零信任从来不是装个网关
2026-11-03 02:14:15
作者：
fawen
上周三凌晨两点被电话喊起来。
是河西某做生鲜供应链的老客户，说被拖库了。
我套上外套打车过去的时候，路上还在想，去年他们刚花了十几万升级了防火墙，怎么还能出这种事。
到了机房才发现，偷数据的根本不是什么外部黑客，是三个月前离职的一个运营。他之前申请的VPN权限，没人销。家里的电脑直接连进内网，花了二十分钟把整个用户订单表拉走了。
内网从来不是绝对安全的净土
传统的网络防护逻辑，总觉得只要把边界守住，外面的人进不来，里面的人就不会搞事。
太天真了。
传统网络边界防护模型示意图
很多公司做了十年的内网权限管理，到最后连最近半年离职的员工账号有没有注销都查不清楚。更别说那些临时开的权限，测试用的账号，跨部门协作时给的临时授权，开的时候爽，关的时候全靠自觉。
去年某安全厂商给这家生鲜公司推过一套所谓的零信任解决方案，报价22万，核心就是在入口处装个零信任网关，说装完就能实现”零信任防护”。
他们当时差点签了。
说实话，这钱要是真花出去，除了给厂商冲业绩，半毛钱用都没有。网关装得再漂亮，那个离职运营的账号还在，权限还没限死，人家该怎么连还是怎么连。
最小权限不是写在方案里的口号
我当时蹲在他们工位旁边，对着权限列表翻了四十分钟，越看越头大。
客服岗要查所有用户的收货地址，仓储岗能导出所有sku的库存数据，运营岗甚至能直接修改订单金额。就离谱。
零信任动态权限校验流程图
这些权限全是当初业务刚起来的时候，为了图方便一次性开的，之后再也没人收过。大家默认”自己人”不会搞事，所以权限给得越宽松，干活越方便。
可零信任的核心，从来不是什么复杂的加密算法，就是把这些松垮的权限，往回拉一点。说穿了就是永不信任，始终校验，没有什么账号是可以永远免审的，没有什么权限是可以一直开着的。
比如运营岗，你只需要看自己负责的华东区订单，那就给你开华东区的查询权限，其他区域的你根本看不到。比如用户的手机号，你只能看到前三位和后四位，中间的打码，真要联系用户走系统外呼就行。
每次有人要申请临时权限，别光走个审批就完事，记好时效，到期自动收回。
我当时在他们系统里翻权限列表的时候，还发现个刚入职两周的实习生，之前帮测试搭环境的时候给了数据库写权限，忘了关。我喊他当场登上去看了下，他自己都吓一跳，说原来我能直接改所有测试数据啊。
真落地根本不需要一步到位
真落地根本不需要一步到位
很多团队一听到零信任，第一反应就是”我们公司小，没那个预算没那个精力搞”。
不过话说回来，你真要按大厂的那套全量替换，确实要花不少钱，但落地哪有那么多一步到位的。
你先从最高危的风险点开始动。
比如先把过去一年所有离职人员的账号全清一遍，所有临时开的超过一个月没收回的权限，全销了。这一步可能花个两三天，就能挡住八成的内部风险。
然后再慢慢把数据库的权限拆细，按岗位按区域按字段来，别一上来就给个全库权限。再往后，每次员工访问核心系统的时候，多做一步校验：是不是常用设备，是不是常用的办公地点，有没有短时间内批量导出数据的异常操作。
这些动作加起来，根本花不了多少钱。
那个生鲜公司后来花了两周时间调权限，也没买什么新的硬件。上周我跟他们老板吃饭，他说现在没再出现之前的拖库问题，就连之前因为权限太松导致的员工重复导出数据、搞错订单的问题，也少了很多。
他之前总觉得零信任是互联网大厂玩的高大上概念，离自己这种几十人的小公司远得很。
其实哪有那么玄乎。
说白了就是别再把内网当成绝对安全的保险柜，别给任何人超出工作需要的权限。
就这么简单。
免责声明：市场有风险，选择需谨慎！此文仅供参考，不作买卖依据。如有侵权请联系删除。
文章名称：
零信任从来不是装个网关
文章链接：https://www.itcdj.com/it/411.html