Zero-Trust

大家好，有同学要扶墙老师聊聊Zero Trust，那我们今天就聊聊Zero Trust

Zero Trust最早是1994年提出的概念，但很长一段时间内，我们都是基于“城堡与护城河模型”构建企业的信息安全体系的，最典型的就是分内网和外网，虚拟专用网（也就是VPN）就是这种传统模型的典型一员。

但传统的“城堡与护城河模式”有一个缺陷，那就是一旦有人“蒙混过关”进了内网，那就可以一马平川的搞破坏了。所以， 为了进一步提升企业的信息安全防护体系，Zero Trust逐渐跃上历史舞台，比如，早几年前开始，Google公司就已经取消了内网和外网之分。

Zero Trust的核心原则是“Never Trust, Always Verify”，翻译过来就是“谁也不信任，每次都得（重新）验证”， 从这个核心原则又可以衍生出像“implement least privilege”或者“Assume Breach”等原则， 总结起来就是“从严管理”，所以，像“划分更细的边界粒度来治理和管控”，也算是Zero Trust理念的一种体现。

打个不恰当的比方，现在（也就是2022年）的疫情管控下，每个省、每个城市、每个乡镇、每个村庄，如果都各自不信任，各自验证各种码，各自制定标准并承担风险，其实也就是一种Zero Trust。

战国四公子之一有一个叫信陵君，他“窃符救赵”的故事都听过吧？ 大家能从中看到Zero Trust的影子吗？ ；）