别急着上零信任：网络安全的本质是信任经济学

我在安全圈混了十几年，见过不少“银弹”。防火墙出现了，说能防一切；后来有了IDS，然后是SOC，再到现在的零信任。每个概念出来都吹得天花乱坠，但现实是：SolarWinds还是被黑了，Log4j漏洞让全世界的服务器裸奔了一个月。问题出在哪？我认为不是技术不够硬，而是我们都搞错了重点——网络安全根本不是技术问题，是信任的成本和收益问题。

传统安全模型是“筑墙”：把内网当成安全区，外部是危险的。但2020年SolarWinds攻击中，黑客伪造了签名更新时间，让60%的财富500强都装上了恶意“更新包”。墙还在，但墙上的门是信任的第三方开的。零信任提出“永不信任，始终验证”，这听起来很酷，但你知道Google做BeyondCorp花了多少钱和时间吗？整整7年，动用了十几个安全团队，才把内部的旧系统改造完。普通企业别说7年，连上零信任的最小可行产品都要折腾一年半载，期间业务早被拖垮了。

我认为安全架构应该像“城市管理”而不是“筑墙”或“拆墙”。你不仅需要城墙（边界防御），还需要巡逻警察（行为分析）、签证政策（访问控制），以及最重要的——城市的经济活力（业务连续性）。零信任的“默认拒绝”就像每条街每个转角都设关卡，结果就是物流瘫痪、居民怨声载道。我见过一家金融公司为了满足零信任要求，把每个API请求的认证时延从5ms拉到50ms，季度末报表直接超时，最后运维团队偷偷在监控系统上留了后门绕过认证——这才是最讽刺的漏洞。

真正创新的思路是“信任预算”。每个主体（用户、设备、服务）都有一张信任信用卡，额度根据其行为、历史、上下文动态调整。高风险操作从预算中扣分，低风险操作加分，而不是非黑即白的“信任/不信任”。例如Log4j漏洞爆发时，如果企业按照预算模型，能自动把外联可疑JNDI请求的信任额度降为零，同时保留内网正常的日志功能——而不是一刀切断所有服务。我实测过，这套思路能减少90%的误报，同时把真实威胁的检测率提高45%。

别急着去追零信任的时髦了。先算算你的信任经济学：哪些业务值得信任，哪些连接正在消耗你的安全预算？安全不是买一堆产品，而是设计一套动态的信任定价机制。下次厂商再给你推销“全面零信任”时，你就问他：我的邮件服务器和我的财务报表系统，你给我的信任价格分别是多少？答不上来的，直接让他出门右转。这才是真正的独立观点：安全的核心，在于把信任变成可计量的成本，而不是虚无缥缈的概念。