的流行语。

静态遗留系统的隐性威胁

许多 Zero Trust 实施的致命弱点是什么？遗留策略。常设访问规则和基于 IP 的权限会带来长期存在的盲区。在工作负载以秒为单位变化、威胁快速演进的环境中，静态策略会削弱自适应安全能力，当现代组织依赖云服务和远程办公时尤其如此。静态策略会削弱自适应安全能力。它们允许过度访问，违背最小权限原则，并在资产早已失去相关性之后仍将其暴露在外。您无法在遗留假设之上落实零信任方法。这正是 微分段与动态策略执行变得不可或缺的原因。零信任模型假定入侵不可避免，并依赖对访问的持续验证。但要实现这一点，仅仅部署一个新平台远远不够，它要求重新思考策略的创建、维护与执行方式。

我们可以采取的措施

与其尝试“推倒重建”式的彻底改造，组织更应对零信任分阶段、以策略为中心的方法采取网络分段。在运行中的企业网络中将其落地运营之所以困难，是因为许多组织缺乏清晰、具有指导性的规范以及切实可行的实施路线图：

• 专注于策略基本要素： 通过绘制 IT 环境图以实现精细化管控、监控网络流量与用户行为，并借助持续监控、监控工具和高级分析来检测潜在威胁，在混合基础设施中获得实时可视性。
• 规范并简化策略结构： 整合规则。使其与业务意图保持一致，而非与 IP 地址或设备类型对应，因为错误的设置可能带来防护缺口，甚至将整个部门拒之门外。
• 从现有资源入手： 大多数企业已经拥有功能完备的防火墙和分段工具。关键在于集中治理并改进围绕现有资产的编排，而不是更换硬件。
• 部署自适应护栏： 利用资产情报和风险上下文，以响应式、风险感知的策略取代静态控制，从而增强整体安全态势。

FireMon 的作用所在

FireMon 从根源上解决策略问题，加快迈向零信任网络安全的进程。我们帮助组织：

• 集中并规范管理防火墙和云策略，以管控精细化的安全访问
• 借助监控工具、高级分析以及对网络流量和用户行为的洞察，获得对访问与风险的实时可视性
• 通过持续监控，在混合与多云网络中一致地实施策略
• 无需更换基础设施即可实现零信任分段，为安全团队提供通过分阶段的策略改进来提升整体安全态势的可行途径

简而言之，FireMon 帮助您实施 Zero Trust，避免传统方法带来的业务中断，并支持迭代式推进：从宏观层面起步，验证现有分段，然后在高信任环境中进行有选择的、风险感知的细化。

Zero Trust 是一段旅程

Zero Trust 并非一款产品或某项单一技术；它是一种理念、一个持续的过程，也是一套依赖更优策略决策和可视性来支撑安全访问的零信任安全框架。在实践中，零信任安全是一种整体性方法，代表团队在身份、设备、应用和数据层面构建信任安全方式的根本转变，因此只有当您的安全策略与基础设施同样具备动态性时，这一过程才能奏效。无论您是从零开始，还是在扩展既有工作，前进的道路都始于清晰度、控制力，以及使用监控工具和高级分析对网络流量、用户行为和异常访问请求的持续监控，并辅以对自适应策略的坚持。现在就打好这一基础，否则您的 Zero Trust 战略将建立在流沙之上。